沃通的證書還能買嗎?

讓我們加密吧憑證關係圖

沃通自從幾年前和StartCom一起被封殺了之後,還在繼續賣證書,甚至還推出了一個封閉式的電子郵件證書解決方案。

那麼,既然到目前為止,電腦仍然持續信任沃通所賣的證書,那這些證書是安全的嗎?

結論為 Yes;本文將就這個問題,從政治面、技術面探討這個問題。

證書信任模式

經銷商模式

自從沃通與StartCom的Root證書不再被信任後,沃通成為了Certum與DigiCert的合作夥伴;具體來說,這兩家CA分別為沃通簽發了中繼憑證(但並沒有把這張憑證給沃通,要使用還是得經過 Certum 與 DigiCert 的系統)。而沃通則成為了這兩家CA的經銷商。

這樣做的原因是,上層CA( Certum 或 DigiCert )可以完全控制證書的頒發與撤銷,所有的流程都可以藉由DigiCert的基礎設施完成。

沃通官網證書

這是從WoSign官方網站拿到的EV證書,我們可以很容易的看到,最上面的CA是DigiCert,中間有一張以WoTrus為名的中繼憑證。

請參照備考[1]。

在這個模式中,電腦是信任最上層的CA,沃通在此只是做一個品牌,並沒有辦法自主簽發證書。

交互簽章

交互簽章可以理解成背書的意思,我們來看看Let’s Encrypt的情況。

Let’s Encrypt 是一家很新CA,因為太新了,Root證書沒有在老系統裡面,所以為了相容性,它使用了 IdenTrust 的證書對 Let’s Encrypt的中繼憑證進行交互簽章。

根據那張圖,我們可以看到 Let’s Encrypt Authority X3 有 DST 與 ISRG 兩種版本,為了那些沒有更新的舊裝置,大部分的網站都使用 DST 簽發的證書作為信任來源。

具體地說, Let’s Encrypt Authority X3 是 DST 與 ISRG 所簽發的中繼憑證,與上述的經銷商模式不同的是,Let’s Encrypt 擁有 Let’s Encrypt Authority X3 的私鑰,能夠自行簽發證書而不必經由 DST 確認,同時也擁有 ISRG 的所有權。

這是與沃通的經銷商模式最大的不同,沃通是無法自行簽發證書的。

那麼,有沒有例子是一張憑證有兩個不同的(一張可信;另一張不可信)根證書的情況呢?中華電信的另一個 Root 證書被拒絕信任,所以為了綠鎖頭,中華電信讓另一張證書作為信任的一環,所以一張證書會有兩條證書信任鍊但只有一條可用……

見:我們學校的證書[2]

那麼沃通呢?

沃通的證書是採用經銷商模式,且認證設施由上級提供。所以沃通其實只是經銷商,根本不是一家可以自己簽憑證的CA。

沃通所做的就是銷售憑證,所有的驗證都要回到更上級的CA做,連中繼憑證的私鑰沃通都拿不到。所以若是中國政府想要亂發憑證,沃通根本沒有辦法完成驗證程序,所以目前 Certum 與 DigiCert 為沃通簽發的證書仍然是可信的。

Post a Comment

Your email is never published nor shared. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*
*