CNNIC的证书

    最近，技术圈里面在争论CNNIC的证书被加入到信任根证书里面的问题。本文章试图和专业人士探讨这一变化的过程，以及向非专业人士说明会造成的影响。所有段落前会标明针对的群体。
    事情的起源，是有人发现CNNIC的证书被加入了Mozilla和系统的信任根证书链里。这引发了大家对早年CNNIC所做的流氓软件的回忆，因此大量技术人士强烈反对。所做的反应包括发起BUG讨论提请Mozilla删除CNNIC的证书，发起投票，写信给Entrust阐述问题等。下面会简述一下信任根证书链，还有CNNIC的背景和历史。
    本段适合非专业人士阅读。我们在访问一个网页的时候，通常有两种常见的通讯方式。http和https。区别在于，https会使用网站证书加密通讯过程。证书加密包含了几重的意义，首先，证书保证了你们的通讯没有第三者能截获。其次，证书验证了你访问的网站，是否是他号称的那个网站。也许很多人无法理解，这两种攻击怎么可能发生。要理解一点，中国电信也不是铁板一块，你完全无法指望他们的员工也绝对安全。否则的话，为什么所有银行都使用https来加密访问过程呢？
    本段适合专业人士阅读。那么，不使用证书会发生如何的攻击呢？一旦有某个人更改DNS(这东西让百度都吃了亏)，以某个服务器替换了你的银行(或者gmail)。那么，你访问你的目标域名的时候，就会被定位到他的中间机器上，他再使用代理技术，通过ssl访问目标服务器。整个过程如同走代理一样，唯一的问题就是你的密码泄露了。那么证书是如何防御这个攻击的呢？如果你访问目标机器，目标机器会让你验证一份证书，标明他的域名(用于防止域名劫持的)，签署者。一旦域名不符合，或者你不信任证书，就会报警。那么攻击者如何复制这个证书呢？首先他无法通过访问的方式获得证书原文，因为证书给你的其实只有公钥部分。其次他无法将这个过程也代理下来，因为如果这么做，下面的内容就全是不可解的了，那他就纯粹花钱把自己弄成代理服务器了。最后，他也无法生成，因为按照规定，只有域名的拥有者可以向特定的单位申请证书。于是，他无法复制证书，攻击就会失败。
    本段适合非专业人士阅读。然而，你需要信任什么证书呢？如果你要一家一家的信任证书，会发生什么？你见到是否信任就会习惯的去点，这对安全于事无补。因此，这里引申出一个证书链的问题。通常系统内内置了一些证书，这些证书叫做信任根证书。这些证书的权限是，可以让你信任其他证书。而被他们授权的证书，则分为可以继续授权和不可以继续授权两种。一旦被他们签署授权的证书，最起码你访问的时候不会有警告了。现在，CNNIC加入了这个根证书链。那CNNIC是个什么公司呢？他自称是中国科学院下属的中国互联网络信息中心，服务于科学和研究的机构，但很多人指出CNNIC的直接主管是工信部。当年，CNNIC推出中文域名服务，这项服务需要在几乎所有人的电脑内安装插件。他为了提高安装率，使用了不可删除的保护技术。这导致很多人的电脑安装后，无法卸载程序。至于安装呢？也不全是自愿安装(我不排除自愿者，绿霸还有自愿的呢)。他们曾经利用系统漏洞，向大量电脑上强行安装插件。而且CNNIC还借助官方身份，大量推行中文域名——其实他们根本就不是政府机构，而是非营利机构。并且，在前两年拼命忽悠CN域名，最近又突然停止域名解析(虽然是国家规定的)，道歉赔偿啥都没有。大家自己想，真的可以信任这种公司么？
    本段适合所有人阅读。现在CNNIC已经进入了信任根证书链，如果配合国家级的DNS劫持技术，理论上可以构造一个假的mail.google.com，或者www.hotmail.com。走代理，自己给自己签署一个证书。从而获得你的完整会话。这里(http://autoproxy.org/zh-CN/node/66)有比较大的说明和讨论。
    我对这个事情的观点是。作为Mozilla或者任何根证书的发行机构，在没有直接证据的情况下，不大可能拒绝一个国家级机构的要求。然而，无论任何原因，信任一个机构，就代表你要为他的行为负责。如果CNNIC做出任何危害用户安全的行为，Moziila，微软，Debian.org会被我作为同罪者考虑和抵制。同时，系统发行的根证书系统，是否要去信任，是我们每个人的问题。如果你觉得CNNIC根本不值得信任，那么你可以删除他的所有证书，以及签署了他的所有证书。目前而言，我删除了CNNIC和Entrust的所有证书。