01 · 档案方法论与分类模型
1.1 收录标准
本档案库收录事件遵循三条标准：①公开可查——有官方公告、公开调查报告或主流安全媒体的持续记录；②影响全网信任——涉及公网信任锚、中间CA或大规模证书滥用，而非单一企业内PKI事故；③产生治理后果——推动了标准、政策或行业实践的改变。按此标准收录2008—2020年间14起标志性事件。
1.2 七类根因分类模型
| 类别 | 定义 | 档案内事件数 |
|---|---|---|
| 委托管控失控 | 中间CA证书被用于声明之外的用途（含误发、被委托方滥用、监控用途流出） | 4起（Turktrust、ANSSI、NIC、CNNIC/MCS） |
| 本地信任根植入 | 预装软件/出厂镜像将自签根与私钥植入终端信任库 | 2起（Superfish、eDellRoot） |
| CA/RA被入侵或账户盗用 | 签发系统或经销商账户被攻击者控制 | 2起（Comodo、DigiNotar） |
| 算法弱点利用 | 哈希碰撞/弱签名导致信任链被伪造 | 2起（2008 MD5演示、Flame） |
| 流程与自动化缺陷 | 私钥生命周期失控或验证代码缺陷 | 2起（Trustico、Let’s Encrypt CAA） |
| 系统性错误签发 | 长期、批量的流程性错误签发累积 | 1起（Symantec） |
| 违规签发与治理违规 | 有意违反BR（伪造验证、倒签、隐瞒并购） | 1起（WoSign/StartCom） |
说明：分类按主导根因唯一归类；DigiNotar兼具入侵与中间证书滥用特征，按主导根因（入侵）归入"CA/RA被入侵"。
02 · 十四起标志性事件完整档案
| 时间 | 事件 | 类别 | 根因与关键事实（公开记录口径） | 治理后果 |
|---|---|---|---|---|
| 2008.12 | MD5仿冒CA演示 | 算法弱点 | Sotirov等在25届混沌通信大会演示：利用MD5碰撞构造可被浏览器信任的仿冒CA证书（使用PS3集群加速碰撞计算） | 推动全行业加速淘汰MD5签名；为Flame事件提供前兆认知 |
| 2011.3 | Comodo欺诈证书 | 账户盗用 | 攻击者盗用两家经销商（RA）账户，绕过CA主流程为google.com、yahoo.com等签发9张欺诈证书（自称ComodoHacker） | 数小时内吊销；RA授权管控进入浏览器与CA的联合审查议程 |
| 2011.8—9 | DigiNotar事件 | CA被入侵 | CA系统被入侵，Fox-IT调查确认531张伪造证书（含*.google.com），并对伊朗Gmail用户实施大规模HTTPS中间人攻击；CA宣告破产 | 浏览器紧急移除根信任；直接加速CT机制落地（2013年RFC 6962） |
| 2012.5 | Flame伪造微软证书 | 算法弱点 | Flame恶意软件利用MD5碰撞，伪造微软终端服务许可CA（Terminal Services Licensing）链上的Windows Update代码签名证书 | 微软紧急更新；MD5在CA实践中彻底出局 |
| 2012.12 | Turktrust误发 | 委托失控 | 误将2张证书签发为具备CA能力的中间证书，其中一张*.google.com证书在公开网络被观测到用于流量拦截 | 吊销与全球排查；中间证书模板管控收紧 |
| 2013.12 | ANSSI事件 | 委托失控 | 法国国家信息安全局（ANSSI）的中间CA为*.google.com签发证书（政府网络TLS检查用途流出至外部网络），Google发现后通报 | 证书吊销；国家监控型CA信任问题公开化 |
| 2014.7 | 印度NIC事件 | 委托失控 | 国家信息中心（NIC）CA签发google.com、yahoo.com、skype.com等域名证书 | Chrome对NIC实施Google域名白名单限制；Mozilla跟进处置 |
| 2015.2 | Superfish | 本地信任根 | 联想消费笔记本预装Superfish广告软件：植入Komodia自签根并实施TLS拦截，私钥保护薄弱问题被广泛报道 | 联想发布移除工具；OEM预装软件信任审计兴起 |
| 2015.3 | CNNIC中间证书 | 委托失控 | CNNIC委托的中间证书被埃及MCS公司用于为Google域名签发未经授权证书，Google发现后通报 | Google/Mozilla不再信任相关中间证书；CNNIC其后改用带名称约束的技术受限中间证书——公网名称约束罕见先例 |
