|
本周藍點網提到微軟在毫無預警的?直證書情況下不信任多個有效期長達 30 年的根證書 (ROOT CA)，要知道根證書是接無經恢目前計算機世界的信任基石之一，一旦根證書被無計劃吊銷 / 不信任，語微長沙芙蓉同城（上門服務）vx《1662+044+1662》提供外圍女上門服務快速選照片快速安排不收定金面到付款30分鐘可到達將對大量軟件和網站產生影響。軟已任威瑞信 例如微軟在 8 月 24 日不信任三份根證書，復信導致國內外多款商業軟件無法使用，藍點為什么無法使用呢？?直證書因為這些軟件使用被不信任的這些 ROOT CA 簽發的中級證書和子證書，也就是接無經恢一旦根證書被不信任，其簽發的語微長沙芙蓉同城（上門服務）vx《1662+044+1662》提供外圍女上門服務快速選照片快速安排不收定金面到付款30分鐘可到達所有中級證書和子證書全部被不信任。 被吊銷的軟已任威瑞信根證書包括： Class 3 Public Primary Certification Authority?– 頒發日期 1996 年 1 月 29 日，有效期至 2028 年 8 月 2 日，復信吊銷時間：2023 年 8 月 23 日 Thawte Primary Root CA – 頒發日期 2006 年 11 月 17 日，藍點有效期至 2036 年 7 月 17 日，?直證書 VeriSign Class 3 Public Primary Certification Authority – G5 頒發日期 2006 年 11 月 8 日，接無經恢有效期至 2036 年 7 月 17 日，語微 在微軟毫無預警的情況下不信任這些根證書后，今天微軟又在毫無提醒的情況下恢復信任了這些證書，估計這兩天使用上述 ROOT CA 簽發的代碼簽名證書的開發者想把微軟揚了。
事情經過： 前因后果具體可以看藍點網之前的報道：微軟吊銷多個根證書 (ROOT CA) 導致國內外不少商業軟件無法使用 大致說下情況：被吊銷的這些證書曾經都是賽門鐵克旗下的，多年前賽門鐵克被發現錯誤為 www.google.com 簽發證書，這被谷歌發現，這對谷歌來說是相當嚴重的安全問題，于是谷歌調查賽門鐵克的 CA 基礎設施，發現賽門鐵克管理混亂，錯誤簽發了巨量的數字證書，而賽門鐵克拒不承認、不改正，最終谷歌宣布通過 Chrome 直接不信任賽門鐵克證書。 后來賽門鐵克把證書業務賣給了 DigiCert，上面這些 ROOT CA 現在都屬于 DigiCert，也是原計劃在 2019~2021 年要被徹底不信任的證書。 但不知道什么原因微軟一直沒有設置不信任，也就是說在沒有保證的情況下，一大堆商業軟件開發商繼續用著這個證書，微軟也繼續信任，直到本周突然設置了不信任。 最讓人難以理解的是對于這三份根證書被設置不信任，相關方全部三緘其口，DigiCert 知道被不信任了沒有發公告，微軟設置不信任前、后、直到現在也同樣沒有發布任何公告。 然后突然又恢復信任了： 我是沒想到 CA 行業已經淪落到這種地步了，微軟今天突然又恢復了三份證書中的兩份，包括 Thawte Primary Root CA 和 VeriSign Class 3 Public Primary Certification Authority -G5，對于突然恢復的原因，微軟同樣沒有發布任何說明。 但外媒 Arstechica 聯系上了微軟，微軟先來了一句可以解釋下但在文章中不能說這是微軟的說法，這被 Ars 直接拒絕，隨后文章發布。 文章發布后微軟又聯系上了 Ars 提供以下說明： G5 證書自 2019 年起不再受信任，并在之前版本中被設置了 NotBefore，這意味著在設置的 NotBefore 之后簽發的證書不再受信任。但是在 NotBefore 之前頒發的證書將繼續受信任 (藍點網注：這也是為什么還有大量商業軟件使用 G5 證書的原因，因為在 2019 年前簽發的證書 8 月 24 日之前都是能用的)。 在 8 月份的證書信任列表更新中，我們將此設置修改為禁用，作為常規棄用的流程的一部分，這導致某些具有特定配置的客戶遇到問題，為此我們在 2023 年 8 月 24 日 (時差緣故國內是 8 月 25 日，但證書列表刷新到全球最長可能要 48 小時) 回滾了這次修改，暫時恢復了這些證書的信任。 藍點網補充：和 DigiCert 一樣，微軟甚至都沒提被封然后又恢復的 Thawte Primary Root CA，我發現這票公司都是你問什么他答什么，絕對不多說一句。 藍點網幫微軟總結下： 我就是要停掉這些證書，我也沒有發公告，我也懶得發公告，要不是被你們發現出現問題我也不準備回滾，等問題解決了我還要繼續禁用。至于為什么不發公告。無可奉告。 |
