スポンサーサイト

上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

应景:CNNIC CA

应景说一下关于最近CNNIC得到了CA证书的事情。其实比起我自己的意见来说,我更希望的只是让人知道这回事而已。

所以这里是背景知识的传送门:

传送门之一

传送门之二,google doc

OK。其实这事件上,我觉得mozilla方面的意见是有道理的:

CNNIC complied with our root addition policy, they are in the product presently, so this isn't a question of approval, this is a question of whether we should review.

就是说,既然我们还没有发现过CNNIC曾经有过协助中间人攻击或者其它类似行为,而它目前又符合其它的规定,因此就没有理由取消它的CA资格。这其实就是很简单的无罪推定。的确,我自己也完全不相信CNNIC,但从程序正义的角度来看,我确实觉得不能简单地用它做过的其它的行为来剥夺它的CA权利。

当然我这次能这么有信心地接受CNNIC,最重要的原因其实是因为,使用CA证书来协助中间人攻击其实是有非常巨大的风险的,Mozilla方面也提到:

If there's truth to the allegation, here, then it should be possible to produce a cert. It should be possible to produce a certificate, signed by CNNIC, which impersonates a site known to have some other issuer. A live MitM attack, a paypal cert issued by CNNIC for example.

中间人攻击的证据是非常容易获得而且非常强力的:因为除了CNNIC自己,没有任何人能签发相应的证书,所以只要有一个被攻击的用户发现异常并且记录下当前连接的证书,就已经是100%确凿的证据,足以立刻将CNNIC驱逐出所有的信任链之外。(老实说,我倒是希望那帮畜牲的智商能低下到这种程度去做出这种可以轻易地被别人扇自己大耳光的事情。)既然犯罪的证据会明显易得,成本极低(相对于对抗犯罪者来说)而损害也不一定很高(攻击带来的损害是不确定的,但不能肯定就会非常大,特别是它很可能在取得收益之前就已经被发觉了),我们在这之前未必需要过度敏感。

所以这里面的问题,可能还是在于浏览器处理普通的https访问时过度的箱操作上。在这个时代,浏览器其实应该设计到让用户(至少对有一定背景知识的用户)对证书问题有足够的警觉。例如和大部分SSH实现一样监视证书的改变;或者在https连接上使用悬浮窗,甚至在连接建立后使用气泡提示,来显示证书的发行者和信任链等的简要信息。这些事情比起简单地驱逐CNNIC来应该更值得讨论。实际上,对于FF这很可能就是一个插件的事情,对IE大概也就是一个BHO。所以有兴趣的各位,不妨向这方面努力一下吧?
スポンサーサイト

标签 : 网络
主题 : セキュリティ
分类 : コンピュータ

发表评论(*请使用半角标点符号)

不公开的评论

个人情报

とある姉コン

Author:とある姉コン
轻小说,ACG,IT相关。

本人则是姐控的死宅(啥),专业是物理化学和高性能计算,有悠久历史(从2000年开始算的话)的代码民工,没了。

ココロ
RSS
最新日志
最新评论
分类
検索フォーム
Tag

虚假的完美世界 EP 姐控 网络 真实的悲惨世界 破鞋党 后宫 絶望した! 文学少女 化物語 HTTP代理 MPC-HC Little_Busters! Fate 文学批评的性别观 戦場ヶ原さま大好き 无限循环 学生会 游戏 K-ON 笨蛋测验召唤兽 DNS服务 Galgame创作 RivaTuner 人渣 自爆 Room.No.1301 GPU-Z 4850HD IE8 WPF Rita UAC windows_live CLANNAD Windows_Gadgets 空境 

友情连接
上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。