攻击者如何实现对CA的妥协？

Question

有几个帖子说，一些核证机关已被泄露，并泄露了伪造的证书。

考虑到密钥存储在HSM上并且只有公钥对其他人可用，攻击者如何获得CA私钥？除了获取CA私钥之外，攻击者还可以向实体颁发证书吗？

Answer 1

为了获得颁发的证书，不需要访问CA的私钥。CA可能也无法访问私钥，特别是如果它是在智能卡或HSM本身内创建的。

相反，CA会颁发欺诈性证书，因为

• 攻击者使CA相信他是域的所有者:，这是因为DV证书中域所有权的自动验证。这种验证通常通过使用特殊的电子邮件帐户、DNS服务器的特殊路径或所有者域中的DNS记录来实现一些挑战响应方法。因此，如果攻击者能够访问域中的特定邮件帐户(如live.fi案例中的邮件帐户)，就有可能发生妥协。这也可以通过让CA相信一个不同的联系电子邮件的域名，如在情况下的Comodo OCR问题。如果攻击者设法攻击原始站点以攻击DNS服务器路径验证或站点DNS攻击DNS记录验证，则还可以欺骗DV验证。
• 第三方违反了CA发布的子CA的使用限制:，例如，在用于SSL侦听的法语子CA和google.com颁发的证书等情况下发生了这种情况。
• CA进程中的Bugs :，比如特尔克托拉斯，它意外地颁发了子CA证书，而不是普通的证书，然后可以用来为任意域颁发新的证书。
• CA本身的妥协:，这发生在DigiNotar的情况下，攻击者设法深入访问CA的基础设施。关于这一攻击的最后报告(PDF)指出，它看起来像DigiNotar，其中智能卡中的私钥活动用于自动事务，也就是说，并不是每个智能卡事务都必须被显式授权。这可能允许攻击者在没有物理访问系统和私钥的情况下签署自己的证书。