Skip to main content
 首页 » 今日头条

前有火狐挡路,后有苹果逼宫,沃通这次能否度过生死劫?

2016年10月14日121

沃通证书问题不是一天两天的事情了,这件事也彻底惹恼了火狐官方。Firefox浏览器背后的Mozilla基金会正在考虑对沃通(WoSign)及被其秘密收购的StartCom(著名的StartSSL即其旗下产品)这两个CA一年内新签发的所有SSL证书进行封杀。 Mozilla的工程师是在对这两个CA签发了一系列可疑的SSL SHA-1证书进行调查之后,宣布的这个禁令。

沃通


事件起因

前不久,英国的Mozilla程序员Gervase Markham在发布在Mozilla的安全政策邮箱列表里说,沃通在没有审核域名归属的情况下,就为某申请者颁发了一张SSL证书。根据他的描述,这样的情况从2015年7月就开始了,他一直没有上报。

沃通

Markham在邮件列表里称,2015年6月,有申请者发现沃通免费证书服务存在问题,只要申请者证明他们拥有子域名,沃通就会给他们颁发根域的证书。这名申请者本来是想要申请一张“med.ucf.edu”的证书,不小心写了“www.ucf.edu”,结果沃通居然同意了,颁发了一张根域名的证书给他。

为了证实真假,测试研究人员用同样的方法针对Github的根域名实施了欺骗,结果沃通同样分发了GitHub根域名的证书。

你来我往,沃通认怂

而后,研究人员向沃通报告了这一情况,并以GitHub为例,沃通也仅仅是吊销了GitHub的证书。2016年7月,与沃通CA有关联的StartCom CA被发现允许证书datebacked(也就是所谓的“倒填日期”,指的是本来证书实际在2016年部署,但证书上的日期被改到2015年的某天),因而能绕过浏览器对SHA-1算法的限制。因此,Mozilla对沃通的做法进行了指责、批评,并打算将沃通的认证证书从自己的白名单中除去(时间暂定一年)。

而在收到Mozilla对datebacked的指责后,中国认证机构沃通也将自己管理的Wosign和StartCom证书进行了清理。

当然,作为对此事回应的一部分,沃通已经将2015和2016年度分发的大约20万个证书,公布在了谷歌透明日志服务器以及自家的CT日志服务器上供大家监督,并承诺在之后将所有的证书都公布出来。

据Gervase Markham透露:针对封杀事件,沃通的主要股东奇虎360(按照奇虎360的说法,奇虎360共计持有 84% 的沃通股份)和StartCom上周二在伦敦会见了Mozilla方面的代表。

新老总走马上任,沃通努力自救

沃通对此做出了积极回应并公布了一份书面说明(见文末下载链接),并作出了众多承诺,如:

1.沃通和StartCom分离开来,StartCom将由奇虎360直接负责;

2.奇虎360的首席安全官谭晓生将被任命为StartCom主席(Chairman),而StartCom欧洲区总经理Inigo Barreira升任公司CEO,沃通原来的CEO王高华表示承担错误责任,并宣布辞职;

3.这两家CA的团队、运营和基础设施都将分离,奇虎360人员将对代码进行内部检查,而StartCom将系统提交至外部进行检查;

4.StartCom将会发布单独的”短期整改计划”。

为了稳定军心,避免微软和谷歌也对沃通进行封杀,奇虎360也不敢怠慢,正在着手解决今年1月发生的最严重的datebacked事件。

在沃通事故报告中有这样一段陈述:Wosign is in process of making legal and personnel changes in bothWoSign and StartCom to ensure that both WoSign and StartCom have leadershipthat understand and follow the standards of running a CA。(在沃通进行法律和人事变动过程中,沃通始终确保Wosign和StartCom都有能够透彻理解和执行CA标准,并能坚决执行的管理层)

这份事故报告中列出了超过60份datebacked证书,甚至还包括颁发给总部设在澳洲的付费处理机构Tyro的证书,谁知道,还有多少公司的证书存在问题呢?

其实,前面列举的只是沃通丑闻的冰山一角,Mozilla在其官方列出了已经曝光的丑闻。

祸不单行,苹果也要将沃通证书移除

奇虎360在发布的事故报告中说,那些有效期至2017年1月的SHA-1证书颁发,其实是由于系统升级的延迟造成了,他们已经在着手吊销这些SHA-1证书。此外,奇虎360还将为那些已经持有SHA-1证书的用户,免费吊销并升级为SHA-2。

Mozilla表示,他们将会根据360方面对此事的整改效果做进一步的考量和决策。不过实际上,沃通还得说服苹果撤销对其不信任的决定。在Mozilla之后,苹果也在第一时间宣布将沃通证书移出信任名单之列,包括iOS和macOS都不再信任来自沃通的证书,并在下一轮的安全更新中实行。

众多使用沃通和StartCom证书的软件供应商和服务商也都在观望,他们都在等待谷歌和微软对这起事故的声明,有迹象表示,这两家公司对此次事件会持包容的态度(这也许是沃通的一个福音吧)

沃通回应全文下载:沃通回应全文下载