分析重大新闻！Mozilla 将封杀沃通和 StartSSL 一年内新签发的所有证书

美时美刻

M 的工程师是在对这两个 CA 签发了一系列可疑的 SSL SHA-1 证书进行调查之后，宣布了这个禁令。.linuxprobe.com/linux]Linux技术教程的相关资讯可以到我们网站了解一下，从专业角度出发为您解答相关问题，给您优质的服务！https://www.linuxprobe.com/linux

这两家 CA 试图规避 SHA-1 停用政策
该问题主要是因为各大主要浏览器厂商共同决定从 2022 年 1 月 1 日开始就停止接受采用陈旧的 SHA-1 签算法的证书。而 M 指责沃通今年还在签发 SHA-1 签的证书，并将签发日期倒填成去年 12 月份。

虽然 M 也允许一些其它的 CA 在 2022 年 1 月 1 日之后继续签发 SHA-1 证书，比如说赛门铁克，但是他们仅允许那些通过了复杂的审批流程的 CA 这样做，而显然沃通没有得到同意。

沃通秘密收购了 SC

此外，沃通似乎在否认其收购了以色列 CA  SC。M 说，沃通已经于 2022 年 11 月 1 日百分百地收购了 SC。而另一方面，据奇虎 360 称，它共计持有 84% 的沃通股份。但是这些信息沃通此前都予以否认或拒绝发表意见。

此外，在 M 披露的技术细节中显示，SC 已经开始使用沃通的基础架构来签发新的证书了。而且，SC 也和沃通一样在 2022 年采用了倒填日期的手段来签发 SHA-1 证书。M 的安全工程师也展示了这种违例的案例细节。

M 的调查发现，一个和 GT CA 合作了多年的付费处理机构 T 突然在 6 月中旬使用 SC 部署了一个 SHA-1 签的证书，而此前该机构从未和 SC 有过合作。该证书看起来是在 2022 年 12 月 20 日签发的，而在同一个日期 SC 签发大量的 SHA-1 证书。M 发现这些证书部署于 2022 年中，这很不正常，这显然是采用倒填日期来规避 SHA-1 停用的策略。

这些问题以及其它的更多问题让 M 决定在至少一年内不再信任沃通和 SC 的 SSL 证书。

或许会长时间封杀
M 说这个临时封杀仅针对这两个比较新签发的证书，不影响已经分发给他们的客户的证书。如果这两个在一年的封杀后没有通过一系列的检查，M 将准备封杀这两个的所有证书。

“许多人都在盯着 W PKI 安全体系，如果发现了这样的倒填（不管是什么原因），M 会立即长时间地取消对沃通和 SC 根证书的信任。”该报告中说。

此外，C 和其它产品的对它们的封杀也在计划中。“其它的浏览器厂商和根证书存储运营者也会做出他们自己的决定，我们在这个文档中摆出了这些信息，以便他们了解我们做出这个决定的原因，并可以据此做出他们的决定。”M 说。