已簽名惡意軟件的證書吊銷：定義、時機與原因

在最近一則Ask Slashdot帖子中，有用戶提到Sectigo吊銷了一張用作簽名惡意軟件的證書，導致使用同一張證書簽名的合法業務應用受到影響。現在正是合適時機，討論已簽名惡意軟件、用作犯罪用途的證書吊銷，以及證書頒發機構（CA）在制定及執行證書實務時必須權衡的利弊。

Sectigo的《證書實務聲明》及許可協議訂明，若本公司知悉某張證書被用作非法或欺詐用途，有權將其吊銷。此外，CA/瀏覽器論壇的準則亦要求執行此類吊銷操作。我們認為，將被濫用的證書作失效處理，是公共證書生態體系的重要組成部分；為了公眾利益，公共證書頒發機構（CA）在發現此類證書時予以吊銷，是合理的做法。

需要注意的是，同一張證書完全有機會同時被用作合法及非法用途；這種情況可能透過多種場景發生，包括：

• 合法證書的密鑰被網絡犯罪分子竊取
• 員工或承包商在企業不知情的情況下，將合法證書用作不當用途
• 企業的程式碼、網站或其他數碼資產被植入惡意軟件、遭到跨站腳本攻擊或其他類型的攻擊

在上述所有場景中，證書的濫用行為都可能在證書訂購者（原則上亦是證書負責人）不知情或非主觀意願的情況下發生。實際上，問題甚至可能完全不是由證書本身失陷導致，而是源於證書擁有者整體數碼安全體系中其他環節的疏漏。

為了及時發現我們的程式碼簽署證書被用作簽署惡意軟件的情況，我們依賴包括VirusTotal在內的可信第三方渠道。我們無法依賴證書擁有者的自主上報，因為他們可能並不知曉自己的證書或數碼資產已被入侵，亦可能不會向我們告知真實情況。這些第三方是獲悉Sectigo證書被用於惡意軟件活動的最可靠資訊來源。

和所有外部資訊源一樣，我們會關注其資訊質素的口碑。如果某個資訊源的質素達不到我們的標準，我們會將其從可信來源清單中移除。這類評估及更新工作，是公共證書頒發機構（CA）營運過程中的持續環節。

前述發帖用戶還指出，Sectigo在此次吊銷操作前沒有作出通知。我們認同此意見的合理性，目前正檢視我們的相關實務，力求在需要執行吊銷操作時，盡可能向相關方發出通知。