五个见证者与两个 RIR：CA 行业刚补上「保管」这一课
来源：dev.to — 2026-10-20
📋 概述
Let's Encrypt 宣布基线要求 3.2.2.9「多视角签发佐证」将于 2026 年 12 月 15 日生效：至少五个远程网络视角，落在至少两个不同区域互联网注册机构（RIR）的服务区域内，并满足法定人数表；不满足的 CA 不得签发。动机是防 BGP 劫持——能劫持路由的攻击者可以自己回答域名验证请求，一个视角距离一张欺诈证书只有一句谎。Let's Encrypt 的实现是七个验证请求：一个来自主数据中心，六个来自远程视角，原来只有四个。
🔑 核心要点
- 主中心与远程的法定人数都必须看到正确的挑战响应，才算验证通过。
- 10 月 27 日上 staging，11 月 10 日投产，官方预期对用户几乎无影响。
- 这与作者的等级框架一致：见证者的真实等级，取决于它写下证据与保存证据两条路径中较低的那一条。
- 只依赖一条网络路径的验证，等于把信任交给那条路径的主人。
💡 金句
“A validation that depends on one network path is a validation that trusts whoever owns that path.”
译：只依赖一条网络路径的验证，就是把信任交给那条路径的主人。
← 返回 dev.to 首页