關於 Comodo CA 近期吊銷總部位於肯塔基州的 Stripe, Inc. 所持 SSL 證書一事

2018年3月，Comodo CA 吊銷了一張 SSL 證書，該證書的主體為在肯塔基州合法註冊成立的企業實體 Stripe, Inc.。這張證書最初頒發給博主 Ian Carroll，用於測試瀏覽器對 擴展驗證（EV）SSL 證書 的處理邏輯。證書被吊銷後，Ian 在社交媒體上公開發聲，該事件由此引起 Comodo CA 高層管理團隊的關注。

經調查核實，我們認定本次證書吊銷屬於操作失誤。我們就此錯誤向 Carroll 先生致歉，並主動提出為其頒發新的 EV 證書以替換原證書。下文將詳細說明本次判定的原因以及我們將採取的整改措施。

Comodo CA 的《訂閱者協議》禁止將 Comodo CA 頒發的 SSL 證書用於欺騙或誤導性用途。其中第1.7條部分內容規定：

1.7 使用限制。訂閱者不得有下列行為：
(i) 冒充任何實體，或虛假陳述自身與任何實體的關聯關係，

同時，Comodo CA 的《證書業務聲明》明確，若證書的申領個人或實體存在「冒充其他個人或實體」的行為，屬於證書吊銷情形之一（4.9.1節）。該要求源自 CA/Browser Forum《基線要求》，該規範禁止頒發「具有誤導性」的證書（4.9.1.1節第(10)款）。

Carroll 先生表示，他註冊成立 Stripe, Inc. 並申領 EV SSL 證書，正是因為該名稱可能與知名支付服務商同名主體產生混淆。他在自己的 Twitter 帳號發布了截圖，內容看似為兩個完全相同的站點界面片段，一個是真正的 Stripe 支付服務商站點，另一個是他搭建的仿冒站點。（注：截至2018年5月1日，訪問涉事站點時，您看到的將不是 Stripe 支付服務商站點的仿冒頁面，而是一篇題為《擴展驗證已失效》的文章，Carroll 先生在文中明確說明了他註冊的實體與知名度更高的 Stripe 之間的名稱衝突問題。）

Comodo CA 的一名非高層管理團隊成員，但擁有證書吊銷決策權限的員工，基於上述全部信息做出了證書吊銷決定。當時高層管理團隊並未參與該決策，Comodo CA 在此事件中的所有操作均絕非出於壓制 Carroll 先生對擴展驗證 SSL 相關觀點的目的。Carroll 先生及其他相關方隨後就本次事件向我們反饋，經覆核，我們認可他不存在使用該證書實施欺騙的已知行為，也未造成需要吊銷證書的違規情形。

截至事件發生時，Comodo CA 的制度與員工培訓均未預判到此類場景，因此員工未獲得處理該類情況的明確指引。我們正在更新相關制度與員工培訓內容，明確僅當名稱衝突被用於欺騙、違法或有害用途時，才構成證書吊銷的合理依據。

感謝 Carroll 先生提醒我們留意這項制度完善的需要。