最近看了一下360的网站，发现他们的网站竟然还是有的沃通的SSL证书，在我的印象中沃通不是被吊销了SSL证书吗？于是我看了一下证书的具体信息，发现是由 USERTrust RSA Certification Authority 这个根CA颁发的中间证书WoTrus OV Server CA [Run by the Issuer]󠄐󠄹󠅀󠄪󠄡󠄨󠄞󠄩󠄧󠄞󠄡󠄤󠄞󠄩󠄠󠄬󠅒󠅢󠄟󠄮󠄐󠅅󠄹󠄴󠄪󠄾󠅟󠅤󠄐󠄼󠅟󠅗󠅙󠅞󠄬󠅒󠅢󠄟󠄮󠅄󠅙󠅝󠅕󠄪󠄡󠄧󠄧󠄣󠄢󠄡󠄥󠄠󠄢󠄢󠄬󠅒󠅢󠄟󠄮

那十年前到底发生了什么呢？请往下看。󠄐󠄹󠅀󠄪󠄡󠄨󠄞󠄩󠄧󠄞󠄡󠄤󠄞󠄩󠄠󠄬󠅒󠅢󠄟󠄮󠄐󠅅󠄹󠄴󠄪󠄾󠅟󠅤󠄐󠄼󠅟󠅗󠅙󠅞󠄬󠅒󠅢󠄟󠄮󠅄󠅙󠅝󠅕󠄪󠄡󠄧󠄧󠄣󠄢󠄡󠄥󠄠󠄢󠄢󠄬󠅒󠅢󠄟󠄮

相同序列号证书

  • 2015 年 4 月 9 日 - 4 月 14 日，沃通 CA 被发现违规签发 392 个相同序列号的证书（违反证书唯一性要求）。​

根域名证书违规签发​

  • 2015 年 6 月，有申请者发现沃通免费证书服务存在严重漏洞：只需证明对某子域名的所有权，即可获取该域名对应的根域名证书。​
  • 申请者本想申请 “med.ucf.edu” 子域名证书，误填为 “www.ucf.edu”，沃通未严格核验便颁发了 ucf.edu 根域名证书。​
  • 研究人员测试发现，利用 GitHub 允许用户创建 “{username}.github.io” 子域名的特性，仅证明子域控制权后，便从沃通获取了 GitHub 根域名证书。​
  • 后续处理：研究人员向沃通反馈该问题（以 GitHub 案例为例），但沃通仅吊销了 GitHub 的违规根证书，未追溯其他误发证书；直至后续，研究人员联系 Google 时仍发现，ucf.edu 的违规根证书在颁发一年后仍未被吊销（推测沃通无能力逐一排查所有误发证书）。​

秘密收购 StartCom

  • 2015 年 11 月 1 日，沃通完成对 StartCom 的 100% 股权收购，但未按行业规则披露所有权变更信息，反而否认收购性质、试图隐瞒整合事实。​
  • 后续进展：2016 年 9 月 19 日，沃通发布新闻稿称仅对 StartCom 进行 “股权投资”，但多方证据显示其已实现完全控股，且两公司运营体系已整合；Mozilla 最终认定，沃通本应在 2015 年 11 月收购完成时即披露该交易。​

SM2 算法违规签发​

  • 2015 年 12 月，沃通 CA 使用中国制定的 SM2 算法签发两个证书，违反 CA/Browser Forum Baseline Requirements（行业基准要求），沃通后续回应称这些证书仅为 “测试用途”。 ​
  • CA/Browser Forum（由谷歌、微软、Mozilla 等主流浏览器厂商、服务器厂商牵头成立的国际联盟）的核心使命是建立全球统一的数字证书信任标准，其基准要求明确规定：CA 机构签发的公开使用证书，必须采用 “已被国际广泛认可、且主流浏览器 / 操作系统内置支持” 的密码算法。而 2015 年的 SM2 算法（中国国密局制定）尚未成为国际标准。

alicdn.com证书错误颁发（被攻击者利用）​

  • 2016 年 6 月，沃通错误向第三方颁发了alicdn.com的证书。沃通初期声称已完成域名验证，但后续证实，该域名当时已被攻击者控制，沃通最终未直接承担相关责任。​

