域名投资者成功诱使 Comodo 为 sb 顶级域名签发证书

以将 t.tt 域名高价卖给锤子科技而成名的域名投资者郭秀峰(aka Showfom)9月24日在 Mozilla 安全政策邮件组发文称他通过向 Comodo 申请 “www.sb” 域名的 Positive SSL 证书拿到了以 “sb” 顶级域名作为 dNSName 的证书。根据9月26日 Comodo 发布的报告,这是由于其系统在验证了 WWW 子域名(例如 “www.example.com”)所有权后会判断 “example.com” 同样为申请人所有。Comodo 称仅 WWW 子域名受到这一待遇,且根据 CA/B 论坛的规章(Baseline Requirements, BRs)第3.2.2.4 节第 7 条这一判断方式是合规的。

然而在几周前 Comodo 在巡查中发现另一张签发给 “www.tc” 的域名证书的 dNSName 同样包含 “tc”(“www.tc” 二级域名与 “tc” 顶级域名属于同一实体),鉴于该实现的特殊性,Comodo 判断此漏洞“非紧急”,并准备于下一次定期维护中修复,而郭秀峰正是于此时间差内成功诱使 Comodo 签发顶级域名证书的。9月24日当天 Comodo 已紧急部署补丁修复了该问题。涉事证书并非 “*.sb” 泛域名证书,仅可用于 “sb” 域名本身,根据域名规范事实上无法使用。

UPDATE: 应当事人要求修改称谓。