CNNIC,让我如何相信你

CNNIC,中国互联网络信息中心。一个很官方的机构,一个管理CN域名的机构,一个自称独立运营的机构,一个天天发评测说网瘾很泛滥的机构,一个“发誓”保护未成年人免受互联网“伤害”的机构,是一个开发出中国第二流氓软件”CNNIC中文上网”的机构,现在居然进入了国际互联网信任体系的核心,获取了颁发CA证书的权限。
先发张图,刚刚官网下载的中文上网软件,可以看到数字签名写得很清楚,看看MD5和SHA1,我没有骗人,原汁原味的中文上网软件。


cnnic

在贴一个地址,Virus Total网站对该文件的实时在线扫描报告,综合了目前世界上绝大多数的杀毒软件,点此查看报告,可以看到MD5和SHA1和我的截图一致,看看有多少报告病毒的吧。
现在你知道CNNIC是什么机构了吧?我们可以信任吗?
而就是这样一个机构,却在最近获得了颁发CA证书的权利,也就是说,它可以为任何网站颁发用于加密访问的证书,比如银行、邮箱、股票,等等。现在已知的,163的邮箱,SSL加密方式连接已使用CNNIC证书。
这意味着什么呢?只要一下命令,所有国内的银行,邮箱加密通道,证券交易等等,全部都更新为CNNIC证书,国内的互联网的信任便完全掌握在CNNIC手中。用浏览器访问CNNIC证书的加密网站,不会弹出任何提示,没有任何警告。你想访问Gmail,可以被不知不觉劫持到一个网站,由于使用CNNIC证书,你在访问该网站时浏览器不会有任何警告,当你轻松输入账户和密码,还在窃喜这次登录怎么如何顺畅时,对不起,你的帐号已经被盗。这一切你不会有任何察觉。
那么有人说了,为什么Firefox和微软要把CNNIC这个臭名昭著的机构列为受信任的根证书颁发机构呢?原因很简单,因为CNNIC的申请程序合法,运营情况合乎要求,固定时间有audit等等,具体的我说不清楚,IS学security and audit的应该有所了解。CNNIC申请的时候完全不提中文上网的那档子事情,只强调,作为中国最大的域名提供和管理商,最权威的互联网机构,有资格担任该角色。并且,
Innocent until proven guilty.
外国人最信这个了,在没有切实攻击证据之前,任何理由,任何推理,任何不信任,都是站不住脚的。这个攻击离我们比较遥远,但若任凭温水煮青蛙,恐怕这一天也不那么遥远了。
最后说说删除或者将CNNIC手动列为不信任的Pros and Cons:
Pros:互联网仍然是可以信任的
Cons: 国内一些邮箱用不了,到后来可能银行也用不了,城大的University Wifies, Eduroam, CityU WaveLan用不了(因为同时要屏蔽Entrust,它也认证CNNIC证书,这个原理复杂一些)
如果放任呢?
Pros: Everything unchanged,该怎么上网就怎么上网
Cons: Great LAN.
就说到这里。

2 thoughts on “CNNIC,让我如何相信你”

Leave a Reply

Your email address will not be published. Required fields are marked *