超级管理员
楼主
据 Ars Technica 报道，攻击者获取了针对 Google 等大型服务的伪造 TLS 证书。这是一个 PKI 层面的威胁，不是某个应用的漏洞。
严重性在哪 HTTPS 的安全基础是“证书链可信”。一旦有人能为 google.com 签出一张被浏览器信任的证书，就可以在用户毫无察觉的情况下做中间人攻击。地址栏的锁标志照样是绿的。
这不是某个网站被入侵，而是信任模型本身被绕过了一个口子。
能做和不能做的 作为普通用户和企业，你无法阻止证书被签发，但可以做检测和控制：
- 证书透明度日志监控。所有公开信任的 CA 签发的证书都要进 CT log，理论上你能查到针对自己域名的异常签发。这是目前最有效的检测手段，很多企业还没做。
- 浏览器侧的证书固定策略。对高价值域名可以配置，但运维成本高，且出错会直接影响可用性。
- 检查证书管理流程。你们的内部 CA 有没有可能被滥用？谁有权申请证书？有没有审批和记录？
企业要立刻做的事
- 对自己持有的所有域名，查一遍 CT log。用 crt.sh 这类服务就能查，成本几乎为零。
- 确认域名解析和 DNS 记录的变更告警是否开启。伪造证书经常配合 DNS 劫持使用。
- 内部系统如果用了自签 CA，检查私钥的保管方式。
为什么这类事件会越来越多 证书颁发流程涉及注册商、验证流程、CA 内部系统，环节很多。任何一个环节出问题都能导致错误签发。行业这些年推的 CAA 记录、CT log 强制、证书有效期缩短，都是在压缩这个攻击面，但没有根治。
对个人用户的实际建议 保持浏览器和操作系统更新，别禁用证书校验告警，别安装来源不明的根证书。这些听起来是老生常谈，但面对这种级别的威胁，个人能做的确实有限。
关键是：不要把“地址栏有锁”当成绝对安全。它是必要条件，不是充分条件。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。