上周印度草台公司eMudhra证书私钥问题引起全行业的关注，该公司签发的8张中间CA证书均使用弱密钥，其中EMOVTLSCA–G3C证书的私钥更是夸张到只有数字4，因此任何人都可以直接使用这个证书为其他域名签发子证书。
不过这些问题证书目前已经被浏览器和操作系统吊销，但某些设备可能不会检查证书吊销列表或无法获得更新，那被吊销的证书仍然被信任，用来签发的子证书也还是可以使用的。
于是爱好者们为Google域名签发10.6万张证书：
要测试使用eMudhra为任意域名签发证书，首选域名当然是Google(就像国内用户检查是否联网就打开百度)，于是目前CT证书透明度日志已经记录到爱好者们为Google主域名Google.com签发高达10.6万张证书。
目前证书透明度日志记录到的签发记录达到10.7万条，其中99%都是以Google域名作为测试对象的。这些证书可以通过CA公钥认证，但由于中间证书已经被浏览器吊销，因此实际访问时会出现阻断(除非无法检查吊销记录)。
为什么自己签发的证书也能被CT记录到：
因为证书签发和CT日志登记是不同的流程，正常情况下CA核验域名控制权后使用中间CA私钥签发证书。持有泄露私钥的人则可以在本地制作证书，把任意域名写入到DNS名称字段，再使用该私钥进行签名。
RFC9162规定任何人都可以向CT日志提交证书并附上证书链供日志检查，CT日志负责记录和公开证书供外界审查CA签发情况，不负责替CA审核域名控制权。所以爱好者们在签发证书时如果向CT日志提交那就可以被检查到。
相关文章
头条焦点
精彩导读
关注我们
【查看完整讨论话题】 | 【用户登录】 | 【用户注册】