Mozilla进行的一项调查显示，过去几年中，中国认证中心WoSign（关于Habré 的 许多 文章都提供了免费证书）已经严重违反了该规则。2015年
它始于琐事：在不断监控证书的过程中，Google注意到重复颁发具有相同序列号的证书，这在正式意义上是违反标准的。注意到其他与规则的细微差异。看来没什么大不了的。但这本身就是向认证中心发出的信号，要求其注意正在发生的事情并建立验证机制。但是，WoSign所采用的证书发行策略落后于他们自己的实践。事件发生后对政策进行了更改，以便追溯解决和合理化偏差。另外，在检查“证书的接收者是否拥有他正在请求证书的域”时，发现了缺点。就其本身而言，它们并不重要，它们仍然可以简化向攻击者颁发证书的过程。例如，可以使用动态端口（超过50,000个）来完成域所有权验证。 Mozilla认为证书应仅使用特权端口（1024及以下）来颁发。同时，WoSign没有记录已使用的端口号，因此，无法完全估计问题的严重程度。随后出现严重漏洞。首先允许拥有子域的攻击者获得整个域的证书。发现此问题的研究人员能够从GitHub（例如test.imtqy.com），Microsoft和阿里巴巴获得虚拟证书。 WoSign知道该漏洞已有14个月了，但并未修复，仅限于吊销域名中包含“ github”的证书。继续颁发错误的证书。公司同意仅在受影响域的所有者提出要求的情况下撤销其余的问题证书。第二个漏洞确实是史诗级的。成功通过域所有权检查后，攻击者便可以将任何外部域添加到已检查域的列表中。绝对可以。已经没有任何验证。似乎还不够，WoSign秘密收购了以色列StartCom认证机构。此外，当Mozilla伙计们暗示“这样做不好”（并且轻率地说，这种掩盖行为违反了Mozilla的政策）时，WoSign 开始否认一切，并试图阻止发布此信息。当您发现您无法隐藏包中的缝制时，该公司发布了新闻稿，承认“投资StartCom”。同时，StartCom的唯一领导者和WoSign的首席执行官是同一个人。还有技术证据表明，StartCom（当前）使用了大多数WoSign基础架构。根据WoSign的新闻稿，对于公司而言，“运营和独立管理”的巧合太多了。2016年
次年的WoSign从1月中旬追溯发布SHA-1证书开始。日期“复出”一个月前。这样就可以避免被流行的浏览器阻止证书，该浏览器自2016年以来同意仅接受SHA-2证书，因为由于计算能力的增长，SHA-1算法已经失去了基础并且被认为不够强大。CAB论坛的文档受到明确规范-自2016年以来，证书颁发机构不得使用SHA-1颁发证书：从2016年1月1日起，CA不得使用SHA -1哈希算法发行任何新的订户证书或从属CA证书。
由于WoSign的粗心大意，我们设法公开了三份证书：其中三份实施的STC标签（签名证书时间戳记）指向2016年1月中旬，这显然意味着不能在该截止日期之前创建证书。由于在周日签发了另外62张证书。对于WoSign来说，这是完全不典型的-周末，中国的员工不工作，也没有颁发证书。其他间接证据表明该日期是伪造的。7月，StartCom凭借其StartEncrypt服务而脱颖而出，该服务是对流行的Let's Encrypt的回应而推出的。通过在自动验证结束时仅更改POST请求的一个参数，就可以确保该证书不是从“ StartCom Class 1 DV Server CA”签名的，而是从“ WoSign CA Free SSL Certificate G2”甚至“ CA沃通根证书”签名的（另一个WoSign根证书）。由StartCom颁发并由WoSign CA Free SSL证书G2签署的其中一些证书也具有追溯性。正式地，追溯释放是不被禁止的，但这是一种恶毒的做法。 WoSign以各种方式否认它伪造了这些证书的发布日期。她的代表声称，到了此时，他们已经从“战斗”服务器中删除了相应的代码，而这些服务器伪造了日期。但是StartCom伙计们又该如何使用甚至WoSign本身都已停止使用的代码？总的来说，此事件表明对程序员的关心不足-如果将危险代码留在颁发证书的重要过程中，则迟早会“触发”。发生了什么事。此外，问题仍然存在，StartCom如何才能代表WoSign如此自由地颁发证书？毕竟，WoSign的首席执行官向所有人保证，两家公司完全独立运作。更多-更多：StartEncrypt中发现的严重漏洞。允许确认对域的控制，以指定到任何现有文件的路径。例如，将文件上传到Dropbox并指定其路径。结果将是dropbox.com的证书。使用另一个漏洞，攻击者可以获得任何支持OAuth 2.0的网站（google.com，facebook.com，paypal.com，linkedin.com，login.live.com）的证书。最后，在2016年9月，来自社区的某人注意到在WoSign报告之一的屏幕截图中，bind-utils包的dig实用程序输出被突出显示。该实用程序的版本为9.7.3-8.P3.el6。“ El6”表示“ Red Hat Enterprise Linux 6”。当然，RHEL6支持仅在2016年结束，但是其中的bind-utils当前版本为9.8.2-0.47.rc1.el6。“ 9.7.3-8.P3.el6”对应于2011年以来未刷新的包装。在过去的五年中，上游已关闭了19个漏洞。让它们都不是关键问题，不由自主地问自己一个问题-也许在WoSign中这么多年了，他们不仅烦恼不仅要更新一台服务器，而且还要更新整个基础架构？结果如何？
