大家还记得 CNNIC ROOT 这个证书颁发机构吗？

无意中看到WoSign在淘宝卖个人签名证书，最便宜的居然是20元的，好奇看了下说明，发现机构好像默认都不是系统信任的，于是顺便看了下信任列表。

于是想起一个事情，几年前网上很多人大肆宣扬CNNIC ROOT这个颁发证书的机构是不该信任的，那时候甚至有人去投诉，但是CNNIC依然还是被信任的！

我们都知道，证书机构是要被系统信任才有效，否则立刻就可以扔入不信任列表里，然后永远完蛋了，可能还会让所在国更不信任。

问题出来了，为什么CNNIC一直被信任呢？很显然那是他没有违反游戏规则，没有伪造证书（至少没被人抓到过），只要开始伪造证书，那么要抓到是很容易的（只要把证书导出，就是最好的证据，一般人可能发现不了，但是一旦发现，那就是永坠地狱）。不光是如此，还有就是保密手段到目前暂时还算靠谱，不然根证书的密钥被人拿走了，一样是杯具的。（看了下系统的不信任列表，里面没出现CNNIC颁发的证书）

随便搜了下，提到cnnic入驻系统信任列表的帖子是2010的时候，所以最后得出的结论是，这4年来CNNIC ROOT还是靠谱的？

在知乎看到2条王磊的回答，觉得还是靠谱的。
http://www.zhihu.com/question/20390773
http://www.zhihu.com/question/20746900
以下引用自以上网址
“CNNIC CA由Ernst & Young进行WebTrust审计（国际标准，没听说过的请默默自习），每年两次，不存在楼上说的几年前以及上当一说。Ernst & Young作为全球四大独立的事务所之一，它的审计结果还是具有相当的真实性以及准确性的。只有通过WebTrust审计的CA才具有申请操作系统以及浏览器将Root Certificate预埋的资格。以上只陈述事实，不存在任何感情色彩。”

Cu635

2014-11-20 17:12:37 +08:00

不好意思挖个坟。我今天才发现firefox已经不再信任cnnic证书了。

确实，firefox还带着cnnic root，但是把它的三个功能都给禁止了。我自己修改信任还是在cnnic这事儿刚刚出来的时候，后来重新装过一次系统却把这事儿给忘了。

所以说lz说的“cnnic一直被信任”不成立。

ejin

2014-11-21 08:46:22 +08:00

@Cu635 哥们你逗我玩呢，被你这样一说，我马上去下载了一个Firefox 33.1.1，什么都不改直接打开设置看，为什么我的不是三个功能都被禁止了？是不是你自己禁止的？或者你的Firefox是在哪下载的？或者我下载的和你下载的不是同一个Firefox？

建议你卸载干净，全新安装！再看看是不是你说的那样！这是Firefox的下载地址，认准了https防劫持下载地址

https://download.mozilla.org/?product=firefox-33.1.1-SSL&os=win&lang=zh-CN

这是截图

ejin

2015-04-08 15:51:53 +08:00

@hahafofo “CNNIC发行的中级CA发行了Google的假证书”

这句话在众多相关讨论中算是中立的一句话。我早就说过了，这种事情，找到证据问题就麻烦了，而监管机构和浏览器厂商竟然也对此有监控倒是没想到，所以ff和chrome都做了不小的调整。而且CNNIC证书现在处于有些信任状态，有些不信任。也证实了我之前所说的，监管机构会做出措施，现在没有做出有力的行动，主要也可能是认为没有直接证据证明是CNNIC。（各方媒体添油加醋的报道仔细琢磨会发现，这个中级证书机构是在内企业部颁发测试的，而企业内部一般是避免不了的，一般植入一个CA进去都是很正常的事情，没有比较有力证据扳倒CNNIC）。

至于那个颁发假证书的中级机构MCS公司，当场就直接就被CNNIC秒杀了。这一点来说CNNIC效率还是可以的（部分报道有提到此事）。