StartCom 允许证书倒填日期（规避浏览器警告）​

  • 2016 年 7 月，已被沃通秘密收购的 StartCom 被曝光存在 “证书日期倒填” 行为。​
  • 违规原因：SHA1 散列算法的安全性随运算技术发展逐渐不足，主流浏览器规定 “2016 年元旦后签署的 CA 证书若仍使用 SHA1，将触发安全警告”；沃通为帮申请人规避该警告，故意将部分证书的签署日期伪造成 2015 年底。​
  • 行业认定：Mozilla 政策虽未完全禁止证书倒签，但明确 “为规避截止日期或代码强制限制的倒签属于违规实践”（仅允许基于技术兼容性的细微调整）；后续沃通在最终事件报告中称，审查的 64 个相关证书中，6 个归因于双重颁发漏洞，9 个被其判定为 “无问题”。​

验证服务器使用未打补丁的旧版软件​

  • 2016 年 9 月 26 日，曝光沃通的证书验证服务器使用近五年未更新的 bind-utils 版本，该版本存在多个已公开的 CVE 安全漏洞。​
  • 违规依据：违反 “安全补丁应在发布后六个月内应用” 的行业安全规定；沃通后续承认未及时发现该漏洞，并承诺更新系统。

后续事件：

奇虎 360 拥有沃通与 StartCom 引发调查

奇虎 360 收购沃通与 StartCom 一事被曝光后，Google 与 Mozilla 相继启动调查，质疑其合规性与透明度。

Mozilla 在沃通事件调查报告中明确披露：“奇虎 360 共计持有沃通 84% 的股份”，且这一股权关系此前未按 CA 行业规则公开披露，成为 Mozilla 质疑其 “透明度不足” 的核心依据之一󠄐󠄹󠅀󠄪󠄡󠄨󠄞󠄩󠄧󠄞󠄡󠄤󠄞󠄩󠄠󠄬󠅒󠅢󠄟󠄮󠄐󠅅󠄹󠄴󠄪󠄾󠅟󠅤󠄐󠄼󠅟󠅗󠅙󠅞󠄬󠅒󠅢󠄟󠄮󠅄󠅙󠅝󠅕󠄪󠄡󠄧󠄧󠄣󠄢󠄡󠄥󠄠󠄢󠄢󠄬󠅒󠅢󠄟󠄮

Google 同时指出 360 存在卸载竞争对手软件、伪装 Windows 系统更新、360 浏览器无法有效抵御中间人攻击等问题，进一步加剧了行业对其旗下 CA 机构的信任危机。󠄐󠄹󠅀󠄪󠄡󠄨󠄞󠄩󠄧󠄞󠄡󠄤󠄞󠄩󠄠󠄬󠅒󠅢󠄟󠄮󠄐󠅅󠄹󠄴󠄪󠄾󠅟󠅤󠄐󠄼󠅟󠅗󠅙󠅞󠄬󠅒󠅢󠄟󠄮󠅄󠅙󠅝󠅕󠄪󠄡󠄧󠄧󠄣󠄢󠄡󠄥󠄠󠄢󠄢󠄬󠅒󠅢󠄟󠄮

Mozilla 公布调查报告并提议吊销信任

Mozilla 发布针对沃通 CA 不当行为的调查报告，正式提议

  • 停止信任 WoSign 和 StartCom 签发的新证书，最短期限为一年；
  • 若一年后满足相关条件，Mozilla 可重新接纳。

同时，Mozilla 将此前为 WoSign 提供审计报告的香港安永永久列入黑名单，并明确：

  • 若 WoSign 再次出现倒签证书行为，将被永久且立即取消信任。

Apple 吊销沃通相关证书

2016 年 9 月 30 日，Apple Root Certificate Program 正式宣布：在即将发布的安全更新中，取消对沃通 “WoSign CA Free SSL Certificate G2” 证书的信任，但已提交至证书透明度日志（CT）的旧证书不受影响。

