违规被浏览器列入黑名单的CA、SSL证书

3wthx

( c& N: k) A8 `
9 |) G, x/ z6 V# F3 v这里包含许多被系统、Chrome等浏览器列入黑名单的CA、证书公钥等信息。
! E  }' i& d* V+ y
; C5 G! Q7 q' f+ l" ~, fCA问题
- f% ?# m% a9 O8 X7 n& Z; H- z7 d
; y/ `6 W7 v, [) A, a7 k0 F* c. Y/ RWoSign/StartCom

详情：

• https://security.googleblog.com/2016/10/distrusting-wosign-and-startcom.html
• 老流氓 CNNIC 的接班人——聊聊“沃通/WoSign”的那些破事儿
• 微软在Windows 10中删除WoSign和StartCom证书
• Apple 阻止对于 WoSign CA 免费 SSL 证书 G2 的信任
  4 w6 Q! _1 S7 Z* `. T

一系列违规签发行为导致8个相关CA证书被列入黑名单。
0 S- z, ]7 K& B: I- M1 o
  p3 W0 h) s6 v/ |* h: d# @CNNIC

详情： https://security.googleblog.com/2015/03/maintaining-digital-certificate-security.html
因为一些违规安全事件（疑似中间人攻击行为）根证书被移除。

Comodo
1 ]) P# |- d$ C( `. n
详情：

• https://www.comodo.com/Comodo-Fraud-Incident-2011-03-23.html
• https://blog.mozilla.org/security/2011/03/25/comodo-certificate-issue-follow-up/
• https://technet.microsoft.com/en-us/library/security/2524375.aspx
  

合作伙伴问题导致签发了9张误导性的证书
# K+ @% `1 ~* z/ U
' ?( }. U1 |' U3 D, NDigiNotar

详情：

• https://googleonlinesecurity.blogspot.com/2011/08/update-on-attempted-man-in-middle.html
• https://en.wikipedia.org/wiki/DigiNotar
  

CA系统被黑客入侵，导致CA破产，所有关联的公钥都被吊销。

India CCA
' {- C4 P- E  M& w" @
; }; v( `, ]9 N( T/ X0 A详情：

• https://googleonlinesecurity.blogspot.com/2014/07/maintaining-digital-certificate-security.html
• https://technet.microsoft.com/en-us/library/security/2982792.aspx
  

撤销部分子CA，并且只有小部分颁发给印度的域名被认为可信。

# P' W+ @. Z, u4 V  E& STrustwave

详情：
, a. L' k; ]. I2 w; w2 ]/ s

• https://www.trustwave.com/Resources/SpiderLabs-Blog/Clarifying-The-Trustwave-CA-Policy-Update/
• https://bugzilla.mozilla.org/show_bug.cgi?id=724929
  " J% V4 |% j5 f$ j; Z

一张Trustwave颁发的用于企业内部实行中间人攻击(MITM)来做企业内部数据保护(DLP)，号称放在符合 FIPS-140-2 Level 3的HSM设备中。
% S! ^: b5 ?1 i' ^
TurkTrust

详情：
2 E) o! }2 L9 @# s

• https://googleonlinesecurity.blogspot.com/2013/01/enhancing-digital-certificate-security.html
• https://web.archive.org/web/20130326152502/http://turktrust.com.tr/kamuoyu-aciklamasi.2.html
  

软件配置问题，两个证书出现了错误的basicConstraints这会导致被用来签发额外的证书，将其吊销。

! W, R6 ~2 H+ Z: j. ?私钥泄漏

Cyberoam
: Q5 C/ m$ Q* b! @! ~! j9 f+ R
, d. X; p) m; |' [2 v5 u, l& w详情：  https://blog.torproject.org/blog/security-vulnerability-found-cyberoam-dpi-devices-cve-2012-3372
设备制造商 Cyberoam 为所有的设备使用了相同的私钥，这个私钥可以被下载。
, C5 p8 h* r! q
Dell
3 m  E! K) ]" _6 Z/ F/ n: B
详情：
" F$ Q+ G) D" e' B/ c0 H% I

• http://www.dell.com/support/article/us/en/19/SLN300321
• http://en.community.dell.com/dell-blogs/direct2dell/b/direct2dell/archive/2015/11/23/response-to-concerns-regarding-edellroot-certificate
  0 G6 q. {6 j4 W- K/ x

eDellRoot 和DSDTestProvider 被安装的根的私钥可以被提取，这将导致安装了这个根的Dell设备上出现证书信任威胁。
/ L9 Y! k0 B5 w

3wthx

5 r2 c- c" p! R0 F补充请看3楼

3wthx

. j. ?9 r  L5 i+ z: V- X$ W/ [补充

2 q' ?' o/ t: x1 @! J* ]上面有一处不清楚。我写在下面：

5 S1 ?. g4 A3 d# R: DSymantec
9 T  N. D. h0 U详情：https://bugzilla.mozilla.org/show_bug.cgi?id=966060
退役的CA证书，主动请求加入到黑名单。

3wthx

顶顶

admin

我们用的就是comodo

3wthx

" z: v. T1 J5 U9 i( c) C

admin 发表于 2020-5-15 11:13
我们用的就是comodo

如果证书不在那9张误导性的证书的没事

admin

诶，这个不是在 blog.myssl.com 上的吗