【9.27更新】Mozilla 将不再信任 WoSign 和 StartCom 颁发的新证书

 事件回顾

【2016年 9月4日】WoSign 发布了一份内部调查的报告， 报告地址如下：

https://www.wosign.com/report/wosign_incidents_report_09042016.pdf，但是根据这份报告中的内容，有研究者发现WoSign本身所提供的审核方式和操作规则违反了CA/B论坛中对于证书审核的规则，讨论内容如下图：

于此同时，WoSign声称其将2015年所有的证书都发布到CT公开服务器上，但是研究者发现仍然有一些证书没有被发布到CT公开服务器。

更进一步的关于此事件的发展，我们将持续关注和更新。

【2016年 9月1日】 Google讨论组里针对国内CA机构沃通被爆在没有审核域名归属的情况下，给申请者颁发SSL证书等一系列的安全事件展开了如火如荼地讨论。

在Mozilla的讨论组里已经围绕此次安全事件讨论了两周，9月1日，Google数字证书研究员Ryan Sleevi在Mozilla邮件组中提出了一系列可行的措施进行了讨论。

以下是Ryan Sleevi提出的方案：

（1）彻底的移除WoSign CA，但允许用户手动添加；

（2）将WoSign CA从浏览器全局设置为不可信，即使用户自己添加根证书也无法可信；

（3）彻底的移除WoSign CA根证书，同时开发白名单来为已经存在的证书继续提供信任机制，直到这些用户的证书到期；

（4）将不信任所有证书，把 2016年之前颁发的证书列入白名单，白名单中的证书将不受影响。

更进一步的关于此事件的发展，我们将持续关注和更新。

【2016年8月29日更新】在过去的几天里，研究者不断的又相继找到更多的WoSign没有完全验证身份而错误颁发的SSL证书，其中包括微软https://crt.sh/?id=29805555 和阿里巴巴旗下CDN服务 https://crt.sh/?id=29884704 。

之前在2011年，就曾发生过DigiNotar、Comodo的数字证书颁发安全事故。当时Diginator已经被完全吊销根证书。在每年的安全审查报告中，WoSign并没有将这些错误颁发的证书列入到审查报告中，直到研究人员发现这些错误被颁发出来的证书，同时WoSign对这些错误颁发的证书也没有快速的采取行业内规范的措施 － 立即吊销这批有问题的证书，而是采取被动的方式来应对这些问题。

2016年8月25日，在Mozilla安全策略讨论组中，开发者 Gervase Markham发帖称，多起与中国证书颁发机构沃通CA（WoSign）相关的安全事故引起了他们的关注。Mozilla正考虑是否对WoSign在Firefox浏览器中采取相关行动，与此同时在Google 讨论组中展开更详细的讨论。