Google 宣布不再信任赛门铁克的
SSL / TLS
证书后,赛门铁克也发表了声明回击
Google。

7月31日下午,各大媒体平台以及论坛发布的《Google宣布Chrome不再信任赛门铁克所有SSL证书》的新闻存在标题误读、夸大事实、不符合实际的情况。

赛门铁克称,它以身为世界领先的认证机构之一而感到自豪,强烈反对 Google 在
Chrome
浏览器上针对赛门铁克证书的行动。谷歌的这一行动是出人意料且不负责任的,这样会在网上造成用户对赛门铁克证书的不确定性和疑虑。

因近年赛门铁克误发大量凭证,谷歌周四宣布即日起Google
Chrome将逐步限制赛门铁克发出的HTTPS凭证。

关于新闻中的错误主要说明以下几点:

图片 1

2015年9月,赛门铁克承认旗下Thawte凭证机构误发Google.com延伸验证凭证(Extended
Validation,EV),并开除相关员工。

1、首先,赛门铁克的所有SSL证书都可以正常使用。之所以有这样的报道出现是因为:赛门铁克SSL证书签发的PKI系统要进行安全升级,谷歌为了督促赛门铁克此次更新,计划在2018年10月23号Chrome版本发布后,不信任赛门铁克未更新的PKI系统签发的证书,而非不信任赛门铁克所有的SSL证书,这是一个严重的误读。

赛门铁克认为,Google
有关赛门铁克证书签发政策和误发证书规模的声明存在误导性和夸大其词,真正证书误发的数量只有
127 个,而不是 Google 声称的错误签发了超过 3
万证书,而且这些证书并没有对消费者造成任何伤害。

当时赛门铁克表示误发了23个凭证,但谷歌最近发现其实总量超过3万个。

2、赛门铁克计划是在2017年12月1号启用全新版PKI认证系统。赛门铁克将会帮助所有客户达到Google对于证书信任的要求,所以赛门铁克的PKI系统的更新对于用户来说是绝对安全且无影响的。

赛门铁克还表示,所有大型的 CA 都发生过 SSL / TLS 证书误发的事件,但
Google 却不知为何专门把赛门铁克挑出来。现在正和 Google
公开讨论这起事件,希望能尽快解决。

这意味着众多使用者可能因此连上包含恶意程序的网站,导致个人资料或账号陷入被窃取的危险境地。

3、关于赛门铁克出售CA业务,只是一个没有官方回应的传闻。

(文/开源中国)    

对此,谷歌非常气愤并表示要对赛门铁克实施制裁。

4、7月31当天下午,赛门铁克中国区相关负责人便立即访问亚洲诚信公司,说明赛门铁克与Google事件的最新进展。

谷歌最新表态,即日起,Chrome将不再承认赛门铁克签发的所有凭证。原本Chrome浏览器会在地址栏显示有效网址持有者,即赛门铁克的名称,但谷歌工程师Ryan
Sleevi指出,从现在起至少一年间,谷歌不再显示该项目,这意味赛门铁克的凭证被降级为较不安全的网域凭证。

图片 2

未来,谷歌更是计划通过Chrome升级逐渐废止赛门铁克旗下凭证机构签发的现有所有凭证。

图片 3

由于2015年赛门铁克签发的凭证占整个互联网所有有效凭证的30%,此举将导致数百万Chrome用户无法存取大量网站。

详细变化可以查看以下图片中的时间线:

为了降低冲击,Chrome将在未来新版Chrome中逐步缩短赛门铁克凭证的有效期限。

图片 4

其中,在Chrome 59中,这些凭证有效期间为33个月,到Chrome
64时,将缩短为9个月。

5、如果您还有任何疑问,可以随时访问亚洲诚信官网。

对于谷歌制裁,赛门铁克表示不满,称谷歌的动作令人措手不及,且这种措施也相当不负责任。赛门铁克提醒SSL/TLS客户,目前“不用采取什么行动”。

图片 5

【编辑推荐】