La radice globale è il proprietario del computer.
Decidono quali radici sono attendibili o, in pratica, accettano il giudizio del venditore, e possibilmente ne aggiungono alcune.
Ma possono anche rimuovere elementi dall'elenco dei fornitori - molti amministratori, incluso me, hanno abbandonato diginotar per esempio anche se MS li ha mantenuti.
Se su una rete, i tuoi amministratori (forse sei tu da quando stai leggendo S.SE) possono anche esercitare il loro giudizio. Voglio che i miei utenti si fidino di un CA brasiliano o ucraino? Potrebbero andare bene ma a) come faccio a sapere eb) perché i miei utenti sono comunque in un sito web ucraino o brasiliano per motivi di lavoro? Facciamo mai affari in quei paesi?
Il controller definitivo è l'amministratore del computer, non il governo mondiale, non Microsoft, Google, il Commissariato FireFox o chiunque altro.