| 2015.11 | Dell eDellRoot | 本地信任根 | 戴尔出厂镜像内置eDellRoot根证书及对应私钥，私钥可被公开提取 | 戴尔发布移除工具；供应链出厂信任审计加强 |
| 2016 | WoSign/StartCom系列 | 治理违规 | 未授权为github.com等域名签发证书、SHA-1证书倒签规避政策、隐瞒收购StartCom等多项违规 | Mozilla启动不信任程序（2016.10），Apple/Google分阶段移除（2017） |
| 2017—2018 | Symantec退场 | 系统性错误签发 | 域名验证流程缺陷致长期批量错误签发，Google公开调查指历史规模达数万张量级；2017年7月宣布、10月完成向DigiCert出售CA业务；Chrome 66/70（2018）分阶段移除信任 | 软退出时间线成为处置范式；违规即退市威慑确立 |
| 2018.1—2 | Trustico私钥事件 | 流程缺陷 | Trustico要求DigiCert批量吊销约2.3万张证书后被曝曾以邮件集中存储客户私钥，甚至向DigiCert发送私钥存档 | DigiCert终止托管合作；私钥生命周期管理成为审计焦点 |
| 2020.2—3 | Let’s Encrypt CAA事件 | 自动化缺陷 | Boulder代码缺陷致部分证书CAA复核未执行，约300万张证书受影响并分批紧急撤销 | 大规模吊销执行成本实证；推动短寿命替代吊销路线讨论 |
03 · 深度案例剖析（四起）
3.1 DigiNotar（2011）：信任链安全的"9·11"
事实链：2011年6—7月间攻击者入侵DigiNotar系统，8月伊朗Gmail用户发现Chrome对其邮箱证书发出警告（Google域名启用了证书钉扎，与伪造证书不匹配）——事件由此曝光。Fox-IT受委托调查确认共签发531张伪造证书，涉及google.com、yahoo.com、torproject.org等；攻击者对伊朗境内用户实施了实际的HTTPS中间人攻击。DigiNotar于2011年9月宣告破产，其信任根被各浏览器紧急移除。
为什么是转折点：①首次有公开证据链证明"攻陷CA=对特定国家用户实施全网中间人攻击"；②证明浏览器钉扎（pinning）能发现伪造（但只覆盖了Google自家域名）；③直接催生CT从构想走向标准——"让所有签发公开可见"成为行业共识，2013年RFC 6962发布、2018年成为强制。
3.2 Flame（2012）：哈希碰撞的武器化
Flame（又称Flamer/sKyWIper，2012年5月由卡巴斯基等公开分析）利用MD5的选择前缀碰撞（chosen-prefix collision），伪造了一条微软"终端服务许可"CA链上的代码签名证书，使其恶意模块可冒充Windows Update分发。关键点：攻击者无需破解微软根私钥——只需利用一个使用MD5签发、且序列号与签名时间可控的在线CA作为碰撞载体。这是2008年学术演示（Sotirov等）的实战复现，宣告MD5在证书签名中的死刑，也确立了一条永恒教训：信任链的强度等于其最弱哈希环节的强度。
3.3 CNNIC中间证书事件（2015）：技术约束的罕见实战
事件本身（MCS公司滥用CNNIC委托的中间证书为Google域名签发证书）是又一起委托失控；但真正的研究价值在处置方式：Mozilla没有简单移除CNNIC根，而是要求CNNIC此后仅可使用带名称约束的技术受限中间证书开展业务——这是公网Web PKI史上罕见的名称约束规模化部署。该案例证明：①名称约束工程可行；②其落地依赖根程序的市场杠杆；③"受限信任"提供了介于"全信"与"移除"之间的精细处置档位（与NIC India案的域名白名单限制同为治理工具箱的创新）。
3.4 Symantec退场（2017—2018）：软退出范式
Symantec是全球市场份额领先的老牌CA。2015—2017年间其域名验证流程缺陷导致长期、批量错误签发；2017年Google公开调查结论（历史错误签发规模达数万张量级）并宣布不信任计划：2018年4月Chrome 66不再信任2016年6月1日前签发的Symantec证书，2018年10月Chrome 70完成全量移除，Mozilla与Apple同步。期间Symantec于2017年7月底宣布、同年10月底完成向DigiCert出售CA业务，以交叉签名桥接完成用户证书过渡。范式意义：新旧证书分时间线的软退出设计平衡了生态稳定；"违规即退市"从此成为可置信威胁；也暴露了处置的巨额成本（收购价、迁移工程、交叉桥接）——这正是威慑有效性的来源。
