这是一个创建于 1216 天前的主题，其中的信息可能已经有所发展或是发生改变。
比如各大机构想更新补丁来更改根 ca 但更新本身就需要联网，那也会被中间人，这难道就无解了吗？如此看来根 ca 能算成典型的 SPOF 了吧？
目前这些常见的根 ca 都是谁控制的呢？
 |
1
3dwelcome 2021-07-29 21:23:19 +08:00 via Android
不会发生什么吧，你被中间人，那就说明 ICP 出问题了。
而 ICP 主干网关，一般黑客是黑不进去的。 而且系统官方的证书吊销列表，这玩意黑不了吧。 |
 |
2
learningman 2021-07-29 21:25:42 +08:00 via Android
一个的话，参见赛门铁克。而且现在有证书透明的东西，多少能管一点？
如果是所有的话。。。不敢想象。 |
 |
3
foMM 2021-07-29 21:25:57 +08:00
现代 CA 很难发生这样的事情。当然如果真的发生，比如说 CA 的基建被用来签不对的证书（ DigiNotar 了解一下），这个 CA 会就立即死亡。
|
|
4
3dwelcome 2021-07-29 21:26:21 +08:00 via Android
写错了，是 ISP，我想回复看着那么奇怪。
|
|
5
foMM 2021-07-29 21:26:26 +08:00
@learningman #2 赛门铁克的问题跟这个不一样
|
 |
6
des 2021-07-29 21:31:59 +08:00 via iPhone
根证书都是断网存储的，而且放在专用机器的，想要弄出来很难
|
 |
7
felixcode 2021-07-29 21:37:11 +08:00 via Android
想要搞多大的事才会去尝试获取根证书，战略武器了
|
 |
8
zhuxiaoxi 2021-07-29 21:43:15 +08:00
我觉得肯定有一种方法让维护这台服务器的人也无法获取到 CA 的私钥。就像现代网站保存用户密码一样，即使是管理员获取到私钥和盐也无法轻易解开密码。
|
|
9
des 2021-07-29 21:48:05 +08:00 via iPhone
|
 |
10
jim9606 2021-07-30 01:00:06 +08:00
你在机子上看到的那些根证书私钥都是放在 HSM 内的，基本都是离线保存，取出来难度可不是一般的大。就算搞到，闷声发大财不好吗。
通常根 CA 签过哪些中级证书都是公开可查的。真出现这事，将信任根转移到这些中级 CA 就行。后续可以一步步换掉证书链。 目前出过的事故并没有泄漏私钥，都只是错发证书，这个用 CRL 吊销就行。 |
 |
11
dingwen07 2021-07-30 03:14:42 +08:00 via iPhone
|
 |
12
julyclyde 2021-07-30 18:11:05 +08:00
短时间内会带来大量欺诈
然后 CA/browser forum 就会开会，在下一次系统更新里把它列入黑名单 |
 |
13
a1274598858 2021-12-03 11:46:08 +08:00
我们公司的根 CA 私钥都是放到保险柜里的
|
Select Language