前几天已经写了2个帖子（分别是扫盲数字证书的基本知识 ，CNNIC干过的那些破事 ）作铺垫，终于开始来说正题——关于CNNIC的CA证书。
★CNNIC到底干了啥事？
从前面的帖子 ，大伙应该都看出来，CNNIC这个老流氓可是坏事做尽啊。最近这段时间，CNNIC不甘寂寞，又在CA领域，搞了点小动作。今天先来说一下，这个老流氓又坑蒙拐骗了哪些主？
◇Mozilla.org
可能某些IT圈外的同学会问，Mozilla是嘛玩意？简单地说，Mozilla和Firefox的关系，就好比微软和Windows的关系。因此，Firefox自带哪些CA根证书，是由Mozilla组织决定滴。
话说09年初那会儿，CNNIC里面的某个员工（liu_yan@cinic.cn）到Mozilla网站提交了一个申请：要求将CNNIC加入 Mozilla的CA列表。此申请经过几个月的讨论。到了09年底，审批获得通过。至此，CNNIC正式成为Mozilla的CA之一（请看“Mozilla官方的CA列表 ”）。懂洋文的同学，请自行到“这里 ”看详细的申请过程。
因此，到Firefox下一个版本3.6发布时，其内置的诸多根证书中，将会包含CNNIC这个老流氓提供的根证书。
◇微软（Microsoft）
说实在的，俺不清楚老流氓CNNIC是如何忽悠微软，让微软把它也加入到Windows内置的CA列表中的。不过这已经不重要了。现在，老流氓已经把它脏兮兮的触角，伸到了微软那儿。列位看官如若不信，可以去看“微软的CA列表 ”。
今后，如果你安装了微软新的操作系统，多半其已经包含了CNNIC的根证书；即便你一直使用老版本的Windows，也可能在自动升级了某个Windows补丁之后，把CNNIC的根证书带到你的电脑中。
◇Entrust.net
除了Mozilla和微软，还有一个组织也被CNNIC牵连了，那就是Entrust——国外一家比较老牌的CA。正是由于该CA比较老牌，因此Windows系统（至少包括Win2000之后的版本）中以及Firefox中，都已经内置了它的根证书。
老流氓大概是花了些银子，于是该CA提供的根证书就信任了CNNIC制作的某个SSL证书（不明白证书间是如何信任的，请回顾一下俺扫盲帖 中提到的“证书信任链”）。因此，即使你电脑上没有任何CNNIC的根证书，但是只要有Entrust的证书，一样存在引狼入室的可能。
★这事儿对咱有啥影响？
那电脑中有了CNNIC的证书，会出现啥鸟事捏？俺大概说一下。
◇“中间人攻击”的风险
中间人攻击的风险，是最危险的，也是最经常被提及滴。
俺在前面的帖子 已经讲了CA证书对于https协议的重要性（可以防止攻击者伪造虚假网站）。如果老流氓CNNIC成为合法的CA，那它就能堂而皇之地制作并发布CA证书。然后捏，再配合ＧＦW进行DNS的域名劫持。那ＧＦW就可以轻松搞定任何网站的HTTPS加密传输。
可能有些小朋友心里会犯嘀咕：ＧＦW会有这么坏吗？俺想借用鲁迅他老人家的一句话来回答：我向来是不惮以最坏的恶意，来推测党国的 。ＧＦW和CNNIC作为党国的2条走狗，一起进行中间人攻击（一个负责DNS欺骗、一个负责伪造CA证书），简直是天生一对、黄金搭档啊！
◇ActiveX控件的风险
另外一个大伙儿不太关注的风险，是关于ActiveX控件的问题。前几年，很多恶意软件（包括流氓软件、木马）都是通过IE控件的技术，安装到大伙儿的 电脑上。后来微软加强了多ActiveX控件的验证：在IE的默认设置下，对于没有数字签名的ActiveX控件，是拒绝安装滴；而对于有数字签名的控 件，则会给出提示。
因此，老流氓CNNIC可以很轻松地给自己的ActiveX控件制作数字证书。然后把控件放到网上。某些粗心的电脑用户看到IE跳出的安装控件提示，多半没细看，直接就点了“确定”按钮。
★如何清理门户？
其实网上关于如何去掉证书的操作指南，多如牛毛，所以俺就简单说一下，懒得再抓图了。
有些浏览器（IE、Chrome、Safari）使用的是操作系统的证书体系。这种情况下，你需要把CNNIC证书从操作系统的证书体系中去掉。还有些 浏览器（比如Firefox、Opera）是自己带了一套证书体系。你只要在其配置界面，把不要的证书去除即可。下面分不同的浏览器，不同的操作系统，分 别介绍。
◇清理Windows的证书（适用IE、Chrome、Safari）