04 · 发现渠道与取证方法论
4.1 事件的五种发现渠道
| 渠道 | 机制 | 档案中的实例 |
|---|---|---|
| 浏览器证书钉扎告警 | 内置高价值域名的证书指纹，与伪造证书不匹配即告警 | DigiNotar（Chrome用户发现Gmail证书异常） |
| CT日志监测 | 签发即公开，异常证书可被订阅式监测发现 | 2018年后多数错误签发的标准发现路径；NIC/ANSSI类事件在CT时代将小时级暴露 |
| 学术互联网测量 | 全网TLS扫描、证书链收集与异常检测 | 多项未申报中间证书研究；MD5弱证书普查 |
| 厂商安全研究 | 杀软/安全厂商在用户环境发现伪造证书或私钥 | Superfish（微软/安全研究者）；eDellRoot（研究者公开） |
| 内部审查与用户报告 | CA自查、受影响方通报 | Let’s Encrypt CAA（内部代码审查）；Symantec（Google调查） |
4.2 取证要点清单
- 保全完整证据链：伪造证书全链（含中间证书）、SCT、获取时间、来源网络环境（抓包留证）；
- 独立验证：离线重放路径验证，确认证书确实可通过标准验证（排除本地篡改假象）；
- 状态核查：OCSP/CRL状态、证书透明度日志中的收录情况，判断签发时间与吊销时间线；
- 影响面评估：伪造证书的SAN范围、观测到的实际使用（被动DNS、威胁情报遥测）；
- 责任链确认：区分CA主流程、RA/经销商、中间证书持有方、终端运维的责任归属——这直接决定处置路径（吊销/白名单限制/根移除）。
05 · 趋势分析
- 重心迁移一：从"攻破CA"到"滥用免费DV"。2018年CT强制后，针对CA系统的入侵类事件（DigiNotar式）在公网显著收敛，钓鱼产业转向合法DV证书的零成本滥用——信任链治理的重心随之从"保护CA"扩展到"监测使用面"（与子课题01/02衔接）。
- 重心迁移二：本地与企业侧风险上升。消费终端预装植入（Superfish/eDellRoot）之后，企业TLS检查代理的本地根成为新的治理焦点——风险从"公网信任锚"下沉到"每台设备的信任库"。
- 发现时延的数量级压缩。DigiNotar从入侵到公开耗时数月；CT时代错误签发可在小时级进入监测视野——发现不再是最薄弱环节，处置与吊销执行成为新瓶颈（Let's Encrypt 2020年CAA事件实证了300万级吊销的执行成本）。
- 处置范式成熟。硬退出、软退出时间线、定向白名单限制、技术受限信任四档处置工具全部经过实战检验，根程序的治理"工具箱"基本定型。
- 档案收录说明。2020年后未再出现满足三大收录标准的"全新类型"信任危机——并非风险消失，而是CT强制、MPIC与披露执法使"旧套路"失效，攻击面转向合法DV证书的零成本滥用与本地/企业侧信任根；本课题据此将档案截止于2020年，其后治理动态并入第4页（Entrust案）与第8页（短寿命、PQC改革）持续追踪。
06 · 本节参考来源（第6页）
Fox-IT《DigiNotar Certificates Authority breach, Operation Black Tulip》（2011年9月）要点；公开汇编：en.wikipedia.org/wiki/DigiNotar。
卡巴斯基《The Flame: Questions and Answers》（2012年5月）及微软安全公告（MS12-034）关于终端服务许可CA证书问题的说明。
Mozilla安全博客《Revoking Trust in one CNNIC Intermediate Certificate》（2015年4月）及Google Security Blog相关公告（2015年3月）：blog.mozilla.org/security。
Google Security Blog关于Symantec信任计划的公告（2017年10月）与Symantec CA业务出售公开记录：security.googleblog.com。
Let’s Encrypt CAA事件公告（2020年3月3日）：letsencrypt.org/2020/03/03/2020.02.29-caa-incident。
Superfish：en.wikipedia.org/wiki/Superfish；eDellRoot：thehackernews.com/2015/11/superfish-malware-dell；WoSign处置：en.wikipedia.org/wiki/WoSign。