クライアント（動的）が初めてサーバーに接続したときに、発行者ルートCAをクライアントマシンにインストールする方法

Question

ウェブ上のサーバー認証について読んで、相互認証のためにサーバーとクライアントの両方のマシンで発行者のルートCAを信頼されたルートCAにインポートする必要があることを知りました。

ここで銀行アプリケーションとしましょう。

ユーザーが初めて銀行サーバに接続します。

1. サーバーがクライアントに自分自身を検証するために、サーバー証明書を返します。
2. クライアントは証明書を取得し、以前にこのサーバー証明書に署名した信頼されたルートCA機関で検証します。
3. クライアントは、このクライアント証明書を以前に署名した信頼できるルートCA 権限で証明書とサーバーを検証します。
4. 通信が開始されます。

ステップ3では、信頼されたルートCA機関が、サーバーの展開時にサーバーにインストールされていることを理解します。 しかし、クライアントマシンが初めて接続する（そしてどのマシンからでも動的に接続できる）ステップ2では、ルートCAの権限はクライアントマシンにどのようにインストールされていますか？

Answer 1

ルートCA証明書は通常、オペレーティングシステムとソフトウェア（ソフトウェアが独自のトラストストアを使用する場合）にプレインストールされています。管理者は、ツールを使用して追加ルート（一般的ではない組織のプライベートルートなど）を展開することができます。