奇虎 360 旗下的 StartCom 又签发了假的证书，

› Certificate Search by Comodo

This topic created in 3446 days ago, the information mentioned may be changed or developed.

StartCom 对此回应：他们正在实现 Google 维护的 CT log （证书透明），但由于防火长城而遇到了一些问题。他们提出了一个解决方案 —— 签发了这些假的证书，据说只为了测试。

startcom

证书

签发

log

18 replies • 2017-06-05 13:44:22 +08:00

ylx

Jun 4, 2017 via Android

放弃治疗了

rssf

Jun 4, 2017 via iPhone

能改的了吃屎就不是狗

shiny

Jun 4, 2017

http://www.solidot.org/story?sid=52634

580a388da131

Jun 4, 2017

Google 是怎么拦截到这些假证书的？

wwqgtxx

Jun 4, 2017

@580a388da131 chrome 浏览器会上传证书

Showfom

PRO

Jun 4, 2017

给 test.cn 这个米签发了证书 233

域名: test.cn
ROID: 20030312s10001s00063170-cn
域名状态: clientDeleteProhibited
域名状态: clientUpdateProhibited
域名状态: clientTransferProhibited
注册者 ID: xq317v49978fop
注册者: 北京慧思德科技有限公司
注册者联系人邮件: [email protected]
所属注册服务机构: 北京新网数码信息技术有限公司
域名服务器: ns15.xincache.com
域名服务器: ns16.xincache.com
注册时间: 2003-03-17 12:20:05
到期时间: 2020-03-17 12:48:36
DNSSEC: unsigned

580a388da131

Jun 4, 2017

@shiny Solidot 到底又啥背景。。。

taineric

Jun 4, 2017 via Android

我觉得根本问题是这家公司的中国团队完全没有任何安全意识

honeycomb

Jun 4, 2017 via Android

@580a388da131 zdnet

coderfox

Jun 4, 2017 via Android

@580a388da131 Chrome 有选项，可以自动上报可能的安全事件。

rssf

Jun 4, 2017

先故意偶发错误，测试对方反应及应对手段，逐步升级，直到关键时刻直接致命一击

redsonic

Jun 4, 2017

谁能贴一下这个证书，想去 crt.sh 去查一下
@Showfom

jasontse

Jun 4, 2017 via iPad

不管是出于什么动机，自己招黑也好，对华歧视也罢，这个时候干这种事并不明智，本身你就是已经在观察期还不知道小心点。

yexm0

Jun 4, 2017

@redsonic https://groups.google.com/forum/#!topic/mozilla.dev.security.policy/42daAyURTKk

LanFomalhaut

Jun 4, 2017

神特么 test.cn 一天到晚想着搞大事情

redsonic

Jun 4, 2017

@yexm0 也就是说他们为了测试 ct log，为 test.cn 签发了一个审核程度还不如 DV 的 EV 证书，而且 test.cn 和 startcom 没有任何关系，test.cn 躺枪？

chrome 会上传证书有文章详细介绍吗？ chromium 代码扒了一下没看到。我觉得只是因为这个 fake 证书去 google 的 CT 查了引起了注意吧。
@wwqgtxx
@coderfox

yuedingwangji

Jun 5, 2017

请问一下什么叫假证书

Cu635

Jun 5, 2017

@redsonic
chromium 和 chrome 还是不太一样的，chrome 也许加上了这方面的代码。