本文作者謝么，雷鋒網網絡安全作者，公眾號：宅客頻道
近日，網際網路界一場關乎權威、信任、制裁的大戰拉開序幕，谷歌和賽門鐵克開撕，巨頭懟巨頭 。（不太了解賽門鐵克（Symantec）的請自行谷歌）
Google Chrome 說：
由於賽門鐵克 CA（證書籤發機構）籤發了 3 萬多個有問題的證書，所以我們將逐步減少對賽門鐵克證書的信任。
簡而言之就是：封殺！賽門鐵克 CA 為網站頒發證書，谷歌卻說他的證書有問題不可信，這已經是個原（da）則（lian）問題了。
【一個老梗】
打個不嚴謹的比方，一個很有聲望的教授經常為學生寫推薦信，推薦學生去知名公司上班，這時忽然有個知名的大公司跳出來說：「這教授推薦的人不行啊，三觀不正能力不行，完全是瞎搞！」 然後列舉了許多他胡亂舉薦的例子，讓教授的公信力瞬間大打折扣，其他公司也不敢要他推薦的學生了。谷歌就是這個跳出來的公司，賽門鐵克就是寫舉薦信的教授。
瀏覽器和 CA 的相愛相殺要了解此次谷歌和賽門鐵克互撕事件背後的利害關係，還得從 CA 證書的原理來說起。
我們平時使用瀏覽器時，經常看到一個綠色的小鎖，它表明你進入的是真的，而不是偽造的網站，並且所有通信都會基於證書來進行加密。CA 機構給網站頒發證書（證書籤發機構， 簡稱 「CA」），瀏覽器則會通過一些加密、哈希算法驗證證書是否有效，最後告訴用戶。
據雷鋒網所知，證書一般分成三類： DV、OV 、和 EV ，加密效果都是一樣的，區別在於：
DV（Domain Validation），面向個體用戶，安全體系相對較弱，驗證方式就是向 whois 信息中的郵箱發送郵件，按照郵件內容進行驗證即可通過；
OV（Organization Validation），面向企業用戶，證書在 DV 證書驗證的基礎上，還需要公司的授權，CA 通過撥打信息庫中公司的電話來確認；
EV（Extended Validation），URL 地址欄展示了註冊公司的信息，這類證書的申請除了以上兩個確認外，需要公司提供金融機構的開戶許可證，要求十分嚴格。
OV 和 EV 證書相當昂貴。
那麼問題來了，CA 機構掌握 「生殺大權」，如何頒發證書全憑他說了算，瀏覽器只是一個驗證的角色。萬一 CA 胡亂頒發證書怎麼辦？又或者，如果 CA 機構被黑客入侵導致證書洩露，造成了問題怎麼辦？
對於大多數普通用戶來說，一旦網站出現問題，他們只會認為：瀏覽器告訴我這個網站是可信的，可是我被黑了，瀏覽器騙了我，瀏覽器有問題！
CA 開心地賣證書賺錢，出了問題瀏覽器廠商也要背鍋。於是市場份額最大的 Chrome 開始了 「找茬」 之路。此次谷歌和數字證書領域的老大哥賽門鐵克交手，也並不是第一次。
你出問題，我就找茬2011 年 3 月，證書市場份額前列的科摩多（Comodo） 公司遭黑客入侵，七個 Web 域共 9 個數字證書被竊，包括：mail.google.com、addons.mozilla.org 和 login.yahoo.com 等。當時有人稱那次事件為 「CA 版的 911 攻擊。」
同年，荷蘭的 CA 機構 DigiNotar 同樣遭到了黑客入侵，頒發了大量的偽造證書。由於這些偽造證書，數百萬用戶遭到了中間人攻擊。
這些事件給人們敲響了警鐘，結束了人們盲目信任 CA 的時代，也為谷歌之後的一系列動作埋下了伏筆。
2013 年 「稜鏡門事件」 爆發，斯諾登洩露的文件中透露：美國國家安全局就利用一些 CA 頒發的偽造 SSL 證書，截取和破解了大量 HTTPS 加密網絡會話。
谷歌再也坐不住了，同年便發起了證書透明度政策（Certificate Transparency，簡稱 CT）。這一政策的目標是提供一個開放的審計和監控系統，讓任何域名所有者或者 CA 確定證書是否被錯誤籤發，或者被惡意使用，從而提高 HTTPS 網站的安全性。
這個計劃具體是這麼來做的：
要求 CA 公開其頒發的每一個數字證書的數據，並將其記錄到證書日誌中。
