# Certificado raiz

Em criptografia e segurança de computador, um certificado raiz é um certificado de chave pública que identifica uma autoridade de certificação raiz (CA). Os certificados raiz são autoassinados (e é possível que um certificado tenha vários caminhos de confiança, digamos se o certificado foi emitido por uma raiz com assinatura cruzada) e formam a base de uma infraestrutura de chave pública baseada em X.509 (PKI). Ou ele combinou o Identificador de Chave de Autoridade com o Identificador de Chave de Assunto, em alguns casos não há nenhum identificador de Chave de Autoridade, então a string do emissor deve corresponder à string do Assunto (RFC 5280). Por exemplo, as PKIs que suportam HTTPS para navegação segura na web e esquemas de assinatura eletrônica dependem de um conjunto de certificados raiz.
Uma autoridade de certificação pode emitir vários certificados na forma de uma estrutura em árvore. Um certificado raiz é o primeiro certificado da árvore, cuja chave privada é usada para "assinar" outros certificados. Todos os certificados assinados pelo certificado raiz, com o campo "CA" definido como verdadeiro, herdam a confiabilidade do certificado raiz - uma assinatura por um certificado raiz é um tanto análogo a "notarizar" a identidade no mundo físico. Esse certificado é denominado certificado intermediário ou certificado CA subordinado. Certificados mais abaixo na árvore também dependem da confiabilidade dos intermediários.
O certificado raiz geralmente se torna confiável por algum mecanismo diferente de um certificado, como por distribuição física segura. Por exemplo, alguns dos certificados raiz mais conhecidos são distribuídos em sistemas operacionais por seus fabricantes. Microsoft distribui certificados de raiz pertencentes a membros do Microsoft Root Certificate Program para o Windows desktops e Windows Phone 8. A Apple distribui certificados raiz pertencentes a membros de seu próprio programa raiz.

## Incidentes de uso indevido de certificado raiz
### Emissão de certificados falsos pelo Centro de Informações de Rede da Internet da China (CNNIC)

Em 2009, um funcionário do Centro de Informações de Rede da Internet da China (CNNIC) se candidatou à Mozilla para adicionar o CNNIC à lista de certificados raiz da Mozilla foi aprovado. Posteriormente, a Microsoft também adicionou CNNIC à lista de certificados raiz do Windows.
Em 2015, muitos usuários optaram por não confiar nos certificados digitais emitidos pelo CNNIC porque uma CA intermediária emitida pelo CNNIC emitiu certificados falsos para nomes de domínio do Google e levantou preocupações sobre o abuso do poder de emissão de certificados pelo CNNIC.
Em 2 de abril de 2015, o Google anunciou que não reconhecia mais o certificado eletrônico emitido pelo CNNIC. Em 4 de abril, seguindo o Google, a Mozilla também anunciou que não reconhecia mais o certificado eletrônico emitido pelo CNNIC.

### WoSign e StartCom: emissão de certificados falsos e retroativos

Em 2016, a WoSign, o maior emissor de certificados CA da China de propriedade da Qihoo 360 e sua subsidiária israelense StartCom, teve o reconhecimento negado de seus certificados pelo Google.
WoSign e StartCom revelaram ter emitido centenas de certificados com o mesmo número de série em apenas cinco dias, bem como certificados de backdating. WoSign e StartCom emitiram até mesmo um certificado falso para o GitHub.
A Microsoft também disse em 2017 que removeria os certificados relevantes offline, mas em fevereiro de 2021 os usuários ainda relataram que os certificados do WoSign e StartCom ainda eram eficazes no Windows 10 e só podiam ser removidos manualmente.