@TS: dank voor jouw antwoord! Het lijkt erop dat Microsoft vanaf W10 versie 1903 allerlei resources, waaronder certificaten, uit DLL's heeft gehaald en die in separate files (met een .mun extensie erachter) in C:\Windows\SystemResources\ heeft geplaatst. In elk geval in Windows 7 zie ik de certificaten gewoon nog in C:\Windows\System32\crypt32.dll zitten (met de ingbouwde viewer van Total Commander, bijv. zoeken naar de string AdminCA-CD-T01 - overigens een van de zowel revoked als verlopen certificaten). Wellicht draai je nog de vorige versie van W10 en staan er daarom bij jou geen losse bestanden in C:\Windows\SystemResources\. Aanvulling: in de STL file zit aanvullende metadata. Als je bijv. in certlm.msc rechts op een certificaat klikt en properties/eigenschappen kiest, dan zie je dat je door vinkjes uit te zetten aanvullende restricties kunt opnemen (het rootcertificaat zelf verandert hier natuurlijk niet door, deze info zit vermoedelijk samen met het certificaat in "blobs" in het register, system ...