Mozilla 考虑对沃通 CA 采取行动

不作死就不会死

我觉得沃通也被屏蔽了。 将使中国自己的证书签发被外人牵着鼻子走。

而且拿沃通干坏事的有，但是还是有很多正经站长用沃通的。

@livid 全文转载，且没有注明链接

@kamen 第一行那个 solidot ？

@coolcfan 看丢了，抱歉。不过全文转载在这里的确不受欢迎

如证明控制了 theiraccount.github.com/theiraccount.github.io 等子域名得到了 github.com 、 github.io 和 www.github.io 的证书

真的假的，有这么厉害？能这么搞得话，玩法可就多了啊……

@xupefei 有，比如他们会自作主张的要求把

随机数.example.com 解析到某个东西，就能申请主域名

我先试试能不能申请 com.cn ， net.cn 这些域名的证书试试

拥有子域名自动拿到上级域名的证书，这个真是碉堡了...一副 CDN 厂商的思路做 CA...

@AstroProfundis 不过说实话，看完下面似乎是 WoSign 相关负责人的回复，处理态度还是不错的...

还有 EV 证书上的“安全认证”呢……

@ZE3kr 我要去试试 gov. cn

沃通自称是龙根，现在有被阉掉的可能啊?

@ZE3kr 很对证书商都支持 dns 方式验证啊，我倒是觉得这种验证没什么问题

> 2015 年 6 月，免费证书申请者发现如果他们能证明控制了子域名那么就能获得基础域名（ Base Domain ）的证书，如证明控制了 theiraccount.github.com/theiraccount.github.io 等子域名得到了 github.com 、 github.io 和 www.github.io 的证书
开个脑洞(胡说八道)，难道我申请了 wangqiliang.cn 证书，就可以申请.cn 根域名证书吗

/go/ssl

他们如果能够认真研究一遍 Mozilla PSL 就不会出这种事了

@ZE3kr 要这样子的话那些免费动态解析的二级域名买主机赠送的域名都要哭晕在厕所了

不久后 ’ 让我们加密吧 ’ 也得被查

@strwei 他们自有的根证书 ISRG Root X1 刚刚被列入谋智的证书信任库。

https://crt.sh/?id=29647048
WoSign 签发的 github.com 证书

这个 WoSign 跟联通有关系么？我一直以为是联通的，早就在 android 中将它屏蔽了。

@mdzz 我嘞个擦……恕我直言，看完这个 CT Log, 个人认为沃通就是○○，不再使用该家的证书。

作为一个 CA 的可信度已经大大降低了

我在 Firefox 里已未雨绸缪屏蔽所有它的证书了，。

@mdzz 这都行。。牛逼

几年前开始在我编译 mozilla 的 nss 时候就把镇子里面所有的 CA 踢了出去 还有香港的那家。从未遇到访问哪个站提示找不到 wosign 的 CA 签名

V2EX 禁止全文转载，原文已经去掉。

@DbaseIII 没有关系。沃通是一家深圳的民营 CA 企业。

最近刚开始琢磨证书， StartSSL 没问题吧？
貌似也有免费的哈。。。？

@lubuwei http://alpha.80host.com/

@redsonic http://www.wosign.com/about/Who_uses_WoSign.htm ，用户还是很多的。

@Shura 衙门那些应该没影响，好像只有里面的网宿有潜在的影响。另外 wosign 的和 startssl 其中一个 CA 证书有交叉授权吧，如果我把 startssl 的那个也踢出去影响确实大了。

@redsonic 不清楚，反正我博客用的就是 woSign ，主要是方便，一次能申请三年的。

@redsonic
是 startssl 还是 startcom ？

@Cu635 startcom ，最新消息是 wosign 官网说明完全买下了 startcom 。

@ivmm
坑老乡最狠的就是老乡。

@redsonic
刚发现， startcom 是被 wosign 收购的，而 startssl 的 pki 平台是由 360 运行了。俩都不靠谱……

@Cu635 现在系统层面我对证书设置的是白名单制，只信任最常见的 CA ，总数不超过 10 个。翻翻 mozilla ，巨硬和苹果的默认信任都超过 100 了，里面有一个老鼠屎就坏一锅。 CA 现在反而成了最薄弱的环节，巨头们是时候提供一个 checkbox 让用户自己选择信任那些 CA 了。

@Cu635 wosign 也差不多快被 360 收购了

@wql
不是说 wosign 的股东之一是 360 么。这个和被 360 收购还是不一样的吧。

@Cu635 五个股东中三个是三六的全资关联公司，三家总计占到沃通约 84 个百分点的股权，这和被收购已经没有本质区别， 360 实际上可以完全控制沃通。

https://docs.google.com/document/d/1C6BlmbeQfn4a9zydVi2UvjBGv6szuSB4sMYUcVrR8vQ/preview#

挺严重的各种问题了。。 ca 做成这样子不 revoke 不行啊。