荷兰证书机构DigiNotar遭黑客入侵后破产

DigiNotar BV 是一家荷兰的证书颁发机构，运营时间为 1998 年至 2011 年。该公司于 2011 年 1 月被 VASCO 收购，并于同年 9 月被宣告破产。[2][3] 该公司在 2011 年 6 月遭黑客入侵，签发了数百份欺诈性证书，其中一些被用于对伊朗 Gmail 用户进行中间人攻击。 2011 年 9 月 3 日，在安全漏洞导致欺诈性签发证书的事实明确之后，荷兰政府接管了 DigiNotar 系统的运营管理。[4] 同月，该公司被宣告破产。[5][6] 荷兰政府委托的 Fox-IT 咨询公司对这起黑客事件进行了调查，确认 30 万伊朗 Gmail 用户是此次攻击的主要目标（随后遭到中间人攻击），并怀疑伊朗政府是幕后黑手。[7] 尽管（截至 2013 年）尚无人因入侵和证书泄露被起诉，密码学家 Bruce Schneier 表示，这次攻击“可能是 NSA 所为，也可能是被 NSA 利用”。[8] 但这一说法存在争议，其他人表示 NSA 只是发现某个外国情报机构使用了这些假证书。[9] 此次黑客事件还被所谓的 Comodohacker 宣称负责，据称此人是一名 21 岁的伊朗学生，他还声称入侵了另外四家证书颁发机构，包括 Comodo，F-Secure 认为这一说法可信，但并未完全解释它如何导致随后的“对伊朗公民的大规模拦截”。[10] 在发现超过 500 份伪造的 DigiNotar 证书后，各大浏览器厂商作出反应，将全部 DigiNotar 证书列入黑名单。[11] 此次事件的规模被一些组织——如欧洲网络与信息安全局和 AccessNow.org——用来呼吁对 HTTPS 进行更深入的改革，以消除“最薄弱环节”的可能性，即单个被攻破的 CA 就能影响如此多的用户。[12][13] DigiNotar 的主要业务是作为证书颁发机构，签发两类证书。第一类是以自己的名义签发的证书（其根 CA 为“DigiNotar Root CA”）。[14] 自 2010 年 7 月起不再签发 Entrust 证书，但部分证书的有效期一直到 2013 年 7 月。[15][16] 第二类是为荷兰政府的 PKIoverheid（“PKI政府”）项目签发的证书。这类签发通过两个中间证书完成，每个中间证书分别链接到两个“Staat der Nederlanden”根 CA 之一。荷兰国家和地方当局以及为政府提供服务的组织，如需使用证书进行安全的互联网通信，可以申请此类证书。荷兰政府提供的一些最常用的电子服务使用了 DigiNotar 的证书，例如身份认证基础设施 DigiD 和中央车辆登记机构荷兰车辆管理局（RDW）。 DigiNotar 的根证书于 2011 年 8 月 29 日前后从所有主流浏览器和消费级操作系统的受信任根证书列表中移除；[17][18][19] “Staat der Nederlanden”根证书最初被保留，因为当时认为它们未受攻破。但此后它们已被吊销。 DigiNotar 最初由荷兰公证人 Dick Batenburg（来自 Beverwijk）和荷兰公证人全国性组织 Koninklijke Notariële Beroepsorganisatie（KNB）于 1998 年成立。KNB 为公证人提供各种集中服务，而由于公证人提供的许多服务属于官方法律程序，通信安全至关重要。KNB 为其成员提供关于如何在业务中实施电子服务的咨询服务；其中一项活动就是提供安全证书。 Dick Batenburg 和 KNB 成立了 TTP Notarissen（TTP 公证人）组织，其中 TTP 代表可信第三方。公证人如果遵守某些规则，就可以成为 TTP Notarissen 的成员。如果遵守关于培训和工作程序的额外规则，他们可以成为经认可的 TTP 公证人。[20] 尽管 DigiNotar 多年来一直是一家通用 CA，但他们仍然以公证人和其他专业人士市场为目标。 2011 年 1 月 10 日，该公司被出售给 VASCO Data Security International。[2] 在 VASCO 于 2011 年 6 月 20 日发布的新闻稿中——即 DigiNotar 首次在其系统上发现事件的一天之后[21]——VASCO 总裁兼 COO Jan Valcke 被引述称：“我们相信 DigiNotar 的证书是该领域最可靠的证书之一。”[22] 2011 年 9 月 20 日，Vasco 宣布其子公司 DigiNotar 在向哈勒姆法院申请自愿破产后被宣告破产。法院立即任命了一名接管人，即法院指定的受托人，在 DigiNotar 走完破产程序直至清算期间接管其全部事务的管理。[5][23] 管理人（法院指定的接管人）不希望 ITSec 的报告被公开，因为这可能导致针对 DigiNotar 的额外索赔，而且该报告涵盖了公司的运营方式。[24] 该报告是应荷兰监管机构 OPTA 的要求编写的，而 OPTA 起初拒绝公开该报告。在记者 Brenno de Winter 启动的公共信息获取（Wet openbaarheid van bestuur）程序中，接管人试图说服法院不允许公开该报告，并确认 OPTA 最初的拒绝决定。[24] 然而，法院下令公开该报告，[25] 报告于 2012 年 10 月公之于众。[26] 报告显示系统几乎被完全攻破。[27]

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）