对于使用Windows下的IE或Chrome或Safari浏览器，则需要执行如下步骤：
1、运行Windows的证书管理器（到命令行执行certmgr.msc ）。
2、选中“受信任的根证书颁发机构”=>“证书”。
3、查看右边的证书列表。如果里面已经有CNNIC的证书，直接跳到第7步。
4，先翻墙到“这个页面 ”下载现成的CNNIC证书（要解压缩出来）。
5、鼠标在“受信任的根证书颁发机构”=>“证书”上点右键。在右键菜单中点“所有任务”=>“导入”。
6、出现一个导入向导，根据先导一步步的提示，把上述CNNIC证书导入到证书列表中。
7、分别选中2个CNNIC证书及1个Entrust证书，点右键。在右键菜单中点“属性”。
8、在跳出的属性对话框中，选中“停用这个证书的所有目的”，然后确定。
9、最后，为了保险起见，再把这三个证书，导入到“不信任的证书”中（方法和上述类似）。
注：上述操作仅对当前用户生效。如果你的Windows系统中有多个常用的用户帐号，要对每一个用户进行上述设置。
◇清理苹果Mac OS的证书（适用Safari、Chrome）
对于使用Mac OS下的Safari或Chrome浏览器，则需要执行如下步骤：
请到“实用工具”=>“钥匙串访问”=>“系统根证书”=>“证书”，找到CNNIC的证书并双击，改为“永不信任”。
注：如果你的界面是洋文，其操作方式也八九不离十。俺就不再啰嗦了。
◇清理Linux的证书（适用Chrome、Safari）
对于Debian和Ubuntu系统，以管理员权限进行如下操作：
方法1：
运行命令：dpkg-reconfigure ca-certificates 会出现一个图形界面，把CNNIC和Entrust的证书不选，并确认。
方法2：
编辑 /etc/ca-certificates.conf 文件，把CNNIC和Entrust的证书对应的行删除或注释掉。然后用命令 update-ca-certificates 使之生效。
注：对于其它Linux发行版本，也有类似操作，俺不再啰嗦。
◇清理Firefox的证书
不论是在哪个操作系统下，只要你用的是Firefox浏览器（它的证书体系独立于操作系统的），则需要执行如下步骤：
1、从菜单“工具”=>“选项” ，打开选项对话框
2、切换到“高级”部分，选中“加密”标签页，点“查看证书”按钮。
3、在证书对话框中，切换到“证书结构”。
4、里面的证书列表是按字母排序的。把CNNIC打头的都删除，再把Entrust开头的也删除。
注：如果某个证书是Firefox自带的，则删除之后，下次再打开该对话框，此证书还在。不过不要紧，它的所有“信任设置”，都已经被清空了。
◇清理Opera的证书
不论是在哪个操作系统下，只要你用的是Opera浏览器（它的证书体系独立于操作系统的），则需要执行如下步骤：
1、从菜单“工具”=>“首选项” ，打开首选项对话框
2、切换到“高级”标签页，在左边选择“安全性”这项。
3、点“管理证书”按钮，出来一个证书的对话框。切换到“证书颁发机构”标签页。
4、找到CNNIC的证书及Entrust的证书，对这些证书点“查看”按钮，在证书属性对话框中，把“允许连接到使用此证书的网站”的打勾去掉
注：俺是基于Opera 10.10进行操作。某些老版本的界面可能略有差异。
★如何确认门户已经清理干净？
为了保险起见，在完成上述的清除工作之后，你需要用浏览器访问一下老流氓的一个网站，地址是 https ://www.enum.cn 记得用https 协议哦。
如果你的浏览器报告该网站的证书有问题，那恭喜你，你的门户清理干净了 :-)
如果该网站的页面顺利打开，那你就要重新检查一下，看上述操作是否出了差错？
★可能的副作用
有些国内网站已经开始使用CNNIC的证书，目前已经知道的有163邮箱（真鄙视网易）。另外，因为Entrust是老牌CA，有些国外的网站已经依赖它的证书。根据目前网友的反馈，依赖Entrust的网站有如下几个：
https://genifp.apple.com
https://swdlp.apple.com
https://torproject.org
但是甭担心。去除证书后，浏览器在访问上述网站时，会给出一个证书的安全警告。你只需添加一个安全例外即可。
如何阻止不信任的 CNNIC 证书
with 30 comments
