Vlákno názorů k článku StartSSL byl potichu koupen WoSign a přestěhován do Číny od Saljack - Me nejvic stve, ze vsichni o tom vi...

Me nejvic stve, ze vsichni o tom vi a stejne jsou oba certifikaty duveryhodne. Po zjisteni takoveho problemu meli byt oba certifikaty bezodkladne vyhozeny ze vsech prohlizecu. Certifikacni autorita, ktera je jako vychozi v prohlizecich by nejen mela splnovat nejake standardy a zaroven by melo byt vedet kdo ji vlastni a melo by to byt transparentni. Opravdu by me zajimalo, co maji cinani za luben. Mam takovy pocit, ze prave chteji ty certifikaty zneuzit pro sledovani a podvrhovani stranek.

Problém nebyla jedna softwarová chyba při slučování firem. Těch problémů bylo několik při vydávání certifikátů, které se slučování firem nijak nesouvisí – vydali certifikáty, která by vydat neměli. Navíc nedodrželi postupy, ke kterým se zavázali – přičemž dodržování závazných postupů je prakticky to jediné, co činí certifikační autoritu důvěryhodnou. A aby toho nebylo málo, dosud nezneplatnili certifikáty, o kterých vědí, že byly vydány, aniž by žadatel prokázal držení domény. I když by někdo věřil, že ty předchozí chyby opravili, tahle poslední pořád trvá a nezdá se, že by ji WoSign chtěl napravit.

A k té presumpci neviny – současný koncept certifikačních autorit stojí a padá s tím, že důvěřujete všem certifikačním autoritám, jejichž certifikát máte v úložišti certifikátů. Nebo-li celý ten systém je tak silný, jak silná je nejslabší certifikační autorita. Přičemž ta důvěryhodnost CA je daná především tím, jak dodržuje dané postupy. Takže není potřeba žádný důkaz, že se jim nedá věřit – naopak CA musí na začátku přesvědčit, že se jí věřit dá, a pak v tom musí pokračovat. WoSign udělala tolik průšvihů, že by měla celým kolečkem zařazení mezi důvěryhodné certifikační autority projít znova od začátku.