继 Mozilla 做出对 沃通 （ WoSign ） 的处罚决定之后，谷歌也跟随了这一做法，从 Chrome 56 开始，不再信任沃通及被其收购的 StartCom 于 2016 年 10 月 21 日之后所颁发的证书。

此前， 苹果已经率先于 9 月 30 日将沃通的根证书从证书存储库中移除了。虽然沃通及其被其秘密收购的 StartCom 均存在不同程度的 CA 违规问题，但是苹果和 Mozilla 在最近的操作中都只对沃通采取了处罚，而谷歌的处置则更进一步，也同时对 StartCom 进行了同等处罚。

谷歌在其通告中说：

谷歌已经查明了沃通和 StartCom 这两个 CA 没有维持对其作为 CA 的高标准预期，因此根据我们的根证书策略，谷歌 Chrome 将不再信任它们。这个观点类似于苹果和 Mozilla 的根证书计划发出的最近公告。

在 2016 年 8 月 17 日，谷歌接到了 GitHub 安全团队的通告，称沃通在没有得到他们授权的情况下签发了一个 GitHub 的证书。这促使 GitHub 安全团队和 Mozilla 合作对沃通进行了调查，发现了沃通的若干违规签发证书的问题。该调查表明沃通有意地规避了浏览器限制（即对 SHA-1 签名证书的失效计划）和对 CA 的要求。更进一步的，还发现了另外一家 CA 公司 StartCom 也被沃通秘密收购，这违反了对 CA 公司被收购需要披露信息的要求。而且，沃通公司还替换了原 StartCom 的基础设施、人员、政策和签发系统。面对这种情况，沃通和 StartCom 管理层还尝试误导社区这两个公司之间的收购事实和关系。

谷歌于 10 月 31 日发布了 Chrome 56 的 Dev 渠道版本。谷歌决定从该版本的 Chrome 开始，不再信任沃通和 StartCom 于 2016 年 10 月 21 日之后签发的证书。在这个日期之前签发的证书依旧信任，但是之后，除非他们遵循 Chrome 的证书透明策略，将只能对其已有客户的域名签发。按照计划，Chrome 56 将于 2017 年 1 月正式发布稳定版，因此在此之前，使用这两个 CA 所签发证书的网站应该尽快迁移到其它被 Chrome 信任的 CA 所签发的证书下。

沃通和 StartCom 的客户会发现他们的证书在 Chrome 56 中不再有效。并且，更严厉的是，谷歌还说：

在接下来的 Chrome 版本中，还会进一步减少对这两个 CA 签发的证书的支持，直到最终完全移除对这两个 CA 的信任！

并且称：

沃通和 StartCom 的任何试图规避处罚的做法都将导致这两个 CA 被马上全部移除！

沃通的证书在国内使用比较多，而 StartCom 的 StartSSL 证书则在全球范围内有广泛的使用，尤其是它的免费证书有很多个人网站在使用。鉴于 Chrome 在浏览器市场上已经占据了一半左右的份额，因此其带来的影响将是毁灭性的。

目前，主流浏览器里面，Mozilla 的 Firefox 、苹果的 Safari 和谷歌的 Chrome 都已经做出了相应的反应，但是我们目前还没见到微软对此的跟进和表态。似乎微软在 CA 策略方面一向比较散漫，因此，IE 和 Edge 浏览器的反应或许还需要一段时间，抑或不会采取措施。

Mozilla 对沃通（WoSign）的处罚终于落定。

前一段时间，Mozilla 就沃通 CA 违规的问题，于 8 月 24 日发起了针对沃通 CA 的调查，并发布了一个问题列表。之后在 10 月 5 日， Mozilla、奇虎 360 、StartCom 和沃通在伦敦举行了闭门商谈，讨论下一步行动。

10 月 20 日，Mozilla 公布了对沃通 CA 的最终处理意见：

• 它不再信任在 10 月 21 日之后签发的沃通 CA 证书

• 从 Firefox 51 （预计将在 2017 年 1 月 23 日发布）起，移除之前预置的 4 个沃通根证书：

  1. CN=CA 沃通根证书, OU=null, O=WoSign CA Limited, C=CN
  2. CN=Certification Authority of WoSign, OU=null, O=WoSign CA Limited, C=CN
  3. CN=Certification Authority of WoSign G2, OU=null, O=WoSign CA Limited, C=CN
  4. CN=CA WoSign ECC Root, OU=null, O=WoSign CA Limited, C=CN

但是从这 4 个根证书签发的所有代码签名证书、客户端证书、签名平台（WoSignDoc）均不受任何影响。10 月 21 日（包括 21 日）之前签发的所有 SSL 证书也都不受任何影响，都能正常被 Mozilla 的火狐浏览器信任。

