谷歌封杀赛门铁克证书背后的恩怨情仇
2017-03-29 10:45:09
近来，互联网界一场关乎威望、信赖、制裁的大战拉开序幕，google和赛门铁克开撕，巨子怼巨子 。（不太了解赛门铁克（symantec）的请自行google）
googlechrome说：
由于赛门铁克ca（证书签发安排）签发了3万多个有疑问的证书，所以咱们将逐渐减少对赛门铁克证书的信赖。
简而言之即是：
封杀！
赛门铁克ca为网站颁布证书，
google却说他的证书有疑问不可信，
这已经是个原（da）则（lian）疑问了。
【一个老梗】
打个不谨慎的比如，
一个很有威望的教授常常为学生写引荐信，
引荐学生去闻名公司上班，
这时遽然
有个闻名的大公司跳出来说：“
这教授引荐的人不可啊，
三观不正才能不可，
彻底是瞎搞！”
然后列举了很多他胡乱推荐的例子，
让教授的公信力瞬间大打折扣，
别的公司也不敢要他引荐的学生了。
google即是这个跳出来的公司，
赛门铁克即是写推荐信的教授。
浏览器和ca的相爱相杀
要了解这次google和赛门铁克互撕工作背面的利害联系，还得从 ca证书的原理来说起。咱们平时运用浏览器时，常常看到一个绿色的小锁，它标明你进入的是真的，而不是假造的网站，而且一切通讯都会根据证书来进行加密。
ca安排给网站颁布证书（证书签发安排，简称“ca”），浏览器则会经过一些加密、哈希算法验证证书是不是有用，最后通知用户。
据雷锋网所知，证书一般分红三类： dv、ov 、和 ev ，加密效果都是一样的，差异在于：
dv（domain validation），面向个别用户，安全体系相对较弱，验证方法即是向 whois 信息中的邮箱发送邮件，按照邮件内容进行验证即可经过；
ov（organization validation），面向公司用户，证书在 dv 证书验证的基础上，还需要公司的授权，ca经过拨打信息库中公司的电话来承认；
ev（extended validation），url 地址栏展示了注册公司的信息，这类证书的申请除了以上两个承认外，需要公司供给金融安排的开户许可证，请求非常严厉。
ov 和 ev 证书适当昂贵。
那么疑问来了，ca安排把握“生杀大权”，怎么颁布证书全凭他说了算，浏览器仅仅一个验证的人物。假如 ca胡乱颁布证书怎么办？又或许，假如ca安排被黑客侵略致使证书走漏，造成了疑问怎么办？
关于大多数普通用户来说，一旦网站呈现疑问，他们只会以为：浏览器通知我这个网站是可信的，可是我被黑了，浏览器骗了我，浏览器有疑问！
ca开心地卖证书赚钱，出了疑问浏览器厂商也要背锅。于是商场份额最大的 chrome 开端了“找茬”之路。这次google和数字证书范畴的老大哥赛门铁克交手，也并不是首次。
你出疑问，我就找茬
2011年3月，证书商场份额前列的科摩多（comodo）公司遭黑客侵略，七个web域共9个数字证书被窃，包含：mail.google.com、addons.mozilla.org 和 login.yahoo.com 等。当时有人称那次工作为“ca版的 911进犯。”
同年，荷兰的 ca安排 diginotar 相同遭到了黑客侵略，颁布了很多的假造证书。由于这些假造证书，数百万用户遭到了中间人进犯。
这些工作给大家敲响了警钟，完毕了大家盲目信赖ca的年代，也为google以后的一系列动作埋下了伏笔。
2013年“棱镜门工作”迸发，斯诺登走漏的文件中透露：美国国家安全局就运用一些 ca颁布的假造ssl证书，截取和破解了很多 https 加密网络会话。
google再也坐不住了，同年便发起了证书通明度方针（certificate transparency，简称ct）。这一方针的方针是供给一个敞开的审计和监控体系，让任何域名一切者或许 ca断定证书是不是被错误签发，或许被歹意运用，然后进步https网站的安全性。
这个方案详细是这么来做的：
请求ca揭露其颁布的每一个数字证书的数据，并将其记录到证书日志中。
