Нужен ли нам корневой сертификат, установленный на машине всегда?

Я попробовал несколько вещей, и вот наблюдения:

1. Во-первых, X509Certificate2.Verify() не проверяет, отозваны ли все сертификаты в цепочке. Из этого сообщения Я узнал, что метод Verify внутренне использует Функция Crypt32 CertVerifyCertificateChainPolicy. В документации к нему сказано, что он не выполняет проверку отзыва сертификата. Короче говоря, метод Verify просто проверяет, отозван ли сертификат, для которого он вызывается.

2. Что касается корневого сертификата:

   • If you are using X509Certificate2.Verify() and root cert is absent, then the method will outrightly return false. So with this method root certificate is absolutely required.
   • Если вы используете X509Chain для построения цепочки доверия, вы можете решить необходимо ли исключить отзыв корневого сертификата или нужно ли подходить к сети/офлайн для проверки статуса отзыва сертификатов.
   • Однако независимо от того, подключаетесь ли вы к сети или нет, исключаете ли вы корневой сертификат или нет, вы получаете флаги состояния PartialChain в ChainStatus, если корневой сертификат отсутствует. Поэтому для построения полной цепочки доверия вам нужен корневой сертификат на вашем компьютере.

Надеюсь, это поможет тем, кто хочет узнать немного больше о проверке сертификатов в C#.