这是一个创建于 1585 天前的主题，其中的信息可能已经有所发展或是发生改变。
比如各大机构想更新补丁来更改根 ca 但更新本身就需要联网，那也会被中间人，这难道就无解了吗？如此看来根 ca 能算成典型的 SPOF 了吧？
目前这些常见的根 ca 都是谁控制的呢？
 | 1 3dwelcome 2021-07-29 21:23:19 +08:00 via Android 不会发生什么吧，你被中间人，那就说明 ICP 出问题了。 而 ICP 主干网关，一般黑客是黑不进去的。 而且系统官方的证书吊销列表，这玩意黑不了吧。 |
 | 2 learningman 2021-07-29 21:25:42 +08:00 via Android 一个的话，参见赛门铁克。而且现在有证书透明的东西，多少能管一点？ 如果是所有的话。。。不敢想象。 |
 | 3 foMM 2021-07-29 21:25:57 +08:00 现代 CA 很难发生这样的事情。当然如果真的发生，比如说 CA 的基建被用来签不对的证书（ DigiNotar 了解一下），这个 CA 会就立即死亡。 |
| 4 3dwelcome 2021-07-29 21:26:21 +08:00 via Android 写错了，是 ISP，我想回复看着那么奇怪。 |
| 5 foMM 2021-07-29 21:26:26 +08:00 @learningman #2 赛门铁克的问题跟这个不一样 |
 | 6 des 2021-07-29 21:31:59 +08:00 via iPhone 根证书都是断网存储的，而且放在专用机器的，想要弄出来很难 |
 | 7 felixcode 2021-07-29 21:37:11 +08:00 via Android 想要搞多大的事才会去尝试获取根证书，战略武器了 |
 | 8 zhuxiaoxi 2021-07-29 21:43:15 +08:00 我觉得肯定有一种方法让维护这台服务器的人也无法获取到 CA 的私钥。就像现代网站保存用户密码一样，即使是管理员获取到私钥和盐也无法轻易解开密码。 |
| 9 des 2021-07-29 21:48:05 +08:00 via iPhone |
 | 10 jim9606 2021-07-30 01:00:06 +08:00 你在机子上看到的那些根证书私钥都是放在 HSM 内的，基本都是离线保存，取出来难度可不是一般的大。就算搞到，闷声发大财不好吗。 通常根 CA 签过哪些中级证书都是公开可查的。真出现这事，将信任根转移到这些中级 CA 就行。后续可以一步步换掉证书链。 目前出过的事故并没有泄漏私钥，都只是错发证书，这个用 CRL 吊销就行。 |
 | 11 dingwen07 2021-07-30 03:14:42 +08:00 via iPhone |
 | 12 julyclyde 2021-07-30 18:11:05 +08:00 短时间内会带来大量欺诈 然后 CA/browser forum 就会开会，在下一次系统更新里把它列入黑名单 |
 | 13 a1274598858 2021-12-03 11:46:08 +08:00 我们公司的根 CA 私钥都是放到保险柜里的 |
Select Language