10月16-18日，由CA/B論壇、中國金融認證中心（CFCA）主辦的“CA/B論壇45次會議暨全球網站安全高峰論壇”在上海舉辦。CA/B論壇由國際各大瀏覽器與電子認證機構（CA）以及其他相關機構共同成立，專注電子認證機構（CA）和瀏覽器安全技術與標準的討論和制定，解決國際互聯網領域發(fā)展中面臨的安全難題。

    CA/B論壇會議由其成員承辦，時至今日已經舉辦到第45屆。和往屆會議大多在歐美舉辦不同，本次會議在中國由CFCA承辦，也是CA/B論壇有史以來參與人數最多的會議之一。

    會議為期三天，共有來自包括微軟、谷歌、Mozilla、蘋果、CISCO、Digicert、Entrust在內、涵蓋20余個國家的瀏覽器、操作系統(tǒng)廠商和各大CA技術專家和代表參會。會議由CFCA電子認證專家張翼與CAB論壇會長KirkHall共同主持。CFCA總經理季小杰出席正式會議并致歡迎詞，助理總經理趙宇和助理總經理林峰出席會議并參與相關交流。

    會議首先進行的是CA/B論壇各工作組專業(yè)會議，包括論壇基礎設施工作組、管理與改革工作組、服務器證書網絡安全工作組以及認證工作組，主要討論了論壇管理建設及標準制訂等相關內容，并總結了過去幾個月的成果及問題。

    在接下來的正式會議中，各大瀏覽器廠商介紹了最新安全政策及升級趨勢：微軟對于支持CT（證書透明度機制）提出了2019年時間表，并對代碼簽名中級證書提出了代碼簽名EKU要求，要求CA進行相關調整。

    谷歌近期政策包括禁用http、強制使用CT（證書透明度機制）等更新。從Chrome70版本（2018年10月17日發(fā)布）開始，對所有未部署SSL證書的網站進行不安全提示并在輸入框等位置進行顯著示警。與此同時，谷歌贊揚幾乎所有CA都已經開始跟進CT，并將更詳細的CT升級計劃納入到其未來的計劃中，這項技術獲得了其他瀏覽器的認可，并紛紛宣布跟進。

    Mozilla主導的證書管理申請和公示體系（CCADB證書數據庫）更新了名為AuditLetterValidation（ALV）的自動認證功能，所有接入CCADB的機構包括微軟、谷歌、蘋果、CISCO等都可節(jié)省大量審核工作，但對CA和審計公司都提出了更高的要求，今后的審計報告將更偏向于模塊化和規(guī)范化。與此同時，Mozilla還對其要求進行了一系列的升級，包括：新策略規(guī)定所有中級證書的審計策略，對EVOID和CN相關內容提出了要求，最后Mozilla還對各個CA的CPS提出了最新的要求。

    CISCO作為瀏覽器的新廠商對于其他幾個巨頭的根證書庫采用兼容并包的策略，目前CISCO的根證書庫主要還是應用于CISCO相關產品中CISCO自己的瀏覽器。

    Opera對其根證書計劃做出新的嘗試，在OperaMini瀏覽器中，開始使用其自身訂制版本的證書庫。目前其證書庫脫胎于Mozilla庫，并加入自己的一部分修改。

    蘋果公司主要的更新是包括CT支持在內的一系列改動，延續(xù)了其在44次會議上宣布的計劃。

    360是參加本次會議的唯一一個中國瀏覽器廠商。360的根證書計劃在上次倫敦會議正式啟動后目前已經開始進入實施階段，是第一個嘗試維護根證書庫體系的國產瀏覽器。

    引人關注的是，會議還邀請到了兩位國內權威業(yè)界專家作為嘉賓發(fā)言：

    一位是來自白山云科技/OPENSSL的楊洋，他在會議上詳細介紹了我國各種國密算法及其國際化進展情況、最新版本OPENSSL對于國產SM2、SM3、SM4算法支持情況情況，對國密算法成為國際化標準算法現在以及將來的工作進行了詳盡的分析。此次演講是CA/B論壇中第一次有關國密算法的正式演講，國密相關算法成為IETF以及CA/B論壇BR標準，這也將是推廣國密算法的下一步工作。

    另一位嘉賓是來自中國電子認證服務產業(yè)聯盟的秘書長劉權博士，他的演講從中國對證書、瀏覽器的相關國家標準制度和規(guī)定展開，闡釋了國密證書特別是服務器證書在未來的中國政府機構及企業(yè)的使用勢在必行，而瀏覽器如何支持國密算法、如何在中國合法合規(guī)是下一步推進的關鍵所在。最后，劉博士提出在中國也成立CA、瀏覽器、操作系統(tǒng)聯盟組織的想法，并表示希望在未來和CA/B論壇互通有無、攜手共進。

    此次會議達成了多項成果，對論壇起到高效、積極的推動作用。在會議總結中，CA/B論壇會長KirkHall代表論壇對包括CFCA在內諸位技術專家在本次會議中的貢獻表示感謝，并高度評價了CFCA在此次國際間會議期間出色的組織和協(xié)調工作。此次會議在中國的成功舉辦體現出以CFCA為代表的中國CA機構國際影響力的不斷擴大，對于提升我國在制定網站安全相關國際標準中的參與權、話語權具有重要意義，是我國推動網絡空間國際合作、探尋網絡空間國際治理體系建設的重要實踐。