验证本地机器证书

Question

我已经测试了以下 PowerShell 命令Get-ChildItem -Path Cert:\localMachine\My | Test-Certificate -Policy SSL -DNSName "dns=mydns.com"

但它显示了以下三个结果，我并没有真正理解它们的含义：

警告：链状态：

CERT_TRUST_IS_UNTRUSTED_ROOT Test-Certificate ：已处理的证书链，但以不被信任提供者信任的根证书终止。 0x800b0109 (-2146762487 CERT_E_UNTRUSTEDROOT)

在 line:1 char:45

• ... 机器\我的 |测试证书 -Policy SSL -DNSName "mydns.com ...

• + CategoryInfo          : NotSpecified: (:Certificate) [Test-Certificate], Exception
  + FullyQualifiedErrorId : CryptographicError,Microsoft.CertificateServices.Commands.TestCertificate
  

错误

警告：链状态：

CERT_TRUST_IS_NOT_TIME_VALID

CERT_TRUST_IS_UNTRUSTED_ROOT

Test-Certificate ：已处理的证书链，但终止于不受信任提供者信任的根证书。 0x800b0109 (-2146762487 CERT_E_UNTRUSTEDROOT)

在 line:1 char:45

• ... 机器\我的 |测试证书 -Policy SSL -DNSName "mydns.com ...

• + CategoryInfo          : NotSpecified: (:Certificate) [Test-Certificate], Exception
  + FullyQualifiedErrorId : CryptographicError,Microsoft.CertificateServices.Commands.TestCertificate
  

错误

警告：链状态： CERT_TRUST_IS_NOT_TIME_VALID Test-Certificate ：根据当前系统时钟或签名文件中的时间戳进行验证时，所需的证书不在其有效期内。 0x800b0101 (-2146762495 CERT_E_EXPIRED)

在 line:1 char:45

• ... 机器\我的 |测试证书 -Policy SSL -DNSName "mydns.com ...

• + CategoryInfo          : NotSpecified: (:Certificate) [Test-Certificate], Exception
  + FullyQualifiedErrorId : CryptographicError,Microsoft.CertificateServices.Commands.TestCertificate
  

错误

Answer 1

证书都是关于有效性和链条的。

首先，您的机器上安装了受信任的根证书（例如 VeriSign）。

然后可以从该根证书信任证书（例如，第 3 方证书提供商）。然后可以根据下一个证书信任新证书，依此类推。例如

Root Certificate -> 3rd Party Certificate -> mydns.com

第一条错误信息：

CERT_TRUST_IS_UNTRUSTED_ROOT

表示您的计算机没有将根证书安装到受信任的发布者的位置。这意味着您的计算机不会隐式信任该证书。

第二条错误信息：

CERT_TRUST_IS_NOT_TIME_VALID

通常表示证书已过期。即大多数证书的有效期只有一年。