这个通用 SSL 证书指的是什么？

[mao13820]

昨天的西北工业大学遭受美国 NSA 攻击的报告中，有这么一句话

同时，技术团队还发现，TAO 基础设施技术处（ MIT ）工作人员使用“阿曼达•拉米雷斯（ Amanda Ramirez ）”的名字匿名购买域名和一份通用的 SSL 证书（ ID：e42d3bea0a16111e67ef79f9cc2*****）。随后，上述域名和证书被部署在位于美国本土的中间人攻击平台“酸狐狸”（ Foxacid ）上，对中国的大量网络目标开展攻击。特别是，TAO 对西北工业大学等中国信息网络目标展开了多轮持续性的攻击、窃密行动。

我很奇怪，什么叫通用 SSL 证书？做中间人攻击得有可信证书吧，这难道是通用的可信证书？或者是针对西北工业大学域名签发的可信泛域名证书？

联想到网上有很多小的 SSL 证书公司，他们的签发的证书很不稳，经常会被吊销。他们这种机构可以在不验证的情况下，非法签出各种可信证书吗？如果可以的话，感觉中间人攻击的可行性很高啊。

有没有懂这方面的老哥帮忙科普下，谢谢了

[ZE3kr]

这里的证书才是被浏览器信任的 https://crt.sh/?q=nwpu.edu.cn 搜不到上述通用 SSL 证书

学校为啥不把公钥发出来让大家看看

[ZE3kr]

不过一个连证书都会过期的学校我是不敢信 webvpn.nwpu.edu.cn

[imnpc]

攻击者域名 + 攻击者域名的 SSL 证书 大概是泛域名的 一个证书就支持 N 个二级域名部署

[Xusually]

攻击者申请的当然是攻击者用的域名了，所谓的通用应该指的是通配符域名。

你理解错了。