网易首页 > 网易数码 > 正文

国内CA机构沃通错误颁发GitHub域名SSL证书

0
分享至

(原标题:国内CA机构沃通错误颁发GitHub域名SSL证书)

摘要:传统的电子证书管理系统其实是互联网上最薄弱的一环,用户们盲目相信全球的CA机构能够保护他们的机密和个人信息的完整性。但是,这些证书机构能够为任何你所拥有的域名颁发合法的SSL证书,也不会管你有没有在其他的证书机构购买过。这是CA系统中最大的漏洞。而最近的这起事件中,沃通在没有审核域名归属的情况下,就为某申请者颁发了一张SSL证书。

事件经过

沃通(WoSign) 是一家国内的证书签发机构,公司自称是中国最大的国产品牌数字证书颁发机构,中国市场占有率超过70%,拥有全球信任的顶级根证书。

这起事件由英国的Mozilla程序员Gervase Markham发布在Mozilla的安全政策邮箱列表里,据他说,这样的情况从2015年7月就开始了,他一直没有上报。

Markham在邮件列表里称,2015年6月,有申请者发现沃通免费证书服务存在问题,只要申请者证明他们拥有子域名,沃通就会给他们颁发根域的证书。这名申请者本来是想要申请一张 med.ucf.edu 的证书,不小心写成了, www.ucf.edu ,结果沃通居然同意了,颁发了一张根域名的证书给他。

为了进一步测试,研究人员用同样的方法针对Github的根域名实施了欺骗,众所周知,GitHub是可以支持用户创建自己的{username}.github.io子域名的。因此,当申请者证明自己有子域控制权后,沃通同样分发了GitHub根域名的证书。

研究人员向沃通报告了这个情况,并以GitHub为例,结果沃通只是吊销了GitHub的证书。之所以只吊销了一个证书,可能是因为沃通没有能力再去一个一个追踪所有误发的根证书。研究人员最近联系上了Google,并且报告了ucf.edu证书一年之后还没有被吊销的问题。

防御方法

证书是一家网站与访客建立安全通信的渠道,证书遭到泄露,会危及用户安全造成严重后果。攻击者可以利用虚假证书进行中间人攻击从而劫持用户。

实际上为了防止这类事件的发生,有一个公共服务机制叫做证书透明,这个机制能够让个人用户和公司检查他们的域名一共被签发了多少张证书。

   

证书透明就是让证书机构们公开他们所发布的每一张证书。实际上沃通也参加了这个机制。

虽然这个机制不能防止CA颁发假的证书,但是它能够使得伪造证书的检测更加方便。目前,Google,赛门铁克、DigiCert等CA都在参与维护公共证书透明日志。

你可以使用Google或Comodo的证书透明查询工具查询你的域名下所有的证书。

相关推荐
热点推荐
《追风者》:隐藏最深的同志,级别或比徐诺高,魏若来被骗了

《追风者》:隐藏最深的同志,级别或比徐诺高,魏若来被骗了

娱乐圈酸柠檬
2024-03-28 22:52:08
10年,美国夫妇领养6岁女孩后,家中怪事频发,意外发现养女22岁

10年,美国夫妇领养6岁女孩后,家中怪事频发,意外发现养女22岁

可乐86
2024-03-27 09:51:39
1998年,聚会上有个算命大师看到陈志朋就直接说:“你不会火的”

1998年,聚会上有个算命大师看到陈志朋就直接说:“你不会火的”

追影客栈
2024-03-27 10:59:53
苦尽甘来:中国谋略大师级的亮剑,彻底惊艳了全世界!

苦尽甘来:中国谋略大师级的亮剑,彻底惊艳了全世界!

兵国大事
2024-03-03 16:31:32
失联10年,马航370传来新消息,超乎你的想象!

失联10年,马航370传来新消息,超乎你的想象!

心灵短笛
2024-03-07 11:07:06
2011年,姚明成为自由球员,当时联盟是怎么去哄抢的呢?

2011年,姚明成为自由球员,当时联盟是怎么去哄抢的呢?

