谷歌在Chrome跟安卓等产品中禁用赛门铁克SSL证书

谷歌在Chrome、安卓等产品中禁用了由赛门铁克颁发的根证书。

去年9月份，谷歌发现一家赛门铁克子公司以谷歌的名义发布了23个证书。赛门铁克解释称这些证书只是用于内部测试但三名员工将其泄露。随后公司将这些员工辞退。不过10月末事件升级。谷歌发现赛门铁克为76个其它域名发布了164个赛门铁克证书，而且还有为还未注册的域名发布的2458个证书。谷歌因此而发表最后告警通知。而现在谷歌决定采取行动，直接禁用了赛门铁克的Class 3 Public Primary CA根证书。

谷歌软件工程师Ryan Sleevi表示，赛门铁克的根证书跟CA/Browser Forum的基线要求不符。因为这些要求反映了业内最佳实践而且是公共信任证书的基础，不按要求行事会给谷歌产品的用户带来不可接受的风险。赛门铁克对于谷歌做出的最新决定暂未发表任何评论。

Sleevi表示，赛门铁克私下对谷歌表示称谷歌所禁用的根证书并不是用来为公共信任连接颁发任何新证书。赛门铁克还表示他们不“认为”他们的客户会因为该禁令而停止使用赛门铁克颁发的证书。

这次禁令是谷歌在发生前两次事件后对赛门铁克进行审计后得出的结论。这并非谷歌禁用证书颁发机构的首个案例，在2011年曾禁用荷兰公司Diginotar颁发的证书，且在2015年3月份禁用CNNIC颁发的证书。