谷歌警告称存在一个未经授权的证书危害所有操作系统

谷歌称,在3月20日发现有未经授权的数字证书,冒充成受信任的谷歌的域名。

由一家叫 MCS 的中间证书颁发机构颁发的证书。此中间证书是由CNNIC发布的。谷歌警告称此证书可能会冒充其他网站。

CNNIC包含在所有主要操作系统的受信任的根证书存储区中,所以其颁发的证书被几乎所有浏览器和操作系统所信任。包括Windows、OS X、Linux等系统。

谷歌已经就此事及时通知了CNNIC和其他主流浏览器厂商,我们阻止了chrome信任 MCS的证书。

CNNIC22日解释称MCS只会在其已经注册拥有的域名上颁发证书。

然而,MCS没有把私匙放在合适的HSM,MCS把它安装在中间人代理设备上。

这些设备伪装成安全连接,用来拦截MCS雇员的安全通讯用以监视雇员或者其他目的。

雇员的计算机通常必须被配置为信任代理才能够做到这一点。

然而,MCS为了简单省事,直接将证书颁发到公共受信任证证书。这种做法严重违反了证书信任系统的规则。

这种解释是符合事实的。然而,CNNIC还签发了不适合MCS持有的证书权利和预期母的。

由于谷歌已经使用了CRLSet更新,所以Chrome用户不需要采取任何行动。我们并不建议人们更改密码,或采取其他行动。

再次,此事件也凸显了互联网证书颁发机制公开透明的必须要。

在 twitter上,谷歌发言人补充道:”我们理解MCS只是想查看他们的员工的通讯内容。”

Mozilla发言人随后称对 MCS颁发的中级证书将在即将到来的Firefox 37中被吊销。

本文由 蓝点网 作者:山外的鸭子哥 发表,其版权均为 蓝点网 所有,文章内容系作者个人观点,不代表 蓝点网 对观点赞同或支持。如需转载,请注明文章来源。
扫码关注蓝点网微信公众号

评论:

8 条评论,访客:8 条,站长:0 条
  1. myc92
    myc92发布于: 
    蓝点网小程序版 蓝点网小程序版 微信浏览器 微信浏览器

    早已不信任,谢谢鸭子哥

  2. 我祗是
    我祗是发布于: 
    蓝点网小程序版 蓝点网小程序版 微信浏览器 微信浏览器

    省政府新闻办打电话来称,“谷歌称CNNIC发布中间人攻击证书”一文需要立刻删除——月光博客鸭子哥,你不删,不删还是不删?

  3. ifanrpal
    ifanrpal发布于: 
    蓝点网小程序版 蓝点网小程序版 微信浏览器 微信浏览器

  4. 我祗是
    我祗是发布于: 
    蓝点网小程序版 蓝点网小程序版 微信浏览器 微信浏览器

    求停止使用CNNIC证书的图文教程

  5. kong
    kong发布于: 
    蓝点网小程序版 蓝点网小程序版 微信浏览器 微信浏览器

    哈哈哈哈哈,水一水

发表评论