当客户端（动态）第一次连接到服务器时，如何在客户端机器上安装 Issuer Root CA？

Question

我阅读了有关通过 Web 进行服务器身份验证的内容，了解到应该将颁发者根 CA 导入服务器和客户端计算机上的受信任根 CA 以进行相互身份验证。

现在假设它是银行应用程序。

用户首次连接银行服务器：

1. 服务器 returns 用于向客户端验证自身的服务器证书。
2. 客户端获取证书并使用先前已签署此服务器证书的可信根 CA 机构进行验证。
3. 客户端发送其证书，服务器使用受信任的根 CA 进行验证 较早签署此客户端证书的机构。
4. 通信开始。

在第 3 步中，我了解在部署服务器时已在服务器上安装受信任的根 CA 机构。 但是，在第 2 步中，当客户端计算机首次连接时（并且可以从任何计算机动态连接），Root CA 权限如何安装到客户端计算机上？

Answer 1

根 CA 证书通常预装在操作系统和软件中（当软件使用自己的信任库时）。管理员可以使用他们的工具部署额外的根（不常见，例如，组织的私有根）。