谷歌也不信任沃通的证书了，StartCom CA 一并受到同等处罚
从 Chrome 56 开始，不再信任沃通及被其收购的 StartCom 于 2016 年 10 月 21 日之后所颁发的证书，直到最终完全移除对这两个 CA 的信任！
沃通 StartCom
171.217.62.102
出来混迟早是要还的
来自四川成都的 Chrome 54.0|Windows 10 用户
2016-11-02T08:52:18.000
210.21.208.236
站长只发个新闻，也不对新闻评论下（评论下此新闻对国内的吃瓜群众有何影响，或者有何可能的影响。。）<br />
呵呵
fz420 [Chrome 54.0|GNU/Linux]
2016-11-02T09:36:32.000
123.120.74.12
这篇新闻是我写的。我下面评论了啊。其实一句话，尽快更换保平安。
linux [Chrome 54.0|Mac 10.11]
2016-11-02T10:21:34.000
116.255.132.12
愈演愈烈。
netb2c [Chrome 54.0|Fedora]
2016-11-02T10:46:22.000
116.31.81.182
最后半句是错别字吧？&nbsp;&nbsp;抑或=&gt;亦或
来自广东广州的 Firefox 49.0|Ubuntu 用户
2016-11-02T11:47:13.000
210.21.208.236
为什么不稍微科普点？
fz420 [Chrome 54.0|GNU/Linux]
2016-11-02T13:21:41.000
112.23.168.102
可以趁1折买一个证书玩玩。
来自江苏南京的 Firefox 49.0|Mac 10.11 用户
2016-11-02T14:36:33.000
116.226.233.7
貌似国内好沃通的免费证书0.0
来自上海的 Sogou Explorer 2|Windows 8.1 用户
2016-11-02T16:51:34.000
112.117.180.19
听西贝的喷友说是沃通很流氓，其背后是360
来自云南昆明的 Firefox 50.0|Windows 10 用户
2016-11-02T22:12:26.000
123.120.78.6
没错，本站有整个事件的相关线索，你可以跟着文章内的链接看看。
linux [Chrome 54.0|Mac 10.11]
2016-11-02T22:25:05.000
123.120.78.6
囧
linux [Chrome 54.0|Mac 10.11]
2016-11-02T22:27:55.000
123.120.78.6
整个事件其实我们连续报道了多篇了。不过这个事情还真没法再明白说了——明白的人自然明白其危害，不明白的人其实也根本不会意识到其危害。
linux [Chrome 54.0|Mac 10.11]
2016-11-02T22:29:21.000
123.120.78.6
吓得我赶紧用搜索引擎来验证我几十年来的用法。
linux [Chrome 54.0|Mac 10.11]
2016-11-02T22:30:38.000
123.120.78.6
这下彻底完了。360这钱白瞎了，只能说，以他们的一向行事风格，致此后果并不意外。
linux [Chrome 54.0|Mac 10.11]
2016-11-02T22:31:45.000
210.21.208.236
呵呵，<br />
所以贵站的办站宗旨是什么呢？<br />
是为了传播linux相关内容给精通系统、安全、网络各方面知识点的小伙伴？<br />
是为了传播linux相关内容给linux感兴趣的初级小伙伴？
fz420 [Chrome 54.0|GNU/Linux]
2016-11-03T10:39:42.000
123.120.179.55
360倒闭了都活该拍手称快弹冠相庆，只是可惜了咱中国为数不多的CA机构
hsrzq [Chrome 53.0|Mac 10.12]
2016-11-04T11:14:18.000
115.174.92.245
沒怎麼關注，幾個月前早就幹掉這個證書了，加上Chrome跟Firefox老早就封殺了，至少對一般用戶來說沒什麼影響。這貨走CNZZ老路罷了，忽悠不了誰。
来自广东深圳的 Chrome 52.0|GNU/Linux 用户
2016-11-04T16:08:50.000
14.18.25.110
哪里还有免费的证书可以申请么, 或者相当便宜的也可以
来自广东广州的 Chrome 54.0|GNU/Linux 用户
2016-11-05T00:10:38.000
123.120.78.6
let's encrypt
linux [Chrome 54.0|Mac 10.11]
2016-11-05T11:40:44.000
47.89.26.236
这文章跟此站宗旨有毛线冲突。。。<br />
不是很懂你们吃瓜群众。<br />
像我，在此站和freebuf抛出沃通证书问题的时候就把自己个人博客上的startcom证书给换成了let's encrypt了<br />
关于证书问题，从CNZZ到现在的沃通，懂的自然会懂，不懂也没关系，正常上网并没有什么影响。<br />
<br />
你想了解证书的危害可以翻翻freebuf等网站的历史文章，很详细也很方便，善用搜索引擎，自己动手丰衣足食。<br />
别整天等着别人喂食，那和咸鱼有何区别？#滑稽
youyoulemon [Chrome 54.0|Windows 10]
2016-11-05T13:23:25.000
从 Chrome 56 开始，不再信任沃通及被其收购的 StartCom 于 2016 年 10 月 21 日之后所颁发的证书，直到最终完全移除对这两个 CA 的信任！
继 Mozilla 做出对<ruby> 沃通 <rp>  （ </rp> <rt>  WoSign </rt> <rp>  ） </rp></ruby>的[处罚决定](/article-7898-1.html)之后，谷歌也跟随了这一做法，从 Chrome 56 开始，不再信任沃通及被其收购的 StartCom 于 2016 年 10 月 21 日之后所颁发的证书。


