delphij's Chaos

选择chaos这个词是因为~~实在很难找到一个更合适的词来形容这儿了……

11 Jul 2014

India NIC签发未经授权的 Google SSL证书事件

详情参见 Google Online Security Blog

说两个我认为比较有意思的事情:

第一个是 Google 并没有公布作为证据的证书。由于证书是以 CA 的私钥签署,因此这类未经授权的证书本身就可以作为证据。但是,Google这样做(不公布证书)意味着签发者不得不销毁全部签发的证书,而不仅仅是被公布的那些。

第二个是 Google 在 Chrome 中限制,而不是直接删除或禁止了负有责任的根CA: India CCA 的许可范围。我认为这是远比禁止使用或删除根CA更好的做法(同样的原则也适用于几年前 Mozilla 基金会决定接纳 CNNIC 证书),原因如下:

  1. 在攻击者使用未经授权证书的同时,他们也将自己的身份(持有私钥)暴露在了阳光下,从而使检测和指证变得容易
  2. 加密通讯要比不加密好。鼓励所有人加密通讯,有助于提高攻击所需的代价。
  3. 限制使用范围削弱了CA的权力,阻止了恶意CA对用户的影响,同时对正常证书持有者的影响又不大,降低他们的迁移成本。