V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
ysmood
V2EX  ›  SSL

如果某人获得了根 ca 的 private key 并公开之,会发生什么呢

  •  
  •   ysmood · 50 天前 · 1599 次点击
    这是一个创建于 50 天前的主题,其中的信息可能已经有所发展或是发生改变。

    比如各大机构想更新补丁来更改根 ca 但更新本身就需要联网,那也会被中间人,这难道就无解了吗?如此看来根 ca 能算成典型的 SPOF 了吧?

    目前这些常见的根 ca 都是谁控制的呢?

    12 条回复    2021-07-30 18:11:05 +08:00
    3dwelcome
        1
    3dwelcome   50 天前 via Android
    不会发生什么吧,你被中间人,那就说明 ICP 出问题了。
    而 ICP 主干网关,一般黑客是黑不进去的。
    而且系统官方的证书吊销列表,这玩意黑不了吧。
    learningman
        2
    learningman   50 天前 via Android
    一个的话,参见赛门铁克。而且现在有证书透明的东西,多少能管一点?
    如果是所有的话。。。不敢想象。
    foMM
        3
    foMM   50 天前
    现代 CA 很难发生这样的事情。当然如果真的发生,比如说 CA 的基建被用来签不对的证书( DigiNotar 了解一下),这个 CA 会就立即死亡。
    3dwelcome
        4
    3dwelcome   50 天前 via Android
    写错了,是 ISP,我想回复看着那么奇怪。
    foMM
        5
    foMM   50 天前
    @learningman #2 赛门铁克的问题跟这个不一样
    des
        6
    des   50 天前 via iPhone
    根证书都是断网存储的,而且放在专用机器的,想要弄出来很难
    felixcode
        7
    felixcode   50 天前 via Android
    想要搞多大的事才会去尝试获取根证书,战略武器了
    zhuxiaoxi
        8
    zhuxiaoxi   50 天前
    我觉得肯定有一种方法让维护这台服务器的人也无法获取到 CA 的私钥。就像现代网站保存用户密码一样,即使是管理员获取到私钥和盐也无法轻易解开密码。
    des
        9
    des   50 天前 via iPhone
    @des 而且导出也是只能导出到专用的密码机
    已经发生过的证书事件可以看看这个,https://blog.myssl.com/ca-blacklist/
    jim9606
        10
    jim9606   50 天前
    你在机子上看到的那些根证书私钥都是放在 HSM 内的,基本都是离线保存,取出来难度可不是一般的大。就算搞到,闷声发大财不好吗。

    通常根 CA 签过哪些中级证书都是公开可查的。真出现这事,将信任根转移到这些中级 CA 就行。后续可以一步步换掉证书链。

    目前出过的事故并没有泄漏私钥,都只是错发证书,这个用 CRL 吊销就行。
    julyclyde
        12
    julyclyde   50 天前
    短时间内会带来大量欺诈
    然后 CA/browser forum 就会开会,在下一次系统更新里把它列入黑名单
    关于   ·   帮助文档   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2061 人在线   最高记录 5497   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 29ms · UTC 13:05 · PVG 21:05 · LAX 06:05 · JFK 09:05
    ♥ Do have faith in what you're doing.