苹果、微软信任中国政府来确保信息安全

文/ GreatFire

微软、苹果、Mozilla等公司的浏览器都将CNNIC作为系统内置默认可信任的证书（无论用户是在中国还是海外）。CNNIC是中国互联网信息中心，属工信部管理。据报道，CNNIC曾审查网络（并试图隐瞒）、发布恶意软件、安全记录不良。中国的技术型网民多年来一直抵制将CNNIC作为可信任的根证书。中国最近发生了针对谷歌和苹果等产品的中间人攻击，网络监测组织GreatFire.org再次呼吁取消CNNIC作为根证书的资格。

点击CNNIC的网站https://www1.cnnic.cn/gywm/CNNICjs/jj/  ，如果你的浏览器的地址栏中出现了锁标，或者你没有收到任何安全提示，这表明你的浏览器将CNNIC默认为可信任的证书。你也因此可能容易遭受到CNNIC的中间人攻击。你的用户名、密码、电邮、照片、联络人、财务信息等都可能被盗取。

CNNIC为何不可信

今年10月份，GreatFire指出中国当局对苹果iCloud、谷歌、微软Outlook以及雅虎发动了中间人攻击。而CNNIC扮演了默许支持或积极配合的角色。

CNNIC是“中国信息社会的基础设施建设者、运营者与管理者”。GreatFire证实，最近几次的中间人攻击来自中国互联网的中枢。针对雅虎与谷歌的攻击在互联网中枢上持续了数周。

CNNIC有通信管理局负责人领导，而通信管理局隶属于中国工信部。工信部要求所有设在中国大陆的网站申请许可，并定期检查，关闭不持有许可的网站。

CNNIC推出的“中文上网官方版软件”被北京市网络行业协会列为2005年五大恶意软件之一，因为该软件强制安装，并无法完全删除。微软也曾将其列为一个威胁：

浏览器修改程式Win32/CNNIC经常在用户知情或不知情的情况下安装。其内核驱动程序防止程式中的文件和设置被修改或删除。（微软恶意软件防护中心）

熊猫安全也指出，CNNIC通过网络的弱点、并通过其他的恶意软件来传播“中文上网官方版软件”，譬如骗取用户“打开文档、查看恶意网页、读取邮件等”。该软件能捕获用户输入与存储的所有信息，造成巨大的隐私隐患。

CNNIC审查网络

CNNIC运营的公共DNS也执行网络审查，禁止用户浏览脸书、推特、YouTube等许多网站。如果中国用户试图连接被封锁的网站，将会返回错误的DNS回应。但如果用户在中国以外，DNS返回的地址又是正确的。

下面这张图中，当一位在中国的用户试图连上 www.twitter.com 时， DNS 服务器 1.2.4.8 (由CNNIC管理)将要求绑架到错误的IP地址，27.61.54.128，但这个地址并不是twitter的地址。因此最终该用户无法连上推特。

CNNIC不仅审查互联网，同时也试图隐瞒。2014年1月21日，中国防火墙意外地封锁了中国的所有网络。有证据指出，中国的防火墙是此次中国断网的起因。CNNIC承认了断网，但没有说明具体原因。作为一个负责中国DNS安全的机构，CNNIC没能调查这次规模庞大的袭击，可以被看作是为中国防火墙做隐瞒。

同时，CNNIC的安全措施非常恶劣。他们的网站上就含有不安全的内容，包括需要用户填写的表格等全都内容，都默认http连接（没有加密）。

当火狐于2009年首先承认CNNIC的安全证书时，许多中国网民表示反对。“现在中间人攻击成为中国互联网的新常规，我们希望火狐、微软、苹果等能取消CNNIC的安全证书资格，不仅以保护中国用户的信息，也为了保护全球用户的信息。”Greatfire说。

后果严重

CNNIC的安全证书被许多开源产品默认设置为可信任，包括火狐、Ubuntu、微软视窗系统、苹果iOS和OSX系统。这适用于几乎所有版本的火狐、Ubuntu、视窗系统、和大多数的苹果手机。受影响的用户包括从未去过中国、在中国以外购买、下载软硬件的用户。

CNNIC可在用户不知情的情况下，颁布证书以截获加密的连接。以上的截图显示，CNNIC可确保对远程电脑的定位。如果中国防火墙或国家黑客使用CNNIC来进行中间人攻击，你的电脑或iPhone将信任黑客攻击的连接。而用户之间所有的通信将被GFW记录，信息将被中国当局所截获。而Apple Pay的连接一旦被截获，损失的除了隐私之外，还会产生金钱损失。

GreatFire指出，iPhone尤其容易受到攻击，因为iPhone用户无法查看可信任证书的信息，无法察觉来自CNNIC的攻击。即使不在中国的用户，也会受到此类攻击。

借助CNNIC进行的中间人攻击不可能大规模发生，因为一旦发现，就会被火狐、微软和苹果等公司取消资格。但高度集中的攻击很可能不被察觉。此前对Outlook的攻击就差点没有被察觉。

GreatFire呼吁用户向各大电子公司请求，取消CNNIC证书。该组织指出，中国政府可能会因此向这些公司施压。同时，该组织也呼吁用户删除CNNIC证书。

本文英文版原载于GreatFire，中文版由泡泡编译