Mac系统中恶意根证书会导致HTTPS劫持、信息泄露及Gatekeeper绕过；需在“系统”钥匙串中筛选含“CN=”或“O=”的证书，核查签发者可信度、基本约束及SHA-256指纹，确认后删除并刷新信任策略。
Mac系统中若存在被恶意植入的根证书CA，会导致HTTPS流量被中间人劫持、敏感信息泄露，甚至绕过Gatekeeper签名验证——这类证书往往伪装成合法机构名称、混入“系统”钥匙串、信任策略设为“始终信任”，但签发者不可信或无公开备案。
确认目标钥匙串并筛选高风险证书
打开「钥匙串访问」App（聚焦搜索后回车）→ 左侧边栏必须选中「系统」钥匙串（不是「登录」）→ 顶部菜单栏点击「显示」→「仅显示证书」→ 在右上角搜索框输入 “CN=” 或 “O=”（这是X.509证书主题字段常见标识），回车后会列出所有含组织名/通用名字段的证书条目。
这一步能快速暴露大量非Apple官方签发的根证书，尤其是名称里带“Security”“Trust”“Cert”却无明确公司官网域名的条目——例如“Global Secure Authority CA”或“WebTrust Root 2024”，它们极大概率是伪造或已被攻陷的私有CA。
逐个检查证书签发链与有效性
在「系统」钥匙串中，选中一个可疑证书 → 连按打开 → 点击左下角「信任」三角箭头展开 → 查看「使用此证书时」是否为「始终信任」；若已是，继续下一步。
点击窗口顶部「证书」标签页 → 向下滚动到「签发者」字段，记录其完整DN（Distinguished Name），例如：CN=FakeRoot CA, O=Unknown Org, C=US；然后在浏览器中搜索该DN全文，重点看是否有维基百科条目、SSL Labs公开数据库收录、或Apple官方信任列表（https://support.apple.com/zh-cn/HT212873）提及。
【若搜索结果为空，或只出现在黑客论坛、GitHub恶意配置仓库中，立即标记为高危】
返回证书窗口 → 点击「详细信息」标签页 → 展开「扩展」→ 找到「基本约束」（Basic Constraints）→ 确认是否包含 CA:TRUE 且 Path Length Constraint 为空或数值≥0；不满足此项的不能作为根CA，可直接忽略。
导出并离线比对哈希指纹
方法一：终端批量提取SHA-256指纹
打开「终端」→ 输入以下命令并回车：sudo security find-certificate -a -p /System/Library/Keychains/SystemRootCertificates.keychain | openssl x509 -noout -fingerprint -sha256 2>/dev/null | grep -E "^SHA256 Fingerprint="
该命令将输出系统根证书库中所有证书的SHA-256指纹，每行一条。
方法二：单证书精确比对
在「钥匙串访问」中右键可疑证书 →「导出」为.cer文件（确保格式选DER编码）→ 终端执行：openssl x509 -in /path/to/exported.cer -noout -fingerprint -sha256
将输出的指纹与Apple官方公布的[Root Certificate Program](https://www.apple.com/certificateauthority/)列表中对应证书指纹逐字比对。
注意：Apple自2021年起已停用SHA-1指纹，任何显示SHA1 Fingerprint且无SHA-256匹配项的证书，一律视为异常。
强制清除未授权根证书
第一步：在「系统」钥匙串中找到确认为恶意的证书条目 → 右键 →「删除」→ 输入管理员密码确认。
第二步：立即执行信任策略刷新 → 终端运行：sudo security trust-settings-export /tmp/trust.plist && sudo security trust-settings-import /tmp/trust.plist
第三步：关闭所有浏览器与邮件客户端 → 重新打开「钥匙串访问」→ 搜索原证书名称，确认无残留条目。
【删除操作不可逆，务必确保已通过前三个步骤交叉验证其恶意性】
