为什么 SSL 证书会被 Windows 自动添加

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3809 天前的主题，其中的信息可能已经有所发展或是发生改变。

这个描述貌似有些不清楚
就是昨天我提到的WoSign问题 /t/119312
证书部署什么的都是在Ubuntu开发机上弄的
我拿了台Win7机子试了下
我确认我的Windows系统没有Class 1 Primary CA
当我尝试访问我自己放置上WoSign证书的站点时，Chrome的锁是绿的，再打开certmgr，就出现了Class 1 Primary CA
@xoxo @ehs2013 有解释但我不是十分明白大家能不能解释一下这是怎么出现的该如何解决
这是不是也意味着,以后出现新的国内CA后，访问一次有该证书的网站，证书就会被自动添加到机子里，这不是太坑了

证书

wosign

PRIMARY

14 条回复 • 2014-06-26 10:07:35 +08:00

oott123

2014-06-25 12:24:48 +08:00 via Android

为什么不信任国内 CA 呢…
这些 CA 也是靠 VeriSign 之类的 CA 签信任链的吧…
那是不是相当于 VeriSign 签的你也不相信了呢…
又不是铁道那种自签名的 CA …

jerryjhou

2014-06-25 12:32:51 +08:00

@oott123 (他们)主要是不信任Gov，(他们认为)天朝Gov有能力强迫任何国内CA签发用于中间人攻击的证书

oott123

2014-06-25 12:34:56 +08:00 via Android

@jerryjhou 那样这家 CA 不就完蛋了么…
签也完蛋，不签也完蛋╮(╯▽╰)╭

jerryjhou

2014-06-25 12:37:29 +08:00

把WoSign放进不信任证书列表，不然会根据StartCom(就是StartSSL)的根证书信任自动信任

@oott123 他们的证书签发对象居然包括 “内容审查机构”

billlee

2014-06-25 13:02:42 +08:00

因为这是一个 suboridinate CA, 上面有被信任的 root CA 的签名，所以被信任了。
Suboridinate CA 的安全性是近两年来才引起关注的，在 2011 年发生了 Entrust, Inc. 的一个 subridinate CA 签发了弱密钥证书的事件。
https://blog.mozilla.org/security/2011/11/03/revoking-trust-in-digicert-sdn-bhd-intermediate-certificate-authority/

现在 Mozilla 的政策是要求 suboridinate CA 的 policy 必须符合 super CA 的 policy. Super CA 要每月对自己的 suboridinate CA 做审计，并且不允许 suboridinate CA 再给第三方 suboridinate CA 签名。