比如各大机构想更新补丁来更改根 ca 但更新本身就需要联网，那也会被中间人，这难道就无解了吗？如此看来根 ca 能算成典型的 SPOF 了吧？
目前这些常见的根 ca 都是谁控制的呢？
This topic created in 1756 days ago, the information mentioned may be changed or developed.
 |
1
3dwelcome Jul 29, 2021 via Android
不会发生什么吧，你被中间人，那就说明 ICP 出问题了。
而 ICP 主干网关，一般黑客是黑不进去的。 而且系统官方的证书吊销列表，这玩意黑不了吧。 |
 |
2
learningman Jul 29, 2021 via Android
一个的话，参见赛门铁克。而且现在有证书透明的东西，多少能管一点？
如果是所有的话。。。不敢想象。 |
 |
3
foMM Jul 29, 2021
现代 CA 很难发生这样的事情。当然如果真的发生，比如说 CA 的基建被用来签不对的证书（ DigiNotar 了解一下），这个 CA 会就立即死亡。
|
|
4
3dwelcome Jul 29, 2021 via Android
写错了，是 ISP，我想回复看着那么奇怪。
|
|
5
foMM Jul 29, 2021
@learningman #2 赛门铁克的问题跟这个不一样
|
 |
6
des Jul 29, 2021 via iPhone
根证书都是断网存储的，而且放在专用机器的，想要弄出来很难
|
 |
7
felixcode PRO 想要搞多大的事才会去尝试获取根证书，战略武器了
|
 |
8
zhuxiaoxi Jul 29, 2021
我觉得肯定有一种方法让维护这台服务器的人也无法获取到 CA 的私钥。就像现代网站保存用户密码一样，即使是管理员获取到私钥和盐也无法轻易解开密码。
|
|
9
des Jul 29, 2021 via iPhone
|
 |
10
jim9606 Jul 30, 2021
你在机子上看到的那些根证书私钥都是放在 HSM 内的，基本都是离线保存，取出来难度可不是一般的大。就算搞到，闷声发大财不好吗。
通常根 CA 签过哪些中级证书都是公开可查的。真出现这事，将信任根转移到这些中级 CA 就行。后续可以一步步换掉证书链。 目前出过的事故并没有泄漏私钥，都只是错发证书，这个用 CRL 吊销就行。 |
 |
11
dingwen07 Jul 30, 2021 via iPhone
|
 |
12
julyclyde Jul 30, 2021
短时间内会带来大量欺诈
然后 CA/browser forum 就会开会，在下一次系统更新里把它列入黑名单 |
 |
13
a1274598858 Dec 3, 2021
我们公司的根 CA 私钥都是放到保险柜里的
|
Select Language