浏览器会对 CA 签发的证书做真实性的校验吗？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Certbot 使用文档

› Dehydrated

› Stay.live 证书有效期监控

› HTTP Strict Transport Security

› OpenSSL 官网

› Qualys SSL Test

› 证书链补全工具

› 在线 CSR 生成工具

› SSL 云监控

› What's My Chain Cert?

› Certificate Search by Comodo

这是一个创建于 2788 天前的主题，其中的信息可能已经有所发展或是发生改变。

举个例子：现在 github.com 的 ssl 证书是 DigiCert 签发的,假如某个被浏览器信任的 CA 也签发了一个 github.com 的证书，浏览器会检测到这个异常情况吗？
有什么工具可以检测基于 CA 的 MITM 的行为？

签发

浏览器

证书

digicert

15 条回复 • 2016-09-20 16:10:39 +08:00

alect

2016-09-20 08:24:28 +08:00

浏览器只能提示该证书是否可信，不会判断是哪个 CA 签发的证书的……理论上除了已知的一些伪造的 SSL 会被提示出异常情况，其他的不会提示的。。

shiji

2016-09-20 08:27:08 +08:00 via Android

hpkp 设置好了发现异常证书会自动上报给你设置的 URL

wuruxu

2016-09-20 08:42:45 +08:00

@shiji 这个方法挺好，看起来好像是在证书里预先设定的
这个 URL 每个用户都可以设置的吗？

v1024

2016-09-20 09:01:08 +08:00

https://imququ.com/post/certificate-transparency.html

tinybaby365

2016-09-20 09:11:37 +08:00

这是一个正常行为啊，一个域名可以从不同的 CA 购买证书，只要 CA 合法(受信任)，证书没有吊销、过期等，都是合法的。

浏览器是识别不了这种中间人攻击的(Firefox 也一样，“被浏览器信任”)。如果在 APP 中是自己写的 https 客户端可以，可以 APP 内置受信任的 CA 、甚至内置证书 public key(或起 hash)来比对。

wuruxu

2016-09-20 09:25:07 +08:00

@v1024 看到这个 ‘简单说来，证书所有者或者 CA 都可以主动向 Certificate Logs 服务器提交证书’
是不是这个证书的透明性是需要 CA 自律的？
假如偷偷签发了，使用了一段时间就不用， Certificate Transparency 会不会发现不了？

v1024

2016-09-20 09:35:17 +08:00

@wuruxu 目前这个只有 Chrome 支持，范围有限，所以都是持有者去提的。目前这个不能 100%解决问题，但是一个方向。