请选择 进入手机版 | 继续访问电脑版
查看: 4442|回复: 2

俄罗斯决定自建TLS根证书

[复制链接]
匿名
匿名  发表于 2022-3-13 11:24:16 |阅读模式
随着俄罗斯乌克兰战争的进行,来自美国和西方国家的制裁也越来越频繁,其中就包括暂停网站证书的更新,导致俄罗斯境内的浏览器访问证书过期的网站。

基于对俄罗斯实施制裁的国家/地区的签署机构不能再接受为其服务支付的费用,这使得许多网站没有切实可行的手段来更新即将到期的证书。

证书过期后,Google Chrome、Safari、Microsoft Edge 和 Mozilla Firefox 等 Web 浏览器将显示页面不安全的整页警告,这可能会使许多用户离开该站点。

因此,俄罗斯决定自己创建受信任的TLS 证书颁发机构 (CA),防止出现因证书在暂停续订而无法访问相关网站的局面。

目前,俄罗斯政府已经决定自己创建一个证书颁发机构,提供独立颁发和更新 TLS 证书的解决方案。俄罗斯公共服务门户网站 Gosuslugi 表示,如果国外安全证书被撤销或过期,那么俄罗斯的证书会取代它,该服务预计在五个工作日内上线,且全部免费。

但这里有一个严重的问题,新的证书颁发机构 (CA) 要想被 Web 浏览器信任,首先需要经过各个公司的审查,这可能需要很长时间。目前唯一信任俄罗斯CA的浏览器是俄罗斯的Yandex和Atom 浏览器,因此俄罗斯政府倡导用户使用本国浏览器,而不是Chrome、Firefox、Edge 等主流浏览器。

据俄罗斯媒体报道,已经有198个单位收到了使用TSL证书的通知,但并不强制要求使用,俄罗斯中央银行、Sberbank、VTB已经率先开始使用CA颁发的TSL证书。

Chrome 或 Firefox 等其他浏览器的用户可以手动添加新的俄罗斯根证书,以继续使用具有国家颁发证书的俄罗斯网站。
QQ截图20220313112346.jpg

俄罗斯可信根 CA 证书

然而,这也给安全埋下了隐患,俄罗斯可能滥用其 CA 根证书 来执行HTTPS 流量拦截和中间人攻击,并最终导致根证书被添加到证书撤销列表 (CRL) 中。这将使这些证书无效,Chrome、Edge 和 Firefox 将阻止访问任何使用它们的网站。

众所周知,证书颁发机构应该是普遍受信任的。但是,由于俄罗斯目前没有多少可信度,全球主要浏览器供应商不太可能将它添加到根证书存储中。
回复

使用道具 举报

  • TA的每日心情
    开心
    2022-11-19 06:26
  • 签到天数: 122 天

    [LV.7]常住居民III

    发表于 2022-3-14 12:00:48 | 显示全部楼层
    唉,这非常有用,可惜浏览器供应商不太可能将它添加到根证书存储中
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 注册

    本版积分规则

    快速回复 返回顶部 返回列表