克罗地亚 Fina CA 未经 Cloudflare 授权签发了 12 张 1.1.1.1 的证书

[aloxaf]

https://blog.cloudflare.com/unauthorized-issuance-of-certificates-for-1-1-1-1/

再次印证了世界是个巨大的草台班子，整个报告读下来过于难绷：

• 最早一张证书在 2024 年 2 月就被签发，半小时后被吊销。 （在将近一年半的时间里竟然一直没有人发现？

• 在随后的半年里，Fina CA 又陆陆续续签发了 11 张，在 2025.9.4 之前仍然有 2 张证书有效。 （同样的错竟然能犯 11 次？

• 从证书信息和 Fina CA 的回应来看，这些证书应该是用于测试的，他们可能觉得 1.1.1.1 是个不错的测试 IP

• 这个问题竟然是一位 HackerNews 老哥发现的

• 连续两份通过 HackerOne 向 Cloudflare 提交的报告都被误处理了

• 最后这件事情被直接捅到了 Google Certificate Transparency 的邮件列表上面，终于被 Cloudflare 注意到了。

• Cloudflare 其实有自己的证书监控服务，但问题在于，他们忘记监控 IP 证书了（🤣👉

• 据悉，Google 、Mozilla 、Apple 都并未信任该 CA （ Microsoft：🤡

[Shatyuka]

太有 CA 了

[Yanlongli]

这不就相当于自签证书

[silverwzw]

@Yanlongli Fina 是个受信 CA ，签发的证书 Windows 是认的。

[KaynW]

你别说，我测试乱写 IP 的时候也经常写 1.1.1.1😆

[deepbytes]

🤣笑死我了

[wunonglin]

太有生活了

[jhdxr]

Google 并未信任该 CA 是啥意思？ Chrome 难道不是用的系统自带的 CA 吗？还是现在改了？

[jhdxr]

哦不对。。。忘记 google 还有安卓了。。。

[dsb2468]

“连续两份通过 HackerOne 向 Cloudflare 提交的报告都被误处理了”
世界是个巨大的草台班子

[JerryZhi]

如果没记错的话 cloudflare 选 1111 这个 ip 是为了证明自己能扛住各路人马的测试流量吧

[zhaidoudou123]

确实是草台班子

[realpg]

@dsb2468 #9
本身 1.1.1.0/24 就是数通行业的默认公网表示
CF 比死扣条文的老学究更懂这个世界是怎么运行的
CF 知道也会忽略

[LnTrx]

让人想起了 CNNIC

[julyclyde]

@realpg 数通行业为什么用 1.1.1.0/24 作为公网？这不是只匹配了一个 C 而已吗？

[realpg]

@julyclyde #14
就现在 cf 已经用了 1.1.1.1 这么多年了 照样有的网络 1.1.1.1 没法正确到达
反正 CF 这么干的时候自己应该评估过 利用自己的大厂地位想扭转 但是总有些企业网/小 ISP 不惯你毛病的

[julyclyde]

@realpg 这是两码事啊
这个网段 *属于* 公网
和
这个网段 *是* 公网
根本不是同一个意思