@caola 是的，免费的 ACME 服务目前刚上线，还在优化中。我们商业版的 API 已经优化到 6 ～ 10 秒左右，后续还能进一步提升 1 ～ 2 秒。

@caola 是的 litessl 信息太少了 搜来搜去就你家网站支持 @myssl 所以 litessl 是亚洲诚信完全所有吗？

@Kinnice 我们已经实施 MPIC 多视角验证，有 5 个以上远程视角，每个视角数据中心相隔 500KM 。MPIC 的出现很大程度上防止了 BGP 劫持。

@Kinnice #38 DNS 劫持也不容易，这个 DNS 验证一般 SSL 签发机构是直接查询去域名的 NS 服务器去查询，而不经过第三方的 DNS 递归查询

@caola LiteSSL 正在计划提供短效 IP 证书（需要 ACME 客户端支持 Profile 特性），之前没有提供是由于 IP 证书存在转移过于频繁，对安全生态不利。

@00oo00 是的，LiteSSL 是 TrustAsia 推出的免费公益项目，主要应对接下来证书有效期缩短带来的挑战，主推 ACME ，包括 ARI 、Profile 、长效验证等自动化有效的特性。

@XDiLa WebPKI 是由信任驱动的。信任是 CA 以及浏览器厂商卖给你的东西。整个环节中对于这种信任的蓄意或者无意地破坏（故意签发没有正确鉴权的证书或因为系统故障/逻辑误签发等）对于利益相关方都是「信任」的重大打击，造成的是商誉的损失。 对于「免费证书」，CA/Browser Forum 和各利益相关方大体和付费 DV 证书采用相同的 baseline 标准。CA 为了被包括在 OS 、浏览器中，必须向社区证明自己满足这些要求（一个近期的例子是 [1]）。这当然是因为各实作对于 DV 证书「是否收费」并不做区分。考虑一个状况：我假扮 Google 骗 Let's Encrypt 和 Digicert 给我签发 google.com 的证书并用来干坏事，两者造成的伤害是相同的。 而此类「向不该签发证书的人签发了证书」的状况，正是这一系列社区标准中，被广泛认为应该负责的事情（作为用户，社区的一员，我个人感谢 @myssl 代表的 TrustAsia 的迅速行动）而不是「因为免费所以就完全不该负责」。 至于现实危害，正如你的 LLM 给你讲的那样，大规模的攻击需要更大层面的问题。但我如果控制了我的咖啡馆、酒店、机场的公共网络（甚至是 ISP ），用一些 DNS 劫持等等的手段，确实是能够影响到可观量的用户的。而「瑞士奶酪模型」教给我们的是要让事情不那么糟糕，我们可能除了多几片奶酪（ DNSSEC, RPKI etc ）之外，还需要让奶酪的洞稍微小一点。 此外关于现实危害，大家可能还记得就在不久的十多年前，HTTPS 还没有那么广泛部署的年代，ISP 们通过各种手段劫持下载、往页面上插广告的事情可在神州大地上广泛发生着。 [1] https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/UdDqO6K4YpU

@XDiLa 40# 我说历史上有很多伪造证书中间人攻击的先例，并举例。在 26# 你跟我说我没有能力实现中间人攻击。在 40# 确实我没这个能力，妨碍别人有这个能力攻击吗？ 小可爱！

@XDiLa #31 CA 的根本职能就是对其签发证书的安全性负责，硬要不负责也很简单，就是被浏览器拿掉。CA/B 里基本 B 说了算，CNNIC 的根证书一样说下就下掉了。

@XDiLa 48# OP 在 2#说了什么 好好看下