Mozilla 考虑对沃通 CA 采取行动

[wildlynx]

http://www.solidot.org/story?sid=49448

[yexm0]

https://groups.google.com/forum/#%21topic/mozilla.dev.security.policy/k9PBmyLCi8I

[kamen]

不作死就不会死

[ivmm]

我觉得沃通也被屏蔽了。 将使中国自己的证书签发被外人牵着鼻子走。

而且拿沃通干坏事的有，但是还是有很多正经站长用沃通的。

[kamen]

@livid 全文转载，且没有注明链接

[coolcfan]

@kamen 第一行那个 solidot ？

[kamen]

@coolcfan 看丢了，抱歉。不过全文转载在这里的确不受欢迎

[xupefei]

如证明控制了 theiraccount.github.com/theiraccount.github.io 等子域名得到了 github.com 、 github.io 和 www.github.io 的证书

真的假的，有这么厉害？能这么搞得话，玩法可就多了啊……

[ZE3kr]

@xupefei 有，比如他们会自作主张的要求把

随机数.example.com 解析到某个东西，就能申请主域名

我先试试能不能申请 com.cn ， net.cn 这些域名的证书试试

[AstroProfundis]

拥有子域名自动拿到上级域名的证书，这个真是碉堡了...一副 CDN 厂商的思路做 CA...

[AstroProfundis]

@AstroProfundis 不过说实话，看完下面似乎是 WoSign 相关负责人的回复，处理态度还是不错的...

[wdlth]

还有 EV 证书上的“安全认证”呢……

[dongoo]

@ZE3kr 我要去试试 gov. cn

[20140930]

沃通自称是龙根，现在有被阉掉的可能啊?

[RqPS6rhmP3Nyn3Tm]

@ZE3kr 很对证书商都支持 dns 方式验证啊，我倒是觉得这种验证没什么问题

[wql]

> 2015 年 6 月，免费证书申请者发现如果他们能证明控制了子域名那么就能获得基础域名（ Base Domain ）的证书，如证明控制了 theiraccount.github.com/theiraccount.github.io 等子域名得到了 github.com 、 github.io 和 www.github.io 的证书
开个脑洞(胡说八道)，难道我申请了 wangqiliang.cn 证书，就可以申请.cn 根域名证书吗😂😂

[wql]

/go/ssl

[wql]

他们如果能够认真研究一遍 Mozilla PSL 就不会出这种事了

[lshero]

@ZE3kr 要这样子的话那些免费动态解析的二级域名买主机赠送的域名都要哭晕在厕所了

[strwei]

不久后 ’ 让我们加密吧 ’ 也得被查

[wql]

@strwei 他们自有的根证书 ISRG Root X1 刚刚被列入谋智的证书信任库。