Google 宣布创建自己的 Root CA

[FunnyToy]

Google 1 月 26 日宣布，为了能够更快速地处理 Google 产品的 SSL / TLS 证书需求，谷歌将建立自己的 root CA ， Google Trust Services 将是代表 Google 和 Alphabet 来操作这些证书颁发机构的实体。将根证书嵌入产品中并等待这些版本的产品被广泛部署还需要一定的时间，因此谷歌收购了 Globalsign 的两个根（ GlobalSign R2 和 R4 ）。 https://security.googleblog.com/2017/01/the-foundation-of-more-secure-web.html

[FunnyToy]

Google 即做浏览器又做 CA ，这样真的可以吗？ Chrome 浏览器覆盖率那么高，对所有 CA 都掌握生杀大权呢~

[liudanning]

@FunnyToy 只能“不作恶”了

[namebus]

Google 原来其实就是个 CA ，早已经过了 WebTrust 审计，只不过 Root 是使用的 GeoTrust ，但只是给自己签发证书。
Google Trust Services 应该也是服务于自己。

[Rezark]

看着其它 CA 都在大口吃肉，谷歌也坐不住了，利用自己 chrome 浏览器的用户量制定规则，通过制裁其它 CA 来实现自己 root CA 的市场占有率，实在很难想象自己“作恶”后会不会自己制裁自己。

[wdlth]

看来铁总要发布自己的 12306 浏览器……

[sneezry]

Google 做 CA 不是为了卖证书吧，上面的盆友们貌似跑偏了

[ScotGu]

>@wdlth 看来铁总要发布自己的 12306 浏览器……
内置：在线选座，自动抢票的功能么？ 那我咬咬牙就用了！

[winterbells]

以后在谷歌注册域名会送 ssl 证书吗=。=

[lyragosa]

说起来 chrome 以前有个 ssl 透明度审核，现在好似也没了……

[FunnyToy]

@wdlth /笑 cry 未来可期啊 如果能帮我买到票我也认了

[FunnyToy]

@sneezry Google 做 CA 不是为了卖证书吧，上面的盆友们貌似跑偏了
建起 Root CA 到底是自用还是开放商用，也就是谷歌一句话的事儿。如果 CA 利润大，站着收钱，让谷歌端着情操放弃利润，貌似也不符合商业公司的基因啊。

[sneezry]

@FunnyToy 这么说似乎也没错，不过这么多双眼睛看着呢， Google 真的会为了钱而放弃节操么，这样损失了信誉损失得更大，而且如果从这个角度出发， MS 作恶更容易（捂脸

[ZE3kr]

Amazon 就给 AWS 的用户免费签发多余名通配符证书（ Wildcard SAN ），所以 Google 也可以给 GCP 的用户签发证书嘛。 Amazon 的 CA ： https://www.amazontrust.com/repository/

[FunnyToy]

@Rezark Mozilla 已经因为谷歌收购 Globalsign 两个根没有报备通知而发难了 https://groups.google.com/forum/#!search/google$20root$20ca/mozilla.dev.security.policy/1PDQv0GUW_s/oxDWH07VDgAJ

[Rezark]

谷歌也正是通过这种“找茬”其它 CA 漏洞来树立自己正面形象的，像 cnnic 如果谷歌不纰漏误签自己域名的事情，那又有谁会知道呢，作为商业公司不赚钱可以理解，但绝对不会干亏本的买卖。