是的，CNNIC 这个完全不可信任的有关部门，竟然诱惑微软将其列为根证书发布者，这个消息太可怕了。并且 Firefox 也信任了 CNNIC 证书，这是疯狂的事情，中国互联网将更加恐怖。
钓鱼、欺诈、窃取用户隐私、完全没有法律规则可寻，要想避免其害，必须尽快将其根证书列为不信任。要想知道何为数字证书，请访问维基百科，以及数字证书欺诈会产生什么后果。
Twitter 上有同学分享了 CNNIC ，我不信任你！——从“受信任的根证书”里赶走 CNNIC | Felix’s Blog，结果该网站瞬间由于流量过大而宕机。 而我手快删除了 Firefox 的证书，结果没办法让 IE 也不信任它。
提供证书下载：https://dl.dropbox.com/u/1356279/proxys/CNNIC.7z 感谢 @flying19880517 和 @terryxxy 提供证书给我。注意此证书是用来不信任的，不是用来安装的。
由于 Firefox 可以很容易的删除证书使其变为不受信，但 IE 证书就需要使用 Windows 的证书管理器来添加，所以还是需要下载后导入使其不受信任。另外苹果用户参考 苹果下的FIREFOX如何删除CNNIC的根证书，需翻墙。
从 GR 里搜索到了该文章，转载如下：
在 Twitter 上惊闻“ 微软把 CNNIC 列为根证书发布者 ”，赶紧 Google 一把，发现 Mozilla 同样也已经在 3.6 版 的 Firefox 里这么做了。
出于对 CNNIC 深深的不信任，我决定将 CNNIC ROOT 从“受信任”的列表里赶出去。
因为 IE/Chrome 采用微软的 CA 目录，而微软现在暂未将 CNNIC 加入，因此需要先从 Firefox 中导出这几个证书。再添加到 Windows 的“不信任”列表，以 防范于未然 。下面便是具体的步骤了（包括 IE/Chrome/Firefox ）：
1 、如果没有安装 Firefox 浏览器的 3.6 最新版 ，或者在下面的操作中没有找到相应的证书，可以从这里下载这三个证书，然后跳到第 5 步： CNNICROOT.crt CNNICSSL.crt Entrust.netSecureServerCertificationAuthority.crt
2 、打开 Firefox 浏览器，工具 (Tools)-> 选项 (Options)-> 高级 (Advanced)-> 加密 (Encryption)-> 查看证书 (View Certificates)
3 、在 证书机构 (Authorites) 标签页中找到” CNNIC “组的” CNNIC ROOT “项，按 导出 (Export) （备份到本地），然后 删除 (Delete) 。（ RT JimmyXu: 在 Firefox 里对自带根证书执行“删除”操作就相当于是禁用其所有 目的 ，并不会将其删除。）
4 、在” Entrust.net “组中找到” Entrust.net Secure Server Certification Authority “ ( 序列号 37:4A:D2:43 的 ) 和” CNNIC SSL “证书，同样导出并删除。（注：这也是 CNNIC 使用的证书）
? 5 、打开开始菜单 -> 运行（或者直接按 Win-R ）
6 、输入 certmgr.msc ，打开 Windows 的证书管理器。
7 、展开” 不受信任的证书 (Untrusted Certificates) “，右键单击其下” 证书 (Certificates) “项，在” 所有任务 (All Tasks) “子菜单下单击” 导入 (Import) … “
8 、分别找到刚才保存的三个证书，依次导入 (Next->Browse … ( 找到相应文件 )->Next->Next->Finish) 。
9、将导入的证书复制(Ctrl-C)，然后粘贴(Ctrl-V)到受信任的证书颁发者(Trusted Root Certification Authorities)中，然后在这个窗口中分别右键单击粘贴过来的3个证书，选择“属性(Properties)”，然后单击“停用这个证书的所有目的(Disable all purposes for this certificate)”。
想检验操作是否成功？在浏览器里访问 https://www.enum.cn/ ，如果提示证书被拒绝，就证明操作成功了！
转自网络
