证书行业近期观察：一批证书因合规偏差被吊销，一次CRL调整引发设备断连

发布日期：2026-09-24 18:25 浏览量：11

过去半月，证书行业没有新的规范节点落地，却出现两起真实事故：一批正常签发的证书因合规证据问题被集中吊销，一次吊销列表的常规调整让部分企业的安全设备无法连接云服务。

先看吊销。SSL.com 在9月10日完成的一次批量吊销，给出了证书被吊销的另一种原因。据其官方合规说明，该公司签发流程中的一处问题，使一批证书未满足 CA/Browser Forum 对"多视角签发佐证"（MPIC）的合规要求：域名控制验证本身已完成，但当时是否达到规定数量的远程视角佐证无法确认。官方说明这不涉及安全事件，也无私钥泄露或域名验证错误的迹象，但依据基线要求与浏览器根计划的规定仍须在限期内吊销。受影响范围限于 MPIC 强制实施日（2025年3月15日）之后完成域名验证的部分 DV、OV 与 EV 证书。（来源见文末1）

另一件事出在吊销信息的发布侧。Fortinet 在9月9日发布技术说明称，其 FortiGate 等设备连接部分 FortiGuard 服务时出现 TLS 握手失败，错误提示为"different CRL scope"（CRL 范围不匹配）。根因涉及两个环节——DigiCert 于9月9日18时38分（GMT）为 DigiCert High Assurance EV Root CA 的 CRL 文件新增了"签发分发点"（IDP）扩展；而 FortiOS 检查吊销状态时会依据该扩展判断 CRL 的适用范围，链上的根证书并不包含 CRL 分发点，校验因此不通过并中止握手。整个过程并无证书被吊销，问题出在吊销检查与 CRL 内容的配合方式上。9月 11日DigiCert 回退了多个根 CRL 的 IDP 条目，连通性随后恢复。（来源见文末2）

产品层面，DigiCert于9月15日宣布 AI Trust Manager 正式可用，把可信身份的管理对象从服务器、设备与软件扩展到 AI 代理：为每个受管代理签发可验证、可携带的凭证并关联到明确的归属方，通过策略限定其可访问的系统、数据与操作，并在信任状态变化时撤销授权。其援引的一项 7 月调研显示，1001 名受访 IT 与安全决策者中，78% 的组织在过去一年经历过与 AI 相关的安全事件或漏洞。（来源见文末3）

三条消息指向同一件事：证书的有效性并不完全由持有者决定，它可能因 CA 侧证据链不完整而被要求吊销，也可能因吊销信息的一处调整而在下游客户端被判为不可信；当需要被验证和撤销的对象从服务器延伸到 AI 代理，这套逻辑覆盖的范围还在扩大。对企业来说，有三件事可以着手：把证书与其他可验证身份放进同一份资产台账，记录签发者、证书链构成与责任人，便于批量吊销时快速定位范围；把 CA 的状态页与合规公告纳入订阅范围；把吊销信息的校验路径纳入变更测试，证书固定与老旧设备的 CRL 缓存都可能在一次常规调整后失效。

信任的日常形态，是一批可验证、可撤销、需要持续更新的状态。天威诚信深耕电子认证领域二十余年，旗下 vTrus 国密 SSL 证书与 CIM 证书智能管理系统覆盖证书发现、签发、监控、续期与统一管理，帮助企业在每一次状态变化中保持可见与可控。

上一篇：已是第一篇了下一篇：网安金融日｜为什么金融业的网络安全基线更高

关闭