这个项目并没有代替传统的ca的验证程序，可是google起到了一个监督ca的效果，用户可以随时查询来确保自个的证书是绝无仅有的，没别人在运用你的证书，或许假造你的证书。
证书通明度将让大家可以迅速地识别出被错误或许歹意颁布的数字证书，以此来减轻可能会呈现的安全疑问，例如中间人进犯。
以后的几年里，证书通明度体系和监控效劳也确实协助了不少网站检查出了假造证书，比如协助 facebook团队发现了不少假造其证书的子域名网站。
从那时开端，浏览器厂商和 ca安排之间的其妙联系就开端致使了更多工作。
和赛门铁克交手
2015年9月和10月，google 称发现赛门铁克旗下的 thawte 未经赞同签发了很多域名的数千个证书，其间包含google旗下的域名和不存在的域名。
赛门铁克当时的解说是：“那批证书仅仅一个测验证书，仅测验一天就吊销了，没有走漏出去也没有影响到用户” 。赛门铁克随后仍是炒掉了有关的雇员。
可是这一系列动作并没有改动google的对此事的决议计划。
2015年12月，google发布公告称chrome、android及别的google商品将不再信赖赛门铁克(symantec)旗下的"class 3 public primary ca"根证书。
我国沃通遭众浏览器“群殴”
2016年1月1日，各大浏览器厂商开端中止承受一些用陈腐的sha-1 算法进行签名的证书，由于sha-1算法已经被证实可破解，假造证书的本钱比较低。
为了躲避 sha-1停用策略，
沃通将证书的签发时刻倒填成2015年12月份。可是很快就被mozilla 基金会发现，然后：
mozilla基金会 （火狐浏览器）决议沃通和其旗下starssl签发的证书；
苹果将沃通的根证书从证书存储库中移除；
chrome 56 开端，不再信赖沃通及被其收买的 startcom 于 2016 年 10 月 21 日以后所颁布的证书，直到终究彻底移除对这两个 ca的信赖！
在推进证书的升级、机制的优化方面，浏览器厂商显得愈加积极主动。google对ca安排的揭露敦促即是最佳的证实。
2016年10月，google经过揭露邮件组发布公告:
2017年10月后签发的一切揭露信赖的网站ssl证书将恪守chrome的证书通明度方针，以取得chrome的信赖。
平衡即将打破？
google似乎也发现自个招惹的ca安排越来越多了，可是他们爽性一不做二不休，自个来做ca。
2017年1月26日，google宣告，为了可以更迅速地处理google 商品的ssl/tls 的证书需要，google将树立自个的root ca（根证书颁布安排）。
当时，这一做法便引来了很多网友的质疑：“google 又做浏览器又做ca，这么真的好吗？”
google手握全球覆盖率最高的浏览器chrome，并在cab forum国际标准安排中扮演主要人物，把握着全球ca安排的生杀大权，具有不信赖恣意一家ca根证书的权力，现在又树立自个的ca安排。这可能会使全球浏览器和ca商场的格式发作明显改动。
回到这次google和赛门铁克对撕工作：
google称发现赛门铁克2015年曾误发了超越3万个证书。
赛门铁克则回答那次误发的数量只需127个，google在言过本来。
在雷锋网(公众号：雷锋网)编辑看来，详细的数字关于全体的形势来说本来并不主要，由于不会改动两边关于证书信赖疑问的敌对联系。
赛门铁克这次表明，一切大型的ca都发作过 ssl / tls 证书误发的工作，但google却不知为何专门把赛门铁克挑出来。
mozilla基金会（火狐浏览器） 近来也在考虑对赛门铁克进行制裁，并可能和google的行动保持一致。
明显，在ca这件事上，google背面有 mozilla、opera 等很多浏览器供货商，赛门铁克的背面也是很多ca安排。只需信赖、安全的疑问仍然存在，这一系列的争端、敌对将来也必将将延续下去。但无论怎么，
加密算法更迭、机制愈加通明……这些工作确确实实在发作，咱们普通用户老是获益的一方。
官方微信