此前， 苹果已经率先于 [9 月 30 日](https://support.apple.com/en-us/HT204132)将沃通的根证书[从证书存储库中移除](/article-7846-1.html)了。虽然沃通及其被其秘密收购的 StartCom 均存在不同程度的 CA 违规问题，但是苹果和 Mozilla 在最近的操作中都只对沃通采取了处罚，而谷歌的处置则更进一步，也同时对 StartCom 进行了同等处罚。


![](/data/attachment/album/201611/01/232735zu1qnbnnffbvf8mn.jpg)


谷歌在其[通告](https://security.googleblog.com/2016/10/distrusting-wosign-and-startcom.html)中说：



> 
> 谷歌已经查明了沃通和 StartCom 这两个 CA 没有维持对其作为 CA 的高标准预期，因此根据我们的[根证书策略](https://www.chromium.org/Home/chromium-security/root-ca-policy#TOC-Removal-of-Trust)，谷歌 Chrome 将不再信任它们。这个观点类似于苹果和 Mozilla 的根证书计划发出的最近公告。
> 
> 
> 


在 2016 年 8 月 17 日，谷歌接到了 GitHub 安全团队的通告，称沃通在没有得到他们授权的情况下签发了一个 GitHub 的证书。这促使 GitHub 安全团队和 Mozilla 合作对沃通进行了调查，发现了[沃通的若干违规签发证书的问题](https://wiki.mozilla.org/CA:WoSign_Issues)。该调查表明沃通有意地规避了浏览器限制（即对 SHA-1 签名证书的失效计划）和对 CA 的要求。更进一步的，还发现了另外一家 CA 公司 StartCom 也被沃通秘密收购，这违反了对 CA 公司被收购需要披露信息的要求。而且，沃通公司还替换了原 StartCom 的基础设施、人员、政策和签发系统。面对这种情况，沃通和 StartCom 管理层还尝试误导社区这两个公司之间的收购事实和关系。


谷歌于 10 月 31 日发布了 Chrome 56 的 Dev 渠道版本。谷歌决定从该版本的 Chrome 开始，不再信任沃通和 StartCom 于 2016 年 10 月 21 日之后签发的证书。在这个日期之前签发的证书依旧信任，但是之后，除非他们遵循 [Chrome 的证书透明策略](https://www.chromium.org/Home/chromium-security/root-ca-policy/CTPolicyMay2016edition.pdf?attredirects=0)，将只能对其已有客户的域名签发。按照计划，Chrome 56 将于 2017 年 1 月正式发布稳定版，因此在此之前，**使用这两个 CA 所签发证书的网站应该尽快迁移到其它被 Chrome 信任的 CA 所签发的证书下**。


沃通和 StartCom 的客户会发现他们的证书在 Chrome 56 中不再有效。并且，更严厉的是，谷歌还说：



> 
> 在接下来的 Chrome 版本中，还会进一步减少对这两个 CA 签发的证书的支持，直到最终完全移除对这两个 CA 的信任！
> 
> 
> 


并且称：



> 
> 沃通和 StartCom 的任何试图规避处罚的做法都将导致这两个 CA 被马上全部移除！
> 
> 
> 


沃通的证书在国内使用比较多，而 StartCom 的 StartSSL 证书则在全球范围内有广泛的使用，尤其是它的免费证书有很多个人网站在使用。鉴于 Chrome 在浏览器市场上已经占据了[一半左右的份额](/article-7534-1.html)，因此其带来的影响将是毁灭性的。


目前，主流浏览器里面，Mozilla 的 Firefox 、苹果的 Safari 和谷歌的 Chrome 都已经做出了相应的反应，但是我们目前还没见到微软对此的跟进和表态。似乎微软在 CA 策略方面一向比较散漫，因此，IE 和 Edge 浏览器的反应或许还需要一段时间，抑或不会采取措施。