這個項目並沒有替代傳統的 CA 的驗證程序，但是谷歌起到了一個監督 CA 的作用，用戶可以隨時查詢來確保自己的證書是獨一無二的，沒別人在使用你的證書，或者偽造你的證書。
證書透明度將讓人們可以快速地識別出被錯誤或者惡意頒發的數字證書，以此來緩解可能會出現的安全問題，例如中間人攻擊。
之後的幾年裡，證書透明度系統和監控服務也確實幫助了不少網站檢測出了偽造證書，比如幫助 facebook 團隊發現了不少偽造其證書的子域名網站。
從那時開始，瀏覽器廠商和 CA 機構之間的其妙關係就開始導致了更多事情。
不再信任中國 CNNIC 數字證書2015 年 4 月，谷歌和火狐瀏覽器都宣布不再信任中國 CNNIC 數字證書，原因是埃及 MCS Holding 公司使用 CNNIC 籤發的中級證書為多個 Google 域名籤發了假的證書。雖然後來調查發現這事是中國 CNNIC 授權的證書發布代理商幹的，但並沒有改變他們的決定。
和賽門鐵克交手2015 年 9 月和 10 月，Google 稱發現賽門鐵克旗下的 Thawte 未經同意籤發了眾多域名的數千個證書，其中包括 Google 旗下的域名和不存在的域名。
賽門鐵克當時的解釋是：「那批證書只是一個測試證書，僅測試一天就吊銷了，沒有洩露出去也沒有影響到用戶」 。賽門鐵克隨後還是炒掉了相關的僱員。 然而這一系列動作並沒有改變谷歌的對此事的決策。
2015 年 12 月，Google 發布公告稱 Chrome、Android 及其他 Google 產品將不再信任賽門鐵克 (Symantec) 旗下的 "Class 3 Public Primary CA" 根證書。
中國沃通遭眾瀏覽器 「群毆」2016 年 1 月 1 日，各大瀏覽器廠商開始停止接受一些用陳舊的 SHA-1 算法進行籤名的證書，因為 SHA-1 算法已經被證實可破解，偽造證書的成本比較低。
為了規避 SHA-1 停用策略，沃通將證書的籤發時間倒填成 2015 年 12 月份。但是很快就被 Mozilla 基金會發現，然後：
在推動證書的升級、機制的優化方面，瀏覽器廠商顯得更加積極主動。谷歌對 CA 機構的公開催促就是最好的證明。2016 年 10 月，谷歌通過公開郵件組發布公告:
2017 年 10 月後籤發的所有公開信任的網站 SSL 證書將遵守 Chrome 的證書透明度政策，以獲得 Chrome 的信任。
平衡將要打破？谷歌似乎也發現自己招惹的 CA 機構越來越多了，但是他們乾脆一不做二不休，自己來做 CA。2017 年 1 月 26 日，谷歌宣布，為了能夠更快速地處理 Google 產品的 SSL/TLS 的證書需求，谷歌將建立自己的 ROOT CA（根證書頒發機構）。
當時，這一做法便引來了許多網友的質疑：「Google 又做瀏覽器又做 CA，這樣真的好嗎？」
谷歌手握全球覆蓋率最高的瀏覽器 Chrome，並在 CAB forum 國際標準組織中扮演重要角色，掌握著全球 CA 機構的生殺大權，擁有不信任任意一家 CA 根證書的權利，如今又建立自己的 CA 機構。這可能會使全球瀏覽器和 CA 市場的格局發生顯著變化。
回到此次谷歌和賽門鐵克對撕事件：谷歌稱發現賽門鐵克 2015 年曾誤發了超過 3 萬個證書。賽門鐵克則回應那次誤發的數量只有 127 個，谷歌在誇大其詞。
在雷鋒網 (公眾號：雷鋒網) 編輯看來，具體的數字對於整體的局勢來說其實並不重要，因為不會改變雙方對於證書信任問題的對立關係。
賽門鐵克此次表示，所有大型的 CA 都發生過 SSL / TLS 證書誤發的事件，但 Google 卻不知為何專門把賽門鐵克挑出來。Mozilla 基金會（火狐瀏覽器） 最近也在考慮對賽門鐵克進行制裁，並可能和 Google 的行動保持一致。
顯然，在 CA 這件事上，谷歌背後有 Mozilla、Opera 等眾多瀏覽器供應商，賽門鐵克的背後也是眾多 CA 機構。只要信任、安全的問題依然存在，這一系列的爭端、對立未來也必將將延續下去。但無論如何，加密算法更迭、機制更加透明…… 這些事情確確實實在發生，我們普通用戶總是受益的一方。