摘要：
上周印度草台公司 eMudhra 证书私钥问题引起全行业的关注，该公司签发的 8 张中间 CA 证书均使用弱密钥，其中 EM OV TLS CA – G3C 证书的私钥更是夸张到只有数字 4，因此任何人都可以直接使用这个证书为其他域名签发子证书。
不过这些问题证书目前已经被浏览器和操作系统吊销，但某些设备可能不会检查证书吊销列表或无法获得更新，那被吊销的证书仍然被信任，用来签发的子证书也还是可以使用的。
于是爱好者们为Google域名签发 10.6 万张证书：
要测试使用 eMudhra 为任意域名签发证书，首选域名当然是Google (就像国内用户检查是否联网就打开百度)，于是目前 CT 证书透明度日志已经记录到爱好者们为Google主域名 Google.com 签发高达 10.6 万张证书。
目前证书透明度日志记录到的签发记录达到 10.7 万条，其中 99% 都是以Google域名作为测试对象的。这些证书可以通过 CA 公钥认证，但由于中间证书已经被浏览器吊销，因此实际访问时会出现阻断 (除非无法检查吊销记录)。
为什么自己签发的证书也能被 CT 记录到：
因为证书签发和 CT 日志登记是不同的流程，正常情况下 CA 核验域名控制权后使用中间 CA 私钥签发证书。持有泄露私钥的人则可以在本地制作证书，把任意域名写入到 DNS 名称字段，再使用该私钥进行签名。
RFC 9162 规定任何人都可以向 CT 日志提交证书并附上证书链供日志检查，CT 日志负责记录和公开证书供外界审查 CA 签发情况，不负责替 CA 审核域名控制权。所以爱好者们在签发证书时如果向 CT 日志提交那就可以被检查到。
评论