繼Mozilla、蘋果之後，Google也將封鎖沃通與StarCom憑證

william77

調查發現沃通多次故意誤發憑證，加上隱暪與已併購的另一憑證機構StartCom間的關係，繼Mozila、蘋果之後，Google決定從明年1月起釋出的Chrome 56封鎖來自沃通與StartCom在今年10月21日之後發行的憑證。

Google將跟隨Mozilla與蘋果的腳步，周一（10/31）宣布明年1月釋出的Chrome 56也將封鎖由沃通（WoSign）及StartCom等兩家憑證機構所發行的憑證。
負責Chrome安全性的Andrew Whalley說明，負責發行數位憑證的憑證機構（CA）在網路安全上扮演著重要的角色，瀏覽器信賴這些憑證以確保網站的安全連結，假設CA未遵守瀏覽器與產業組織的規範，那麼每位網路使用者的隱私與安全都會受到威脅。
沃通及StartCom遭到調查的原因來自於今年8月Google收到GitHub安全團隊的通知，指出沃通在未獲得GitHub授權的情況下發行了一個屬於GitHub網域的憑證，這使得Google、Mozilla及安全社群聯手展開調查，並發現沃通多起的憑證誤發狀況。
相關調查顯示沃通為了繞過瀏覽器的限制與對CA的要求，故意誤發憑證，再加上沃通隱暪與已併購的另一憑證機構StartCom的相依關係，種種因素讓Mozila、蘋果，以及現在的Google認定沃通與StartCom已不符合可靠CA的標準。
因此，Google決定，自明年1月釋出的Chrome 56即會封鎖由沃通與StartCom在今年10月21日之後所發行的憑證，但仍信任這兩家CA先前發行的憑證。
Whalley表示，這只是階段性的措施，希望在保障使用者安全的同時不會在造訪網站時造成困擾，並讓採用這兩家CA所發行憑證的網站有時間改用其他CA，未來Chrome瀏覽器將會全面封鎖對沃通及StartCom憑證的信賴。

panups