StartCom

StartCom 是一家位于以色列埃拉特的证书颁发机构，主要服务包括StartCom Linux Enterprise（Linux发行版），StartSSL（证书颁发）和MediaHost（网站托管）。StartCom在中国、香港、英国和西班牙开设有新的分支机构。

2016年，Mozilla在讨论是否删除沃通和StartCom根证书的调查中发现，位于中国深圳的沃通（WoSign）已经由几个不同公司将StartCom秘密收购。在Mozilla和苹果的制裁影响下，位于北京的沃通母公司奇虎360集团决定在2016年内重组这些公司，重组后的StartCom将从丑闻缠身的沃通分离，完全成为奇虎360的下属公司。

2017年11月16日，StartCom宣布终止业务，自2018年1月1日起停止颁发新证书，并于2020年停止OCSP和CRL服务。

StartSSL 
StartCom提供免费的Class 1 X.509 SSL证书“StartSSL Free”，可用于网站服务器（SSL/TLS）和（S/MIME）。StartCom还提供Class 2和3的证书，以及扩展验证证书，需要复杂的验证（收费）才能得到。

2011年6月，该公司遭受网络攻击，被迫暂停数字证书发放及相关服务数周。攻击者无法借此机会颁发证书（在被攻击的6家机构中，只有StartCom成功阻止攻击者的颁发尝试）。

可信度 
StartSSL证书在以下环境中默认启用：Mozilla Firefox 2.x或更高版本，Apple Mac OS X 10.5 (Leopard)或更高版本，2009年9月24日后所有微软操作系统，以及2010年7月27日后的Opera。因为Google Chrome，Apple Safari和Internet Explorer使用操作系统的证书库，所有主流浏览器都支持StartSSL证书。

2016年9月30日，在对沃通的调查期间，苹果宣布旗下软件不会接受2016年9月19日后由沃通CA签发的证书，并会随调查进展对WoSign/StartCom的信任锚采取进一步行动。

2016年10月24日，Mozilla在其安全博客上宣布，由于在对证书颁发机构沃通数个问题的调查中发现它收购了StartCom，而交易双方并未披露此事，Mozilla将从Firefox 51开始，停止信任2016年10月21日后签发的证书。2016年9月1日，Google也宣布会从Chrome 56开始停止信任上述证书。2016年9月30日，苹果产品将阻止由沃通和StartCom根CA签发，且生效日期在2016年12月1日00:00:00 GMT/UTC或其后的证书。

2017年7月8日，Google 宣布将完全取消对沃通和 StartCom 所有证书的信任，包括过去签发的证书。 2017年7月11日，Firefox也准备完全取消对沃通, Startcom 和 CNNIC 的信任。

StartSSL无限免费证书的限制 
尽管在特定用途下是免费且可无限签发的，这些证书仍有一些限制，需付费升级才能解除：
 3年的证书有效期
 证书吊销需付费

对Heartbleed的应对 
2014年4月13日，StartCom发布了一个FAQ页面，内容有关OpenSSL中的严重漏洞Heartbleed，后者据估计会使互联网上17%的安全网页服务器面临数据失窃的风险。

StartCom的政策对吊销一张证书收费25美元，并且拒绝对受Heartbleed影响的证书免除这笔费用，只有部分付费客户可免费吊销一张证书，这使得很多人对StartCom是否是合格的证书颁发机构产生怀疑。对于已被证明不可信的证书，StartCom拒绝免费吊销，而是在明知的情况下继续提供信任。

批评 
2016年8月，StartCom被中国证书机构沃通收购，对此事的最初披露文章因法律原因已被删除，但相关转发仍然存在。尽管具体关系不明，但在沃通被发现签发约100张不当SSL证书时似乎已在使用StartCom的技术设施，这些不当证书中包括一张签发给github.com的证书。

参见 
 密码学
 公钥认证
 公钥基础设施
 Let's Encrypt

脚注

参考文献

外部链接 
 
 StartCom博客

1999年成立的公司
前证书颁发机构