搜索

[10627] 2016-10-21_为何你的浏览器不信任GlobalSign签发的HTTPS证书？

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2016-10-21_为何你的浏览器不信任GlobalSign签发的HTTPS证书？ 为 何 你 的 浏 览 器 不 信 任 G l o b a l S i g n 签 发 的 H T T P S 证 书 ？ k u m a   F r e e B u f   2 0 1 6 - 1 0 - 2 1 G l o b a l S i g n 是 一 家 数 字 证 书 供 应 商 ， 这 家 公 司 目 前 已 向 全 球 各 地 的 众 多 网 站 出 售 了 2 5 0 万 份 S S L / T L S 证 书 。 但 就 在 上 周 ， G l o b a l S i g n 颁 发 的 部 分 证 书 却 被 浏 览 器 判 断 为 无 效 证 书 — — 难 道 是 跟 沃 通 一 样 的 遭 遇 ？ 就 在 上 周 ， 就 在 上 周 ， G l o b a l S i g n 在 更 新 一 个 交 叉 证 书 时 ， 无 意 间 吊 销 了 中 间 证 书 ， 造 成 许 多 网 站 不 再 被 浏 览 器 和 应 用 信 任 。 在 更 新 一 个 交 叉 证 书 时 ， 无 意 间 吊 销 了 中 间 证 书 ， 造 成 许 多 网 站 不 再 被 浏 览 器 和 应 用 信 任 。 该 事 故 影 响 了 许 多 大 型 网 站 ， 包 括 维 基 百 科 、 金 融 时 报 等 ， 甚 至 连 该 事 故 影 响 了 许 多 大 型 网 站 ， 包 括 维 基 百 科 、 金 融 时 报 等 ， 甚 至 连 G l o b a l S i g n 自 己 的 服 务 器 都 受 到 了 影 响 。 自 己 的 服 务 器 都 受 到 了 影 响 。 所 幸 这 次 事 故 并 未 对 所 有 人 造 成 影 响 ： 如 果 你 的 电 脑 、 手 机 或 者 其 他 设 备 不 幸 在 周 四 （ 1 0 月 1 3 日 ） 收 到 了 G l o b a l S i g n 的 吊 销 列 表 ， 这 个 吊 销 列 表 会 告 知 你 的 浏 览 器 ， G l o b a l S i g n 发 布 的 加 密 证 书 不 再 有 效 ， 那 么 你 的 浏 览 器 就 会 阻 止 你 访 问 相 应 的 合 法 H T T P S 网 站 。 懂 技 术 的 用 户 可 以 清 除 证 书 吊 销 列 表 缓 存 ， 并 从 G l o b a l S i g n 处 获 取 修 正 后 的 列 表 来 解 决 这 一 问 题 。 不 那 么 懂 的 用 户 就 会 受 到 影 响 ， 浏 览 器 将 持 续 发 出 一 些 错 误 信 息 。 如 果 你 浏 览 网 页 时 没 有 发 现 类 似 问 题 ， 可 能 是 你 的 电 脑 或 者 手 机 已 经 收 到 修 正 后 的 列 表 了 ， 或 者 你 访 问 的 网 站 不 使 用 G l o b a l S i g n 证 书 。 针 对 此 事 ， G l o b a l S i g n 一 开 始 以 为 是 浏 览 器 的 问 题 ， 后 来 发 现 是 自 己 系 统 的 毛 病 。 技 术 细 节 技 术 细 节 十 月 初 ， G l o b a l S i g n 发 布 了 一 份 由 R o o t   C A   R 2 签 发 的 证 书 吊 销 列 表 ， 吊 销 了 一 个 交 叉 证 书 ， 并 且 停 用 了 一 个 旧 的 次 级 C A 。 之 所 以 要 停 用 这 个 次 级 C A ， 是 因 为 其 发 布 的 S H A 1   E V   S S L 证 书 已 渐 渐 过 时 。 