安全漏洞迫使主流證書頒發機構（CA）吊銷中間證書；Sectigo 未受影響

根據基線要求及谷歌公開聲明，上述證書必須在 7 個自然日內完成吊銷且銷毀對應密鑰。被按此要求處理的任意中間證書，其下簽發的所有葉子證書都將被瀏覽器及常用基礎設施組件立即移除信任，必須完成替換。這一事件可能涉及多家公共證書頒發機構（CA）簽發的海量證書。

Sectigo 及其所有子品牌簽發的證書均不受該問題影響，但其他大型證書頒發機構（CA）的證書存在受影響情況。建議客戶留意突然出現的根信任失效情況，一旦出現需立即替換證書。詳情見下文。

需吊銷並銷毀密鑰的中間證書

OCSP（在線證書狀態協議）通過證書頒發機構（CA）的簽名響應，實時向依賴方系統告知證書狀態為「有效」或「已吊銷」。通常這類響應由簽發該證書的 CA 完成簽名，Sectigo 及其子品牌均遵循該機制。例如，由「Sectigo EV RSA CA」簽發的 EV 證書，其 OCSP 響應就由該 CA 簽名。

確實存在「委託」響應者證書的合法使用場景：即使用其他證書為 OCSP 響應簽名。這類操作是被允許的，基線要求 4.9.9 節明確規定，該場景下的委託響應者證書必須包含 id-pkix-ocsp-nocheck 類型的擴展項。

7 月 2 日，谷歌的 Ryan Sleevi 發現了數百張存在上述違反基線要求問題的證書。這類證書存在安全風險：委託簽名者理論上可以為「父級」CA 簽署任意 OCSP 響應（舉個例子，微軟曾擁有為任意 DigiCert 證書簽署 OCSP 響應的權限）。根據基線要求及谷歌公開聲明，這類證書必須在 7 日內吊銷，且需執行見證式密鑰銷毀——即由可信審計員記錄密鑰銷毀全過程，確保密鑰無法再被使用。

由於執行了見證式密鑰銷毀，替換後的新中間證書無法使用原有密鑰，這意味著此前通過這些中間證書簽發的所有葉子證書都將失效。唯一的解決方案是使用由其他中間證書簽發的新證書替換原有證書。

這類信任失效問題可能影響任意類型的公共證書，包括 SSL/TLS 證書、代碼簽名證書、文檔簽名證書以及 S/MIME 證書。你可以查看 受影響的 CA 及中間根證書名單。請直接聯絡你的證書頒發機構（CA）確認自己的證書是否受影響。