谷歌Chrome宣布将从11月起不再信任Entrust CA证书 原因是其出现多次问题
内容提要
谷歌宣布停止信任Entrust/AffirmTrust签发的新TLS证书，因其安全基础设施存在问题。现有证书仍可信任，但新签发的证书将被作废。Chrome和Firefox可能也会停止信任Entrust证书，对其TLS证书业务造成重大影响。
延伸解读
现有证书不受影响，新证书将失效
谷歌明确表示，对于Entrust在2024年11月1日之前签发的现有TLS证书，Chrome仍将继续信任。但在此之后新签发的证书将被作废，浏览器会默认阻止用户打开使用这些证书的网站。这意味着网站管理员需要提前规划证书更换，避免服务中断。
用户访问将遇警告，但可手动绕过
当网站使用11月1日及之后由Entrust签发的TLS证书时，Chrome会提示“您的连接不是私密的”，并显示错误代码ERR_CERT_AUTHORITY_INVALID。用户仍可点击“高级”继续加载网站，但地址栏会显示红色感叹号，标记HTTPS连接存在问题。这提醒用户注意潜在风险。
停止信任源于安全基础设施问题
谷歌并未详细说明原因，但指出Entrust近年多次出现问题，并链接到Mozilla Bugzilla的讨论。问题包括OCSP不符合BR标准、证书ST字段带连字符、无法撤销OV TLS-CPS中的错误信息、CPS更新延迟、仍使用SHA-1签名的OCSP响应等。这些安全基础设施缺陷导致行业不再信任。
行业影响：TLS证书业务或瘫痪
如果Chrome和Firefox停止信任Entrust，其签发的证书将基本无效，因为这两大浏览器占据市场绝对主力。后续苹果Safari也可能撤销信任，届时Entrust的TLS证书业务会彻底瘫痪。代码签名证书可能还能用，取决于微软是否撤销。历史上赛门铁克因类似问题导致CA业务关闭或出售。
Q&A
为什么谷歌决定停止信任Entrust的新TLS证书？
谷歌停止信任Entrust的新TLS证书是因为Entrust的安全基础设施存在多次问题，导致其不再值得信任。
从什么时候开始Chrome不再信任Entrust证书？
Chrome将从2024年11月1日起停止信任Entrust/AffirmTrust签发的新TLS证书。
现有的Entrust证书会受到影响吗？
现有的Entrust证书仍然被信任，但新签发的证书将被作废。
如果网站使用新签发的Entrust证书，会发生什么？
使用新签发的Entrust证书的网站将显示连接不私密的提示和错误代码ERR_CERT_AUTHORITY_INVALID。
Firefox会停止信任Entrust证书吗？
虽然Firefox尚未明确宣布，但由于Mozilla长期讨论此事，Firefox很可能也会停止信任Entrust证书。
Entrust证书存在什么具体问题？
Entrust证书存在多种问题，包括不符合标准的OCSP、错误信息无法撤销等。
