Root-Zertifikat und Vertrauenskette

Ein Root-Zertifikat ist der Gipfel der PKI: Von der Root-Zertifizierungsstelle selbstsigniert, verankert es das Vertrauen der gesamten Kette. Bei der Überprüfung einer elektronischen Signatur folgt der Verifizierer der Zertifikatskette (Endeinheit → Zwischenstelle(n) → Root) und prüft, dass jede Verbindung gültig, nicht widerrufen (OCSP / CRL) und mit seiner Nutzungsrichtlinie konform ist. Browser und Betriebssysteme enthalten Speicher mit vertrauenswürdigen Roots (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Für qualifizierte eIDAS-Signaturen muss die Kette bis zu einem QTSP auf der EU-Vertrauensliste zurückgehen. Ein Zertifikat, dessen Root nicht im Speicher des Verifizierers ist, wird abgelehnt, selbst wenn die kryptografische Signatur technisch korrekt ist.