[[172579]]

Firefox 瀏覽器背后的 Mozilla 基金會(huì)正在考慮對(duì)沃通(WoSign)及被其秘密收購(gòu)的 StartCom(著名的 StartSSL 即其旗下產(chǎn)品)這兩個(gè) CA 一年內(nèi)新簽發(fā)的所有 SSL 證書進(jìn)行封殺。

Mozilla 的工程師是在對(duì)這兩個(gè) CA 簽發(fā)了一系列可疑的 SSL SHA-1 證書進(jìn)行調(diào)查之后，宣布了這個(gè)禁令。

這兩家 CA 試圖規(guī)避 SHA-1 停用政策

該問(wèn)題主要是因?yàn)楦鞔笾饕獮g覽器廠商共同決定從 2016 年 1 月 1 日開(kāi)始就停止接受采用陳舊的 SHA-1 簽名算法的證書。而 Mozilla 指責(zé)沃通今年還在簽發(fā) SHA-1 簽名的證書，并將簽發(fā)日期倒填成去年 12 月份。

雖然 Mozilla 也允許一些其它的 CA 在 2016 年 1 月 1 日之后繼續(xù)簽發(fā) SHA-1 證書，比如說(shuō)賽門鐵克，但是他們僅允許那些通過(guò)了復(fù)雜的審批流程的 CA 這樣做，而顯然沃通沒(méi)有得到同意。

沃通秘密收購(gòu)了 StartCom

此外，沃通似乎在否認(rèn)其收購(gòu)了以色列 CA 公司 StartCom。Mozilla 說(shuō)，沃通已經(jīng)于 2015 年 11 月 1 日***地收購(gòu)了 StartCom。而另一方面，據(jù)奇虎 360 稱，它共計(jì)持有 84% 的沃通股份。但是這些信息沃通此前都予以否認(rèn)或拒絕發(fā)表意見(jiàn)。

此外，在 Mozilla 披露的技術(shù)細(xì)節(jié)中顯示，StartCom 已經(jīng)開(kāi)始使用沃通的基礎(chǔ)架構(gòu)來(lái)簽發(fā)新的證書了。而且，StartCom 也和沃通一樣在 2016 年采用了倒填日期的手段來(lái)簽發(fā) SHA-1 證書。Mozilla 的安全工程師也展示了這種違例的案例細(xì)節(jié)。

Mozilla 的調(diào)查發(fā)現(xiàn)，一個(gè)和 GeoTrust CA 合作了多年的付費(fèi)處理機(jī)構(gòu) Tyro 突然在 6 月中旬使用 StartCom 部署了一個(gè) SHA-1 簽名的證書，而此前該機(jī)構(gòu)從未和 StartCom 有過(guò)合作。該證書看起來(lái)是在 2015 年 12 月 20 日簽發(fā)的，而在同一個(gè)日期 StartCom 簽發(fā)大量的 SHA-1 證書。Mozlla 發(fā)現(xiàn)這些證書部署于 2016 年中，這很不正常，這顯然是采用倒填日期來(lái)規(guī)避 SHA-1 停用的策略。

這些問(wèn)題以及其它的更多問(wèn)題讓 Mozilla 決定在至少一年內(nèi)不再信任沃通和 StartCom 的 SSL 證書。

或許會(huì)***封殺

Mozilla 說(shuō)這個(gè)臨時(shí)封殺僅針對(duì)這兩個(gè)公司***簽發(fā)的證書，不影響已經(jīng)分發(fā)給他們的客戶的證書。如果這兩個(gè)公司在一年的封殺后沒(méi)有通過(guò)一系列的檢查，Mozilla 將準(zhǔn)備封殺這兩個(gè)公司的所有證書。

“許多人都在盯著 Web PKI 安全體系，如果發(fā)現(xiàn)了這樣的倒填(不管是什么原因)，Mozilla 會(huì)立即***地取消對(duì)沃通和 StartCom 根證書的信任。”該報(bào)告中說(shuō)。

此外，Chrome 和其它產(chǎn)品的對(duì)它們的封殺也在計(jì)劃中。“其它的瀏覽器廠商和根證書存儲(chǔ)運(yùn)營(yíng)者也會(huì)做出他們自己的決定，我們?cè)谶@個(gè)文檔中擺出了這些信息，以便他們了解我們做出這個(gè)決定的原因，并可以據(jù)此做出他們的決定。”Mozilla 說(shuō)。