Moziila决定停止信任新的WoSign和StartCom证书一年。以前发布的（好或坏）仍然有效。对于颁发的年份，认证机构应纠正所有缺陷，然后进行一系列检查。否则，它们的证书将永远被阻止。苹果已经阅读了该报告，宣布iOS和macOS无限期停止信任2016年9月19日之后发布的证书。由于Apple产品未预安装WoSign根证书，因此将禁止WoSign使用StartCom和Comodo的中间证书。浏览器市场上其余最大的参与者（谷歌和微软）的反应仍然未知。自2016年10月11日起更新：拥有两家认证机构的中国公司奇虎360 同意将WoSign和StartCom完全分开，然后进行所有必需的检查。此外，WoSign的负责人已经免职。自2016年10月26 日起更新：从Firefox 51开始，由WoSign和StartCom于2016年10月21日之后颁发的证书将被视为无效。使用SHA-1证书并追溯颁发的证书将通过CRL吊销。将来会通过违反行为的WoSign和StartCom根证书删除。认证机构将必须颁发新的根证书。如果Mozilla同意接受这些新的根证书，则包含它们将提示您删除旧的根证书。如果您不同意，则旧证书仍将在2017年3月之后删除。至于错过了WoSign违规行为的安永香港审计署，他们的审计不再值得信赖。自2016年11月1 日起更新： Chrome 56 将在2016年10月21日之后将WoSign和StartCom颁发的证书标记为不可信。自2017年7月8日起更新：从Chrome 61开始，对所有WoSign和StartCom证书（包括2016年10月21日之前颁发的证书）的信任完全停止。自2017年8月9日起更新： Microsoft还停止信任这些证书颁发机构的证书。Windows将继续仅信任2017年9月26日之前发布的证书。自 2017年8月9日起更新： StartCom管理层决定关闭公司。字母文字Dear customer,
As you are surely aware, the browser makers distrusted StartCom around a year ago and therefore all the end entity certificates newly issued by StartCom are not trusted by default in browsers.
The browsers imposed some conditions in order for the certificates to be re-accepted. While StartCom believes that these conditions have been met, it appears there are still certain difficulties forthcoming. Considering this situation, the owners of StartCom have decided to terminate the company as a Certification Authority as mentioned in Startcom´s website.
StartCom will stop issuing new certificates starting from January 1st, 2018 and will provide only CRL and OCSP services for two more years.
StartCom would like to thank you for your support during this difficult time.
StartCom is contacting some other CAs to provide you with the certificates needed. In case you don´t want us to provide you an alternative, please, contact us at certmaster@startcomca.com
Please let us know if you need any further assistance with the transition process. We deeply apologize for any inconveniences that this may cause.
Best regards,
StartCom Certification Authority