2011年5月3日星期二

[GFW BLOG(功夫网与翻墙)] 寸土必争!把CNNIC的假证书扫地出门

来源:http://www.librehat.info/04/wipe-out_cnnic-ca/

为什么要将CNNIC扫地出门,事情真的有这么严重?

网上传输的任何信息都有可能被恶意截获。尽管如此,我们仍然在网上保存着很多重要的资料,比如私人邮件、银行交易。这是因为,有一个叫着 SSL/TLS/HTTPS 的东西在保障我们的信息安全,它将我们和网站服务器的通信加密起来。

如果网站觉得它的用户资料很敏感,打算使用 SSL/TLS/HTTPS 加密,必须先向有 CA (Certificate Authority) 权限的公司/组织申请一个证书。有 CA 权限的公司/组织都是经过全球审核,值得信赖的。

发生了什么事

最近,CNNIC——对,就是那个臭名昭著的利用系统漏洞发布流氓软件的、就是那个使劲忽悠 CN 域名又突然停止域名解析的 CNNIC (中国互联网络信息中心),它——偷偷地获得了 CA 权限!在所有中文用户被隐瞒的情况下!

意味着什么

意味着 CNNIC 可以随意造一个假的证书给任何网站,替换网站真正的证书,从而盗取我们的任何资料!

这就是传说中的 SSL MITM 攻击。以前这个攻击不重要是因为攻击的证书是假的,浏览器会告诉我们真相;现在,因为 CNNIC 有了 CA 权限,浏览器对它的证书完全信任,不会给我们任何警告,即使是造假的证书!

你信任 CNNIC (中国互联网络信息中心) 吗?你相信它有了权限,会安守本分,不会偷偷地干坏事吗?
我对此有3个疑问:

  1. 某 party 对 GMail 兴趣浓厚,GFW 苦练 SSL 内功多年,无大进展。如今有了 CA,若 GFW 令下,CNNIC 敢不从否?
  2. CNNIC 当年利用所谓官方头衔,制流氓软件祸害网民。如今有了 CA,如何相信它不会故伎重演?
  3. 为了得到指定网站的合法证书,其它流氓公司抛出钱权交易,面对诱惑,CNNIC 是否有足够的职业操守?

影响范围

基本上所有浏览器的所有用户均受影响!

目前的解决方案:

Linux平台下删除CNNIC证书:

关于Linux的CA证书管理软件;http://code.google.com/p/chromium/wiki/LinuxCertManagement ,各大发行版可以快速的安装这个CA证书管理软件:

Ubuntu:

sudo apt-get install libnss3-tools

Fedora:

su -c "yum install nss-tools"

Gentoo:

su -c "echo 'dev-libs/nss utils' >> /etc/portage/package.use && emerge dev-libs/nss"

OpenSUSE:

sudo zypper install mozilla-nss-tools

安装完成后,在终端下运行这条命令可以显示部分证书:

(在Gentoo下,要将下面的几条命令中的certutil命令改为nsscertutil)

certutil -d sql:$HOME/.pki/nssdb-L

一般情况下会出现与CNNIC有关的条目,这个时候执行下面这条命令删除CNNIC证书:

certutil -d sql:$HOME/.pki/nssdb-D -n "CNNIC ROOT"

其中的CNNIC ROOT视列出的名字而定。

如果没有显示CNNIC有关的条目的话,我是这样让其显形的:

Chromium浏览器设置页面->高级选项->管理证书,点击授权中心,找到CNNIC,选择CNNIC ROOT,点击修改,将所有的勾都取消掉(即不信任该中心的证书),再次按照上面的方法,这个时候应该会列出CNNIC的证书了,删除掉CNNIC ROOT吧!重启Chromium浏览器,打开http://www.enum.cn/en/看是不是显示不安全链接了,如果还是安全的链接说明删除失败了。

Firefox火狐狸浏览器的设置方法(来源):

  • 菜单栏:工具/编辑->首选项->高级->加密->查看证书->证书机构(Authorites)
  • 这是一个很长的列表,按照字母顺序,你应该能找到一个叫着 “CNNIC ROOT” 的记录,就是这个东西,告诉 Firefox,我们不信任它!
  • 选中 CNNIC ROOT,点击下面的“编辑”按钮,弹出一个框,应该有3个选项,把所有选项的勾都去掉!保存。
  • 还没有完,狡兔有三窟。
  • 接着往下找,有一个叫着 Entrust.net 的组,这个组里应该有一个 “CNNIC SSL” (如果没有,访问一下 这个网站 就有了)
  • 别急着下手,这回情况不一样,这个证书是 Entrust 签名的。我们信任 Entrust,Entrust 说它信任 CNNIC,所以我们就被迫信任 CNNIC SSL 了。找到 “Entrust.net Secure Server Certification Authority” 这一条,同上面一样,把3个选项的勾都去掉,保存(提示:取消了对 Entrust 的信任以后,可能会没法打开它签名的某些正常网站。至于哪个网站用了它的签名,随便试了一下,没找到例子)。
  • 最后,让我们验证一下。重启 Firefox,打开 这个 和 这个 网站,如果Firefox 对这两个网站都给出了安全警告,而非正常浏览,恭喜,您已经摆脱了 CNNIC CA 的安全威胁!

Windows下删除CNNIC证书的方法(详细

  1. https://dl.dropbox.com/u/1356279/proxys/CNNIC.7z 下载CNNIC的证书
  2. 运行 certmgr.msc ,展开” 不受信任的证书 (Untrusted Certificates) “,右键单击其下” 证书 (Certificates) “项,在” 所有任务 (All Tasks) “子菜单下单击” 导入 (Import) … “将CNNIC的证书导入到不信任的证书机构。
  3. 受信任的证书颁发机构,然后,cnnic root双击,然后,详细信息,然后 编辑属性, 最后下狠手,停用这个证书的所有目的!
  4. Windows平台的Chrome/Chromium/Firefox可以参考Linux平台下的禁用方法。
  5. 可以参考这篇文章:http://blog.lzzxt.com/394

Mac OS X下删除CNNIC证书的方法(`需`’翻`’墙`)


—————————————————————————————————————————

需要翻墙利器? 请安装Wuala,查找和添加gfwblog为好友,就可高速下载翻墙软件,或访问http://tinyurl.com/gfwblog直接下载。

推特用户请点击这里免翻墙上推特

请点击这里下载翻墙软件

更多翻墙方法请发电邮(最好用Gmail)到:fanqiang70ma@gmail.com

请阅读和关注中国数字时代、翻墙技术博客GFW BLOG(免翻墙)

请使用Google Reader订阅中国数字时代中文版http://chinadigitaltimes.net/chinese/feed),阅读最有价值的中文信息;以及GFW BLOG(功夫网与翻墙)http://feeds2.feedburner.com/chinagfwblog,获取最新翻墙工具和翻墙技巧信息。




--
Posted By GFW BLOG 功夫网与翻墙 to GFW BLOG(功夫网与翻墙) at 5/03/2011 08:23:00 AM

--
1、我们的订阅地址:http://feeds2.feedburner.com/chinagfwblog。2、发一封标题为GFW的邮件到fanqiang70ma@gmail.com,就可获取翻墙利器赛风新地址。附《数字时代》赠阅版。3、本站热烈欢迎各位朋友投稿或推荐文章,请发邮件至chinagfwblog[at]gmail.com。
停止订阅,请发邮件到
gfw-blog+unsubscribe@googlegroups.com

没有评论:

发表评论