V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
ysmood
V2EX  ›  SSL

如果某人获得了根 ca 的 private key 并公开之,会发生什么呢

  •  
  •   ysmood · 2021-07-29 21:16:09 +08:00 · 2670 次点击
    这是一个创建于 963 天前的主题,其中的信息可能已经有所发展或是发生改变。

    比如各大机构想更新补丁来更改根 ca 但更新本身就需要联网,那也会被中间人,这难道就无解了吗?如此看来根 ca 能算成典型的 SPOF 了吧?

    目前这些常见的根 ca 都是谁控制的呢?

    13 条回复    2021-12-03 11:46:08 +08:00
    3dwelcome
        1
    3dwelcome  
       2021-07-29 21:23:19 +08:00 via Android
    不会发生什么吧,你被中间人,那就说明 ICP 出问题了。
    而 ICP 主干网关,一般黑客是黑不进去的。
    而且系统官方的证书吊销列表,这玩意黑不了吧。
    learningman
        2
    learningman  
       2021-07-29 21:25:42 +08:00 via Android
    一个的话,参见赛门铁克。而且现在有证书透明的东西,多少能管一点?
    如果是所有的话。。。不敢想象。
    foMM
        3
    foMM  
       2021-07-29 21:25:57 +08:00
    现代 CA 很难发生这样的事情。当然如果真的发生,比如说 CA 的基建被用来签不对的证书( DigiNotar 了解一下),这个 CA 会就立即死亡。
    3dwelcome
        4
    3dwelcome  
       2021-07-29 21:26:21 +08:00 via Android
    写错了,是 ISP,我想回复看着那么奇怪。
    foMM
        5
    foMM  
       2021-07-29 21:26:26 +08:00
    @learningman #2 赛门铁克的问题跟这个不一样
    des
        6
    des  
       2021-07-29 21:31:59 +08:00 via iPhone
    根证书都是断网存储的,而且放在专用机器的,想要弄出来很难
    felixcode
        7
    felixcode  
       2021-07-29 21:37:11 +08:00 via Android
    想要搞多大的事才会去尝试获取根证书,战略武器了
    zhuxiaoxi
        8
    zhuxiaoxi  
       2021-07-29 21:43:15 +08:00
    我觉得肯定有一种方法让维护这台服务器的人也无法获取到 CA 的私钥。就像现代网站保存用户密码一样,即使是管理员获取到私钥和盐也无法轻易解开密码。
    des
        9
    des  
       2021-07-29 21:48:05 +08:00 via iPhone
    @des 而且导出也是只能导出到专用的密码机
    已经发生过的证书事件可以看看这个,https://blog.myssl.com/ca-blacklist/
    jim9606
        10
    jim9606  
       2021-07-30 01:00:06 +08:00
    你在机子上看到的那些根证书私钥都是放在 HSM 内的,基本都是离线保存,取出来难度可不是一般的大。就算搞到,闷声发大财不好吗。

    通常根 CA 签过哪些中级证书都是公开可查的。真出现这事,将信任根转移到这些中级 CA 就行。后续可以一步步换掉证书链。

    目前出过的事故并没有泄漏私钥,都只是错发证书,这个用 CRL 吊销就行。
    dingwen07
        11
    dingwen07  
       2021-07-30 03:14:42 +08:00 via iPhone
    julyclyde
        12
    julyclyde  
       2021-07-30 18:11:05 +08:00
    短时间内会带来大量欺诈
    然后 CA/browser forum 就会开会,在下一次系统更新里把它列入黑名单
    a1274598858
        13
    a1274598858  
       2021-12-03 11:46:08 +08:00
    我们公司的根 CA 私钥都是放到保险柜里的
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   3479 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 34ms · UTC 11:20 · PVG 19:20 · LAX 04:20 · JFK 07:20
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.