問: 之前都介紹過CNNIC發出的數碼證書,被用作協助黑客攻擊之用。現時有不少瀏覽器都重新審視CNNIC發出的數碼證書的可信性,現時不同瀏覽器在對待CNNIC數碼證書上,有什麼分別?
李建軍: 由於CNNIC發出的其中一張,供一間埃及為基地的公司所用的數碼證書,被濫用作攻擊谷歌之用。因此,開放源碼的Firefox和Chrome立即採取行動,不再信任CNNIC的相關證書。Firefox更在最新版推出新功能,一旦有機構的數碼證書被視為有問題,就會立即透過中央資料庫作出檢查,並且不再信任懷疑有問題的證書。
至於微軟的IE,以及蘋果的Safari,就暫時未有特別跟進行動。如果你對CNNIC相關數碼證書有疑慮的話,可以暫時改用最新版的Firefox或Chrome以策安全。
問: 之前都介紹過,CNNIC的證書是有問題,可能令你登入Gmail或Outlook.com時資訊被竊,那有什麼方法,可以徹底解決這方面的問題?
李建軍: 真正徹底解決問題的方法,那是完全不信任CNNIC發出任何數碼證書,那就不會有攻擊個別網站的假證書可以偷取你資料的事件。特別CNNIC是一個官方機構,只要中國當局仍然濫用旗下機構作封鎖資訊之用,就會繼續有由CNNIC發出的有問題證書。
對於Windows下的IE、Chrome和Safari,以及Mac之下的Chrome和Safari,他們依賴作業系統對證書的管理,因此,要去你所用作業系統的證書管理員,設定不信任CNNIC的證書,由於不同作業系統有不同的設定方法,所以最好參考你使用作業系統的技術文件。
Firefox就有自己獨立的證書管理機制,因此,不論你用什麼作業系統都好,Firefox上都要另行證定不信任CNNIC證書,達致不會被CNNIC證書所攻擊的目標。而這次翻牆問答,我們準備了視頻,示範如何在Firefox上改變設定,令Firefox變得不信任所有CNNIC發出的證書,歡迎聽眾瀏覽本台的網站收看相關的示範。
問: 剛才提及改變數碼證書設定的方法,都是用在電腦之上,那智能手機、平板電腦,以及電視機頂盒,又可以怎麼辦?
李建軍: 由於iOS以及Android設計的關係,你很難設定你的手機和平板電腦不信任CNNIC證書。現時,針對有可能受CNNIC有問題證書困擾的聽眾,應儘量使用電腦上的瀏覽器瀏覽,而在自己的手機,以及平板電腦,就瀏覽一些風險相對來得低的內容。
有部分Android手機,容許用戶自行決定是否信任CNNIC證書,這次翻牆問答,亦會有視頻,示範如何在Android手機設定不信任CNNIC證書,歡迎聽眾瀏覽本台的網站收看。但要注意的是,如果你的手機Android作業系統被中國廠商更動過,有可能因暗中傳送你私隱資訊的需要,你根本不能不信任CNNIC證書,或就算你設定不信任CNNIC證書,手機仍然自行繼續信任CNNIC證書,在海外購買的大海外品牌Android手機,在這方面的安全來比較有保證,至少仍然有機會將CNNIC證書剔除出信任名單之內。
問: 不信任CNNIC的證書有什麼不好處?
李建軍: 因為中國不少公司開始轉用CNNIC的證書,一旦你完全不信任CNNIC的證書,可能令你未能登入這些網站。因此,你要保留至少一部電腦或手機,仍然信任CNNIC證書,用以登入這類網站。
對一些不涉及安裝特殊插件的網站,可以考慮用上集介紹的微軟Remote IE功能,先翻牆再用雲端版IE來登入需要CNNIC證書的網站,那就不用令自己的電腦仍然信任CNNIC證書,又能夠保持登入使用CNNIC數碼證書的網站。