通 常 来 讲 ， 交 叉 证 书 可 以 用 来 提 高 网 站 的 可 信 度 和 可 靠 性 ： G l o b a l S i g n 的 交 叉 证 书 可 允 许 浏 览 器 和 应 用 ， 使 用 G l o b a l S i g n 的 R o o t   C A   R 1 或 者 R o o t   C A   R 2 证 书 ， 来 验 证 G l o b a l S i g n 签 发 的 H T T P S 证 书 的 完 整 性 。 然 后 ， 在 软 件 验 证 一 个 网 站 的 H T T P S 证 书 时 ， 上 述 的 交 叉 证 书 会 为 软 件 创 造 两 条 可 能 的 信 任 路 径 。 只 要 浏 览 器 信 任 G l o b a l S i g n 的 R o o t   C A   R 1 或 者 R 2 证 书 ， 浏 览 器 就 会 信 任 该 网 站 的 H T T P S 证 书 。 下 图 是 G l o b a l S i g n 尝 试 停 用 的 证 书 — — 一 个 交 叉 证 书 和 一 个 旧 的 次 级 C A 。
这 个 交 叉 证 书 由 G l o b a l S i g n 的 R o o t   C A   R 2 签 发 ， 证 书 的 主 题 是 R o o t   C A   R 1 （ 如 上 图 所 示 ， S u b j e c t :   –   R o o t   C A   R 1 ；   I s s u e r :   –   R o o t   C A   R 2 ） 。 1 0 月 1 3 日 ， 也 就 是 上 述 的 证 书 吊 销 列 表 发 布 后 6 天 ， G l o b a l S i g n 更 新 了 指 定 “ 在 线 证 书 状 态 协 议 （ O C S P ） ” r e s p o n d e r 数 据 库 。 这 个 数 据 库 会 给 一 些 指 定 吊 销 r e s p o n d e r 系 统 传 输 信 息 。 “ 受 R o o t   C A   R 2 要 吊 销 的 交 叉 证 书 影 响 ， r e s p o n d e r 将 所 有 R o o t   C A   R 1 中 间 证 书 误 判 为 ‘ 不 良 ’ 证 书 ， 因 为 这 两 种 证 书 的 公 钥 和 主 题 名 称 是 一 样 的 ， 而 交 叉 证 书 的 日 期 更 近 一 些 ， ” G l o b a l S i g n 在 最 近 发 布 的 事 故 调 查 报 告 中 解 释 道 。 所 以 ， 结 果 就 是 所 以 ， 结 果 就 是 r e s p o n d e r 中 运 行 的 软 件 发 现 ， 交 叉 证 书 的 公 钥 和 主 题 名 称 与 中 运 行 的 软 件 发 现 ， 交 叉 证 书 的 公 钥 和 主 题 名 称 与 R o o t   C A   R 1 证 书 相 符 ， 而 交 叉 证 书 的 起 始 有 效 证 书 相 符 ， 而 交 叉 证 书 的 起 始 有 效 日 期 比 较 新 ， 就 认 为 既 然 交 叉 证 书 要 被 吊 销 ， 那 么 所 有 的 日 期 比 较 新 ， 就 认 为 既 然 交 叉 证 书 要 被 吊 销 ， 那 么 所 有 的 R 1 次 级 证 书 也 要 被 停 用 次 级 证 书 也 要 被 停 用 ： G M O   G l o b a l S i g n 用 的 是 一 个 第 三 方 安 全 授 权 负 载 均 衡 的 O C S P   r e s p o n d e r 系 统 ， 向 各 产 品 、 以 及 对 外 向 客 户 群 及 其 依 赖 的 其 他 团 体 提 供 指 定 应 答 。 