林子说事
2024-03-27 14:04:24
我是北方人,对遥远的江西有6点疑问,实在绞尽脑汁都想不明白

我是北方人,对遥远的江西有6点疑问,实在绞尽脑汁都想不明白

书山有路勤为径
2024-03-28 21:07:30
曝《浪姐5》多位姐姐退赛,赛制疑有很大问题,大Vocal也留不住

曝《浪姐5》多位姐姐退赛,赛制疑有很大问题,大Vocal也留不住

木木夕木可
2024-03-28 20:11:47
般配!网友扒出李雪琴的男友是王一通,北大才女VS社恐编剧

般配!网友扒出李雪琴的男友是王一通,北大才女VS社恐编剧

娱乐寡姐
2024-03-28 16:08:23
“雷军,雷神”热搜爆了!开售27分钟,大定破5万,服务器被挤爆!股价狂飙,一度涨超10%

“雷军,雷神”热搜爆了!开售27分钟,大定破5万,服务器被挤爆!股价狂飙,一度涨超10%

每日经济新闻
2024-03-29 00:45:21
太想吃人肉,德国男人网上发布食材招募,204人报名想被他吃掉

太想吃人肉,德国男人网上发布食材招募,204人报名想被他吃掉

午夜故事会
2023-06-05 15:54:25
普京:向乌交付F-16战机无法改变战场局势,“我们将像摧毁其他武器一样摧毁它们”

普京:向乌交付F-16战机无法改变战场局势,“我们将像摧毁其他武器一样摧毁它们”

环球网资讯
2024-03-28 09:53:22
寿命长不长,牙齿先知?60岁后,掉牙多的人活得久?告诉你答案

寿命长不长,牙齿先知?60岁后,掉牙多的人活得久?告诉你答案

肿瘤的真相与误区
2024-03-19 17:42:58
太欺负人了!53岁的中年女人,竟把两个20出头的姑娘给比下去了

太欺负人了!53岁的中年女人,竟把两个20出头的姑娘给比下去了

静静时光
2024-03-22 12:26:38
巴西足协主席:巴西之后不会参加没有VAR的比赛

巴西足协主席:巴西之后不会参加没有VAR的比赛

懂球帝
2024-03-28 01:53:15
强烈要求广西取消三月三放假活动

强烈要求广西取消三月三放假活动

小李子体育
2024-03-28 13:24:19
3-2!仁川冠军赛:女单16强诞生!早田希娜苦战5局 点名孙颖莎

3-2!仁川冠军赛:女单16强诞生!早田希娜苦战5局 点名孙颖莎

开心体育站
2024-03-28 18:30:57
突传噩耗!58岁港星黎明诗去世,曾与成龙利智合作,公开承认出柜

突传噩耗!58岁港星黎明诗去世,曾与成龙利智合作,公开承认出柜

180°视角
2024-03-28 14:01:39
曾经那么火的“乳胶枕”,为何惨遭嫌弃?过来人:用上一年就懂了

曾经那么火的“乳胶枕”,为何惨遭嫌弃?过来人:用上一年就懂了

历史有些冷
2024-03-27 17:00:02
笑话十条:朋友失恋了,对他打击很大,开始努力卖保险

笑话十条:朋友失恋了,对他打击很大,开始努力卖保险

嘻哈段子
2024-03-28 08:36:08
2024-03-29 01:24:49

头条要闻

小米汽车7分钟大定破2万 网友:这价格真可以杀穿同行

头条要闻

小米汽车7分钟大定破2万 网友:这价格真可以杀穿同行

体育要闻

詹姆斯场边惊叹!16年前今天 疯三库里连续3场30+杀入精英8强

娱乐要闻

莱昂纳多与25岁新女友互相投喂超恩爱

财经要闻

中国版QE要来?国内外机构观点罕见一致

科技要闻

李斌李想何小鹏喊你买小米汽车

汽车要闻

混动增程双模式 长安UNI-Z售11.79万起

态度原创

教育
时尚
本地
游戏
数码

教育要闻

如何让孩子自觉主动写作业?这是我见过最好的建议

2024的流行色,一定离不开安可拉红

本地新闻

专访|张伟潮:最年轻的龙头专职制造者

Fami通新一周销量榜 《碧姬公主 表演时刻!》登顶

数码要闻

小米汽车SU7发布:Max零百2.78s 售价21.59万元起

无障碍浏览 进入关怀版
×