新闻来源: 明报 继Google周三宣布，该公司旗下的Google Chrome浏览器停止信任由中国互联网信息中心（CNNIC）发出的数码证书后，旗下拥有Firefox（火狐）浏览器的MOZILLA公司周四也宣布，停止信任CNNIC的网络数码证书。目前，包括内地近4亿人在内，这两家浏览器在全球约10亿用户，在浏览带有CNNIC颁发证书的网站时将受到安全警告。事件或影响数以万计客户资料需要加密的银行或电子商贸公司等网站。CNNIC发出声明称，难以理解和接受Google作出的决定。 以安全见称的Google chrome 及Firefox，是继微软Internet Explorer（IE）之后，在全球浏览器市场佔有率分别达20.57%和13.26%，排名第二及第三的浏览器产品。这两大浏览器的用户全球在10亿人左右；在内地，CHROME的用户约有3.4亿人，FIREFOX用户数量在800万左右。2 d" f( `6 B* a3 U1 l A
* F3 |/ g( j* G$ }, b
颁发证书可攻击Google
. P( V+ o7 e( j8 x; m3 d$ l: v$ {9 Z2 K, S& D% e. ~
据了解，Google公司取消信任CNNIC的数码证书，是由于Google早前发现CNNIC颁发了多个针对Google域名的用于中间人攻击的证书。埃及一家名为MCS集团的中级证书颁发机构，发行了多个Google域名的假证书，而MCS集团的中级证书则来自中国的CNNIC。这些证书冒充成受信任的Google的域名，被用于部署到网路防火墙中，用于劫持所有处于该防火墙后的HTTPS网络通信，成功绕过了浏览器的警告。CNNIC是负责管理维护中国互联网域名系统的国家机构。
, K2 L9 |4 c C. _. ]
7 X% Z) H5 s: |& V9 A, W2 n 上月23日，Google在其网络安全博客中披露此事件。总部设于美国纽约的保护记者委员会的安全及监察专家Tom Lowenthal表示，CNNIC这种做法严重打击了公众的信任。他说：「此类故意违规对一些用户造成潜在的严重危害，例如需要和消息人士联络的记者。」9 e8 a4 g' O i
" Y& X/ T% {, }$ p7 m$ z& U+ S CNNIC于两天后发表声明承认，CNNIC伺服器证书业务合作方MCS公司，确认其不当签发的测试证书仅用于其实验室内部测试。声明同时称，CNNIC已于3月22日撤销对MCS公司的业务授权。
) c/ R# i- H4 P5 }& d5 A2 a- c
& C4 V/ V3 \. M) E. i1 e" C; y2 k3 o 暂允忽略警告续浏览6 e% P5 u9 D( q* Z
; ?: L, u' P6 p* j C4 C* _7 Q$ J( W
话虽如此，Google经过联合调查后，还是作出了其旗下产品中全面吊销CNNIC证书的决定。换言之，只要用Google Chrome浏览含有CNNIC颁发证书的以「.cn」结尾的域名和所有中文域名的网站，均会显示不受信任的安全警告。作为过渡，Google暂时允许用户拥有选择忽略警告、继续浏览此类网站。 《华尔街日报》称，「这一变动将会影响到那些加密的中国网站」，包括网址以「https」开头、「.cn」结尾的电子邮箱、网购服务等需要用户个人信息和密码的网站/ w# k/ Y& O5 c0 E; x# l
3 a+ K7 }) V* a4 {' h
|