但 是 ， 对 我 们 的 生 态 系 统 、 利 益 相 关 方 及 其 客 户 而 言 ， 很 不 幸 ， r e s p o n d e r 代 码 库 内 部 逻 辑 认 为 ， 交 叉 证 书 的 吊 销 （ 根 据 其 公 钥 和 主 题 名 称 确 定 ） ， 实 际 上 命 令 了 该 代 码 库 也 要 将 所 有 其 他 的 次 级 证 书 机 构 （ 包 括 D o m a i n   S S L 和 A l p h a   S S L ） 识 别 为 ‘ 不 良 ’ 。 因 为 交 叉 证 书 的 起 始 有 效 日 期 更 近 ， 该 逻 辑 于 是 人 为 它 比 原 始 的 R o o t   C A   R 1 证 书 更 新 ， 从 而 认 定 这 是 一 个 可 信 的 指 令 ， 并 将 所 有 R o o t   C A   R 1 发 布 的 次 级 证 书 认 定 为 ‘ 不 良 ’ 。 一 些 网 站 和 企 业 持 有 R o o t   C A   R 1 的 次 级 证 书 。 吊 销 了 中 间 证 书 后 ， 所 有 这 些 客 户 的 证 书 变 为 “ 不 可 信 ” 状 态 — — 实 际 上 就 是 无 效 了 。 因 为 信 任 链 被 打 破 ， 浏 览 器 无 法 核 实 使 用 G l o b a l S i g n 证 书 的 网 站 的 身 份 ， 然 后 拒 绝 访 问 这 些 网 站 。 事 件 影 响 与 最 新 进 展 事 件 影 响 与 最 新 进 展 G l o b a l S i g n 作 出 了 一 些 补 救 措 施 ， 但 为 时 已 晚 。 吊 销 列 表 已 经 通 过 C D N 传 输 ， 如 果 有 应 用 当 时 联 系 G l o b a l S i g n ， 请 求 最 新 吊 销 列 表 — — 这 些 吊 销 列 表 即 上 文 提 到 的 问 题 列 表 。 所 幸 ， 还 是 有 浏 览 器 和 程 序 还 是 收 到 了 正 确 的 数 据 。 “ 局 面 已 经 得 到 控 制 ， 负 载 均 衡 器 和 C D N 也 已 被 清 理 ， 但 有 些 用 户 依 然 得 到 了 ‘ 不 良 ’ 应 答 ， 更 多 用 户 保 留 了 先 前 访 问 G M O   G l o b a l S i g n S S L 认 证 的 网 站 时 留 下 的 ‘ 良 好 ’ 应 答 ， ” G l o b a l S i g n 解 释 道 。 目 前 尚 未 公 布 该 问 题 代 码 的 来 源 。 下 图 展 示 了 这 个 错 误 的 指 令 是 如 何 被 一 层 负 载 均 衡 器 和 分 布 系 统 推 进 的 （ 浏 览 器 和 其 他 客 户 端 软 件 都 与 这 些 负 载 均 衡 器 相 连 ） ； 变 动 信 息 并 非 统 一 传 输 ， 某 些 设 备 和 计 算 机 因 此 幸 免 ， 没 有 收 到 错 误 的 吊 销 列 表 。
浏 览 器 和 其 他 应 用 每 隔 几 天 才 检 查 吊 销 证 书 ， 因 此 如 果 他 们 没 有 刚 好 在 那 个 时 间 请 求 更 新 ， 他 们 也 不 会 受 到 此 事 件 影 响 。 G l o b a l S i g n 就 此 事 故 发 布 了 完 整 报 告 ， 其 中 涵 盖 所 有 技 术 细 节 、 更 多 支 持 信 息 和 一 份 问 答 表 ， 依 旧 受 此 问 题 困 扰 的 用 户 可 参 考 报 告 内 容 。 G l o b a l S i g n 提 醒 称 ， 由 于 缓 存 的 关 系 ， 而 且 多 数 应 用 一 般 每 四 天 更 新 一 次 吊 销 列 表 ， 可 能 得 到 本 周 初 ， 此 问 题 才 能 完 全 解 决 。 如 果 你 的 应 用 不 幸 在 上 周 四 中 招 了 ， 那 么 可 能 要 等 到 周 一 才 能 恢 复 。 参 考 来 源 ： t h e r e g i s t e r ， F B 小 编 k u m a 编 译 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理