如果某人获得了根 ca 的 private key 并公开之，会发生什么呢

[ysmood]

比如各大机构想更新补丁来更改根 ca 但更新本身就需要联网，那也会被中间人，这难道就无解了吗？如此看来根 ca 能算成典型的 SPOF 了吧？

目前这些常见的根 ca 都是谁控制的呢？

[3dwelcome]

不会发生什么吧，你被中间人，那就说明 ICP 出问题了。
而 ICP 主干网关，一般黑客是黑不进去的。
而且系统官方的证书吊销列表，这玩意黑不了吧。

[learningman]

一个的话，参见赛门铁克。而且现在有证书透明的东西，多少能管一点？
如果是所有的话。。。不敢想象。

[foMM]

现代 CA 很难发生这样的事情。当然如果真的发生，比如说 CA 的基建被用来签不对的证书（ DigiNotar 了解一下），这个 CA 会就立即死亡。

[3dwelcome]

写错了，是 ISP，我想回复看着那么奇怪。

[foMM]

@learningman #2 赛门铁克的问题跟这个不一样

[des]

根证书都是断网存储的，而且放在专用机器的，想要弄出来很难

[felixcode]

想要搞多大的事才会去尝试获取根证书，战略武器了

[zhuxiaoxi]

我觉得肯定有一种方法让维护这台服务器的人也无法获取到 CA 的私钥。就像现代网站保存用户密码一样，即使是管理员获取到私钥和盐也无法轻易解开密码。

[des]

@des 而且导出也是只能导出到专用的密码机
已经发生过的证书事件可以看看这个，https://blog.myssl.com/ca-blacklist/

[jim9606]

你在机子上看到的那些根证书私钥都是放在 HSM 内的，基本都是离线保存，取出来难度可不是一般的大。就算搞到，闷声发大财不好吗。

通常根 CA 签过哪些中级证书都是公开可查的。真出现这事，将信任根转移到这些中级 CA 就行。后续可以一步步换掉证书链。

目前出过的事故并没有泄漏私钥，都只是错发证书，这个用 CRL 吊销就行。

[dingwen07]

https://www.zhihu.com/question/22260090/answer/648910720

[julyclyde]

短时间内会带来大量欺诈
然后 CA/browser forum 就会开会，在下一次系统更新里把它列入黑名单

[a1274598858]

我们公司的根 CA 私钥都是放到保险柜里的