CNNIC声明否认发布中间人攻击证书

【ALENG博客】消息，这两天对于业界来说，一则关于“谷歌称CNNIC发布中间人攻击证书”的新闻引发轩然大波，我最早是从月光博客的社交网站上知晓此事的，虽然自认为不以互联网做违纪违法的事情，但是基于对于互联网隐私和安全的理解，觉得这确实不是一件小事情，CNNIC在此事上颜面扫地，让我们不仅汗颜，那是一个国家的互联网管理机构啊，假如消息是真，他们怎么能够做出此等奸佞小人无耻之徒才能做出的事情呢？

消息发布后，CNNIC也于3月25日在其官方微博发布澄清声明，但是无论如何，对于我们这些小民来说，最好的方法恐怕还是删除CNNIC的证书，免得自己的隐私被那些奸佞小人窥探。

CNNIC证书的清除方法

最近1-2周，关于 CNNIC 的 CA 证书问题，网上搞得沸沸扬扬。但是，即使是一些 IT 行业的技术人员，也搞不太明白该问题的严重性（至于不懂技术的傻瓜用户，就更甭提了）。主要在于 CA 证书是一个相对专业的东东，大伙儿平时接触不多。那电脑中有了CNNIC的证书，会出现啥事呢？

◇“中间人攻击”的风险

中间人攻击的风险，是最危险的，也是最经常被提及。

CA证书对于https协议的重要性（可以防止攻击者伪造虚假网站）不用多说。既然CNNIC已经成为合法的CA，那它就能堂而皇之地制作并发布CA证书。然后，再配合进行DNS的域名污染。那就可以轻松搞定任何网站的HTTPS加密传输。

◇ActiveX控件的风险

另外一个大伙儿不太关注的风险，是关于ActiveX控件的问题。前几年，很多恶意软件（包括流氓软件、木马）都是通过IE控件的技术，安装到大伙儿的电脑上。后来微软加强了多ActiveX控件的验证：在IE的默认设置下，对于没有数字签名的ActiveX控件，是拒绝安装滴；而对于有数字签名的控件，则会给出提示。

因此，CNNIC可以很轻松地给自己的ActiveX控件制作数字证书。然后把控件放到网上。某些粗心的电脑用户看到IE跳出的安装控件提示，多半没细看，直接就点了“确定”按钮。

★如何清理门户？

其实网上关于如何去掉证书的操作指南，多如牛毛，所以就简单说一下。

有些浏览器（IE、Chrome、Safari）使用的是操作系统的证书体系。这种情况下，你需要把CNNIC证书从操作系统的证书体系中去掉。还有些浏览器（比如Firefox、Opera）是自己带了一套证书体系。你只要在其配置界面，把不要的证书去除即可。下面分不同的浏览器，不同的操作系统，分别介绍。

◇清理Windows的证书（适用IE、Chrome、Safari）

对于使用Windows下的IE或Chrome或Safari浏览器，则需要执行如下步骤：

1. 运行Windows的证书管理器（到命令行执行certmgr.msc）。

2. 选中“受信任的根证书颁发机构”=>“证书”。

3. 查看右边的证书列表。如果里面已经有CNNIC的证书，直接跳到第7步。

4. 先翻墙到“这个页面”下载现成的CNNIC证书（要解压缩出来）。

5. 鼠标在“受信任的根证书颁发机构”=>“证书”上点右键。在右键菜单中点“所有任务”=>“导入”。

6. 出现一个导入向导，根据先导一步步的提示，把上述CNNIC证书导入到证书列表中。

7. 选中CNNIC证书，点右键。在右键菜单中点“属性”。

8. 在跳出的属性对话框中，选中“停用这个证书的所有目的”，然后确定。

9. 最后，为了保险起见，再把这三个证书，导入到“不信任的证书”中（方法和上述类似）。

注：上述操作仅对当前用户生效。如果你的Windows系统中有多个常用的用户帐号，要对每一个用户进行上述设置。

◇清理苹果Mac OS的证书（适用Safari、Chrome）

对于使用Mac OS下的Safari或Chrome浏览器，则需要执行如下步骤：请到“实用工具”=>“钥匙串访问”=>“系统根证书”=>“证书”，找到CNNIC的证书并双击，改为“永不信任”。

◇清理Linux的证书（适用Chrome、Safari）

对于Debian和Ubuntu系统，以管理员权限进行如下操作：

方法1：运行命令：dpkg-reconfigure ca-certificates 会出现一个图形界面，把CNNIC证书不选，并确认。

方法2：编辑 /etc/ca-certificates.conf 文件，把CNNIC证书对应的行删除或注释掉。然后用命令 update-ca-certificates 使之生效。

注：对于其它Linux发行版本，操作类似。

◇清理Firefox的证书

不论是在哪个操作系统下，只要你用的是Firefox浏览器（它的证书体系独立于操作系统的），则需要执行如下步骤：

1. 从菜单“工具”=>“选项” ，打开选项对话框

2. 切换到“高级”部分，选中“加密”标签页，点“查看证书”按钮。

3. 在证书对话框中，切换到“证书机构”。

4. 里面的证书列表是按字母排序的。把CNNIC打头的都删除。

注：如果某个证书是Firefox自带的，则删除之后，下次再打开该对话框，此证书还在。不过不要紧，它的所有“信任设置”，都已经被清空了。

◇清理Opera的证书

不论是在哪个操作系统下，只要你用的是Opera浏览器（它的证书体系独立于操作系统的），则需要执行如下步骤：

1. 从菜单“工具”=>“首选项” ，打开首选项对话框

2. 切换到“高级”标签页，在左边选择“安全性”这项。

3. 点“管理证书”按钮，出来一个证书的对话框。切换到“证书颁发机构”标签页。

4. 找到CNNIC的证书并选中，点“查看”按钮，在证书属性对话框中，把“允许连接到使用此证书的网站”的打勾去掉

注：这是基于Opera 10.10进行操作。新版本的界面可能略有差异。

★如何确认门户已经清理干净？

为了保险起见，在完成上述的清除工作之后，你需要用浏览器访问一下老流氓的一个网站，地址是 https://www.cnnic.cn 记得用 HTTPS 协议哦。

如果你的浏览器报告该网站的证书有问题，那恭喜你，你的门户清理干净了 ：-）

如果该网站的页面顺利打开，那你就要重新检查一下，看上述操作是否出了差错。

★可能的副作用

有些国内网站已经开始使用CNNIC的证书，目前已经知道的有163邮箱（真鄙视网易）。但是甭担心。去除证书后，浏览器在访问上述网站时，会给出一个证书的安全警告。你只需添加一个安全例外即可。

以上文章据月光博客。