预计 Mozilla 的这一决定也有可能被其它主流浏览器所接纳。

此外，Mozilla 提出了六点操作要求：

1. 提供实施整改计划列表，确保将来不会违例 Mozilla 的 CA 证书策略和 CA/Browser 论坛的基准要求。
2. 实施整改，并更新其 CP/CPS 来完整描述其改进过程。CP/CPS 必须明确申明禁止倒填超过一天前的证书。
3. 对所做的整改，提供来自 Mozilla 所认可的 WebTrust 鉴证机构的面向公众的认证。该审计可能需要作为年度 WebTrust CA 审计的一部分。
4. 提供审计认证，对全部业务进行审计，确认合规 CA/Browser 论坛的基准要求。该审计可能需要作为年度 WebTrust CA 审计的一部分。
5. 提供审计认证，对 CA 的签发基础设施可以顺利完成执行完整的安全审计。
6. 所有签发的证书 100% 嵌入证书透明度（CT）信息，嵌入的 SCT 至少有一条来自谷歌，一条来自谷歌之外。

2017 年 6 月 1 日后，在满足 Mozilla 提出的上述 6 点操作要求后，沃通 CA 可以重新走正常申请 Mozilla 根认证流程，重新申请新的根证书预置。

沃通对此表示遗憾， 并宣布：

1. 将更新数字证书商店Buy网站，从10月22日起，所有从沃通4个根证书下签发的所有收费SSL证书全部一折销售；免费SSL证书继续停止开放；
2. 将增加一个产品选项，用户可以选购从新的沃通（WoSign）中级根证书下签发的支持所有浏览器（包括火狐浏览器）的SSL证书，在过渡期八折优惠。此中级根证书将由全球信任的其他CA根证书签发，支持所有浏览器和所有新老终端设备。此项产品升级计划一个月内完成并为广大用户提供证书服务；
3. 将积极按照Mozilla提出的6点要求进行操作，争取在2017年6月1日之后，尽快完成新根证书在各个浏览器系统的预置工作；
4. 已经并继续对所有系统进行全面的安全审计并加固升级改造，同时完善各种内控管理制度，组建国际标准研究团队和内审团队，确保所有系统100%符合国际标准，所有业务操作严格按照国际标准要求操作，加强员工严格按照标准操作的执行力度，违者将受到严厉惩处。

（题图来自：deviantart.net）

Firefox 浏览器背后的 Mozilla 基金会正在考虑对沃通（WoSign）及被其秘密收购的 StartCom（著名的 StartSSL 即其旗下产品）这两个 CA 一年内新签发的所有 SSL 证书进行封杀。

Mozilla 的工程师是在对这两个 CA 签发了一系列可疑的 SSL SHA-1 证书进行调查之后，宣布了这个禁令。

这两家 CA 试图规避 SHA-1 停用政策

该问题主要是因为各大主要浏览器厂商共同决定从 2016 年 1 月 1 日开始就停止接受采用陈旧的 SHA-1 签名算法的证书。而 Mozilla 指责沃通今年还在签发 SHA-1 签名的证书，并将签发日期倒填成去年 12 月份。

虽然 Mozilla 也允许一些其它的 CA 在 2016 年 1 月 1 日之后继续签发 SHA-1 证书，比如说赛门铁克，但是他们仅允许那些通过了复杂的审批流程的 CA 这样做，而显然沃通没有得到同意。

沃通秘密收购了 StartCom

此外，沃通似乎在否认其收购了以色列 CA 公司 StartCom。Mozilla 说，沃通已经于 2015 年 11 月 1 日百分百地收购了 StartCom。而另一方面，据奇虎 360 称，它共计持有 84% 的沃通股份。但是这些信息沃通此前都予以否认或拒绝发表意见。

此外，在 Mozilla 披露的技术细节中显示，StartCom 已经开始使用沃通的基础架构来签发新的证书了。而且，StartCom 也和沃通一样在 2016 年采用了倒填日期的手段来签发 SHA-1 证书。Mozilla 的安全工程师也展示了这种违例的案例细节。

Mozilla 的调查发现，一个和 GeoTrust CA 合作了多年的付费处理机构 Tyro 突然在 6 月中旬使用 StartCom 部署了一个 SHA-1 签名的证书，而此前该机构从未和 StartCom 有过合作。该证书看起来是在 2015 年 12 月 20 日签发的，而在同一个日期 StartCom 签发大量的 SHA-1 证书。Mozlla 发现这些证书部署于 2016 年中，这很不正常，这显然是采用倒填日期来规避 SHA-1 停用的策略。

这些问题以及其它的更多问题让 Mozilla 决定在至少一年内不再信任沃通和 StartCom 的 SSL 证书。

或许会永久封杀

Mozilla 说这个临时封杀仅针对这两个公司最新签发的证书，不影响已经分发给他们的客户的证书。如果这两个公司在一年的封杀后没有通过一系列的检查，Mozilla 将准备封杀这两个公司的所有证书。

“许多人都在盯着 Web PKI 安全体系，如果发现了这样的倒填（不管是什么原因），Mozilla 会立即永久地取消对沃通和 StartCom 根证书的信任。”该报告中说。

此外，Chrome 和其它产品的对它们的封杀也在计划中。“其它的浏览器厂商和根证书存储运营者也会做出他们自己的决定，我们在这个文档中摆出了这些信息，以便他们了解我们做出这个决定的原因，并可以据此做出他们的决定。”Mozilla 说。