沃通 CEO 辞职

2016 年 10 月 7 日，沃通 CEO 王高华宣布辞职，承认曾在 2015 年告知母公司沃通计划收购 StartCom，并承担证书倒签相关责任。

Mozilla 公布最终处理意见

2016 年 10 月 20 日，Mozilla 公布对沃通 CA 的最终处理决定：

  • 不再信任 2016 年 10 月 21 日之后 WoSign 签发的证书；
  • 从 Firefox 51 版本开始，移除对沃通 4 个根证书的信任；
  • Firefox 51 预计于 2017 年 1 月 23 日 发布。

谷歌宣布吊销证书

Google 随后宣布停止信任 WoSign 与 StartCom 证书，明确 2016 年 10 月 21 日之后签发的证书一律不受信任。

沃通发表声明并推出优惠策略

沃通就 Mozilla 取消信任一事发表声明表示遗憾，并宣布：

用户可选购新的沃通中级根证书签发的 SSL 证书，该证书由全球可信 CA 的根证书签发，可支持包括 Firefox 在内的所有浏览器，过渡期内提供八折优惠。

自 10 月 22 日起，原 4 个沃通根证书下的所有收费 SSL 证书一折销售，免费 SSL 证书停止开放；

结语：

沃通 CA 及其子公司 StartCom 在 2015-2016 年间爆发的系列违规事件，并非孤立的技术疏漏，而是合规意识缺失、流程管控失效与信任责任漠视共同导致的系统性危机。

从秘密收购未披露、相同序列号证书滥发，到 SM2 算法违规签发、根域名验证形同虚设，再到证书倒填日期、服务器漏洞长期未补，每一项违规都直接冲击了数字证书信任体系的核心基石 ——“可验证性、透明度与安全性”。󠄐󠄹󠅀󠄪󠄡󠄨󠄞󠄩󠄧󠄞󠄡󠄤󠄞󠄩󠄠󠄬󠅒󠅢󠄟󠄮󠄐󠅅󠄹󠄴󠄪󠄾󠅟󠅤󠄐󠄼󠅟󠅗󠅙󠅞󠄬󠅒󠅢󠄟󠄮󠅄󠅙󠅝󠅕󠄪󠄡󠄧󠄧󠄣󠄢󠄡󠄥󠄠󠄢󠄢󠄬󠅒󠅢󠄟󠄮

十年前沃通的违规行为，是试图通过 “隐瞒信息、规避规则、简化流程” 获取短期利益，却忽视了 CA 行业的核心使命：以合规流程保障每一张证书的合法性，以透明操作维护全球信任链的完整性。最终，其不仅面临 Mozilla、Apple、Google 等主流厂商的信任吊销，更失去了行业与用户的认可，成为 CA 行业违规的典型警示案例。󠄐󠄹󠅀󠄪󠄡󠄨󠄞󠄩󠄧󠄞󠄡󠄤󠄞󠄩󠄠󠄬󠅒󠅢󠄟󠄮󠄐󠅅󠄹󠄴󠄪󠄾󠅟󠅤󠄐󠄼󠅟󠅗󠅙󠅞󠄬󠅒󠅢󠄟󠄮󠅄󠅙󠅝󠅕󠄪󠄡󠄧󠄧󠄣󠄢󠄡󠄥󠄠󠄢󠄢󠄬󠅒󠅢󠄟󠄮

参考资料:

Google对沃通的调查报告

Mozilla的沃通Wiki

本地吊销沃通的 SSL 证书