ブラウザに残す証明書と削除する証明書を知る方法

セキュリティを少し強化したいので、ブラウザの不要な証明書を無効にします。たとえば、中国の「WoSign CA Limited」証明書は明らかに必要ありませんが、「Thawte Consulting cc」は必要です。

情報に基づいた意思決定を開始できるように、実際に使用した証明書を確認する方法はありますか？たとえば、「Trustis Limited」をご覧ください。どの基準に基づいて、それを保持するか、残すかを決定します。また、「Thawte Consulting cc」に加えて、「thawte、Inc.」の証明書があります。なりすましの可能性がありますか？どうやって知りますか？

— ドタンコーヘン
ソース

これは難しい問題です。どれが合法であるかを本当に知ることはできませんし、あなたがどれが必要で、将来必要になるかもさえ知りませんCAスイッチ）。セキュリティコミュニティの一部の人々がCAシステムを根本的に破壊していると考える理由の1つ。ほとんどの人は、通常、アプリケーションを受け取る証明書の適切なテストを行うために、mozilla（または、証明書ストアを作成する人、場合によってはgoogle）に依存する必要があります。

— ジョナスシェーファー14年

実際、Certificate Patrolはまさにあなたが望むものです（それに加えて、数週間の使用も可能です）。ただし、google chromeでは使用できません。

— ジョナスシェーファー14年

@JonasWielicki、それほど難しくありません。私たちは、選択的に問題があるときに、私たちがすることができ、国によってブロックすることができ、その後、我々は戻ってリストにそれを含めたいかどうかを決定します。最初に禁止し、後でホワイトリストに登録します。

— Pacerier

@Pacerier私はそれは簡単だとは思わない。まず、Five-EyesベースのCA全体をブロックした場合（これを真剣に受け止めた場合、私はそうします）、すぐにそれらを再度ホワイトリストに登録します。そこでは何も勝ちませんでした。証明書パトロールには、証明書の「疑わしい」変更（早期の証明書の変更やCAの変更など）を通知するという優れた利点があります。

— ジョナスシェーファー

エピソード＃481のセキュリティ今すぐ！ポッドキャストは、証明書の透明性の関連する主題について触れています。「どのCAを信頼できますか？」という質問「特定のサイトを表す証明書はどれですか？」に置き換えられます。

いったんRFC 6962が普遍的に展開され、それは、私たちは「香港郵便局CA」（別名Chineese政府は）あなたの前の2015年のブラウザはそう喜んで受け入れるだろうwww.gmail.comに不正証明書を発行したことを検出することができます。

何百ものCAが任意のサイトに証明書を発行することを信頼しているという概念はおかしい。

— アンドレアス・F
ソース

どうやらFirefoxには1年間RFC 6962をサポートするパッチがありましたが、トランクには受け入れられていません。

— dotancohen

架空の例を虚構として明示的に引用するか、引用を提供してください。

— フィーゴン