在Mozilla安全邮件列表上，开发者 Gervase Markham发帖称，多起与沃通CA（WoSign）相关的事故引起了他们

在Mozilla安全邮件列表上，开发者GervaseMarkham发帖称，多起与沃通CA（WoSign）相关的事故引起了他们的注意，Mozilla正考虑是否对沃通CA采取行动。Markham谈论了三起事故：2015年4月23日左右，沃通CA允许免费证书申请者选择任意端口验证，违反了限制端口和路径使用的规定；2015年6月，免费证书申请者发现如果他们能证明控制了子域名那么就能获得基础域名（BaseDomain）的证书，如证明控制了theiraccount.github.com/theiraccount.github.io等子域名得到了github.com、github.io和www.github.io的证书；2016年7月，与沃通CA有关联的StartComCA被发现允许证书倒填日期，倒填日期能绕过浏览器对SHA-1算法的限制。Mozilla可能采取的行动包括吊销沃通CA证书。沃通CA是中国最大的SSL证书发行商之一，它声称中国市场每3张SSL证书中就有1张由沃通CA签发，如果吊销沃通CA证书，可能将会影响很多中国网站。https://groups.google.com/forum/#!topic/mozilla.dev.security.policy/k9PBmyLCi8I

相关推荐

封面图片

Mozilla正在考虑如何对屡次违规的 ＃沃通CA 的采取惩罚措施，它在网站上列出了已确认或有嫌疑的与沃通CA相关的问题，这些问

Mozilla正在考虑如何对屡次违规的＃沃通CA的采取惩罚措施，它在网站上列出了已确认或有嫌疑的与沃通CA相关的问题，这些问题不限于之前在安全邮件列表上列出的3个问题。它们突出了沃通CA在证书管理上的混乱。举例来说，沃通CA在2015年4月9日到4月14日之间签发了392个相同序列号的证书；2015年12月，沃通CA使用中国制定SM2算法签发了两个证书，违反了CA/BrowserForumBaselineRequirements的要求，沃通回应称这些证书是测试用的；秘密收购StartComCA违反了Mozilla的CA政策。沃通CA已经发布了一份英文声明（PDF）回应了Mozilla提出的部分问题，称是一个未知的系统漏洞错误签发了github.com的证书。https://wiki.mozilla.org/CA:WoSign_Issues
封面图片

＃网络安全 ［沃通用 FUD 恐吓 Let's Encrypt 用户］

＃网络安全［沃通用FUD恐吓Let'sEncrypt用户］对于免费SSL证书Let'sEncryptCA的用户，中国的沃通CA正利用恐吓的方法诱使这些用户切换到它的证书。Let'sEncrypt的证书有效期为90天，之后会自动更新。根据沃通发送给用户的邮件，它声称使用国外CA会面临证书吊销风险（吊销中国重要单位的信息将导致系统全面瘫痪，它对此没有做出进一步的解释）、信息安全风险（国外CA掌握了用户的重要信息）、服务响应问题（海底光缆影响延迟）等等。这些内容并不新鲜，沃通CEO王高华本人就屡次抛出类似言论。沃通自称是一家私人公司，但根据2014年的一篇报道，国内的CA多数都具有国资/政府背景。王高华早年担任过深圳市信息网络中心总工程师。https://pbs.twimg.com/media/CrXf7w3W8AA2zd7.jpg:large
封面图片

＃安全 ［沃通被指秘密收购了StartCom，CEO发出威胁］

＃安全［沃通被指秘密收购了StartCom，CEO发出威胁］在Mozilla安全邮件列表有关沃通CA事件的讨论中，StartComCA和沃通CA被发现关系密切，两者之间有交叉签名，共享了基础设施，如果浏览器不信任沃通CA，那么只要StartComCA仍然被信任，任何沃通CA签发的证书仍然被视为是有效的。现在，一位自称StartCom前雇员的人士披露，沃通在2015年11月秘密收购了StartCom，根据以色列企业登记信息，StartCom现在的所有人是中国籍的GaohuaWang——即沃通CEO王高华：https://www.facebook.com/iyouport/posts/1251380401559768

🔍 发送关键词来寻找群组、频道或视频。

启动SOSO机器人