详情参见 Google Online Security Blog。

说两个我认为比较有意思的事情：

第一个是 Google 并没有公布作为证据的证书。由于证书是以 CA 的私钥签署，因此这类未经授权的证书本身就可以作为证据。但是，Google这样做（不公布证书）意味着签发者不得不销毁全部签发的证书，而不仅仅是被公布的那些。

第二个是 Google 在 Chrome 中限制，而不是直接删除或禁止了负有责任的根CA： India CCA 的许可范围。我认为这是远比禁止使用或删除根CA更好的做法（同样的原则也适用于几年前 Mozilla 基金会决定接纳 CNNIC 证书），原因如下：

1. 在攻击者使用未经授权证书的同时，他们也将自己的身份（持有私钥）暴露在了阳光下，从而使检测和指证变得容易
2. 加密通讯要比不加密好。鼓励所有人加密通讯，有助于提高攻击所需的代价。
3. 限制使用范围削弱了CA的权力，阻止了恶意CA对用户的影响，同时对正常证书持有者的影响又不大，降低他们的迁移成本。