新闻

发生了什么？

ShawdowSocks

8月22日，一个托管于GitHub的开源项目 ShadowSocks 被删除了。

据该项目的作者透漏，警察联系了他，并要求他停止开发该工具，并从GitHub上删除所有代码。

后来他删除了关于警方的评论，想必是迫于警方的压力。

消息传出后，许多中国和外国开发商，以及ShadowSocks用户，对作者致谢。同时由于这种广泛关注的结果，ShadowSocks成为了GitHub上的热门项目。

 

GoAgent

GoAgent 的 Github 项目 在今天也被删除了 (2015年8月25日)。GoAgent 也是中国最流行的翻墙工具。它依赖谷歌的App Engine来建立跨越GFW的通道。 它曾托管于谷歌代码，之后迁移到了Github。作者phuslu没有对项目删除作出任何解释，但他更改了他的账户描述为“凡事只要有开始,就必然会有结局”。

 

When LinkedIn decided to create a China-hosted version of its website in February, 2014, it made a decision to compromise the company's values in the pursuit of the dollar.

It's important to note that before LinkedIn launched LingYing (the local version of the site), LinkedIn was already active in China. By their own account, they had four million registered users (with little marketing effort), a Chinese-language interface and China-based clients who were buying recruitment ads on the platform (the major source of their revenue). The site had been blocked by the authorities for one 24-hour period but otherwise was always accessible.

So why was it necessary for LinkedIn to create a local entity in China? With a local entity the company would be able to issue official receipts in RMB, making it more convenient for local companies to buy advertising on the site. A local entity also makes it easier to secure marketing deals to promote LingYing in China.

But perhaps the biggest appeal in creating a local entity for LinkedIn is that it would be among the few foreign internet companies who could cosy up with Lu Wei and the Cyberspace Administration of China (CAC). Having that kind of a relationship with CAC surely helps the business and those who are associated with the company.

Wikipedia is the latest nail in the internet freedom coffin and it certainly will not be the last. Wikipedia thought that by engaging with China, the authorities would gradually open up. They thought that by allowing the Chinese authorities to censor as much information as they wanted, that eventually they would relinquish control. They thought that for those in China, having access to some Wikipedia pages was better than having access to none.

谷歌于2015年4月1日宣布，他们将不再承认CNNIC根和EV证书颁发机构（CAs）。

在第二天，Mozilla也发表博文称：CNNIC给其他公司发行不受约束的中间证书是“令人震惊的做法”，而Mozilla的产品将不再信任由CNNIC根颁发的任何证书。 Mozilla还发表了关于他们的更详细的报告。

在谷歌和Mozilla于2015年3月23日曝光了几个谷歌域名使用了未经批准的数字证书之后，CNNIC并未发表任何声明。CNNIC身为证书颁发机构，却一直在实施中国的网络审查。CNNIC不仅曾是，现在也是，并且将来还是会继续实施中国的互联网审查。

不出意外，上述关于4月1日和2日的新闻在中国的社交媒体和传统媒体上被封杀了。

下面是关于这些公告的微博截图。

请注意，在第一篇关于谷歌全面撤销CNNIC的根证书的截图中，下方有三个按钮，而在第二个截图中却有四个按钮，很明显能看出第一篇微博的转发功能消失了，可见中国当局正在如何防止负面信息蔓延上变得越来越有创意！最后这篇微博的命运和往常一样，被当局完全删除了。

即便在传统媒体网站上也有一些详细介绍了CNNIC对此“毫不知情”的报道，也已经被封杀。

网易的报道：“Chrome和Mozilla撤销了CNNIC CA”在发布后2小时之内就被删除。网易是中国最大的互联网服务提供商之一。

URL：http://tech.163.com/15/0403/08/AM8VPOLJ000915BF.html

新浪的报道：“CNNIC认为谷歌的决定是不可理解和不可接受的”被删除。新浪网是中国最大的门户网站之一。

URL: http://tech.sina.com.cn/i/2015-04-02/doc-ichmifpy5387951.shtml

搜狐的报道：“CNNIC谴责谷歌”已被删除。搜狐在全网Alexa排名第44。

鲁炜和中国网信办很明显的升级了他们控制信息的战术. 防火长城由一个被动的过滤器变成了一个具有侵略性的主动的武器。 这是一个非常可怕的发展，这种行动的影响将会延伸至互联网的每一个角落。简明的说，当局已经以前是对中国，现在到全球互联网都要执行严格的审查制度。

日前，谷歌发现在多个未授权的针对谷歌域名的电子证书，而这些证书的根证书属于中国互联网络信息中心（CNNIC）。谷歌和Mozilla（火狐）分别公开了这一安全事件，就此分别发表了博客文章(Google, Mozilla)。但谷歌与Mozilla有关CNNIC发布中间人攻击证书文章的中文翻译，则在中国被勒令删除。

 

• 中国著名IT博客“月光博客”不加任何评论，将谷歌的文章翻译成中文。在谷歌和百度上用中文搜索“CNNIC中间人攻击”，他的这篇文章都是搜索的首个结果。3月26日，他在推特上表示，新闻办打电话给他， 要求立即删除他的这篇文章。原文 http://www.williamlong.info/archives/4183.html 被删除了。但谷歌缓存仍然存在。

省政府新闻办打电话来称，“谷歌称CNNIC发布中间人攻击证书”一文需要立刻删除。

 

自从2013年，我们曾多次呼吁各大软件厂商撤销CNNIC颁发的证书。值得注意的是，我们提出这个问题的时候，我们报道了中国网信办（CAC）在谷歌，微软的Outlook，苹果，雅虎和Github上进行中间人（MITM）攻击。许多主流媒体在此前也纷纷报道了这些安全问题，在3月24日，Ars Technica的报道了谷歌宣布他们有确凿的证据表明CNNIC（中国互联网络信息中心）是使谷歌遭受MITM攻击的幕后黑手。

2014年十月，我们的博文：

CNNIC是中国互联网信息中心，属工信部管理。据报道，CNNIC曾审查网络（并试图隐瞒）、发布恶意软件、安全记录不良。中国的技术型网民多年来一直抵制将CNNIC作为可信任的根证书。在2013年一月Github在中国遭受攻击后，我们公开呼吁取消CNNIC作为根证书的资格。鉴于近期中国接连发生的中间人（MITM）的攻击，为了保护中国和世界各地用户的隐私，我们再次呼吁撤销CNNIC证书颁发机构。

今年10月份，中国当局对苹果iCloud、谷歌、微软Outlook以及雅虎发动了中间人攻击。而CNNIC扮演了默许支持或积极配合的角色。

CNNIC是“中国信息社会的基础设施建设者、运营者与管理者”。GreatFire证实，最近几次的中间人攻击来自中国互联网的中枢。针对雅虎与谷歌的攻击在互联网中枢上持续了数周。

而在今天我们就有了谷歌展示的具体的证据，证明CNNIC（或者包括CAC）是MITM攻击的确同谋。谷歌在自己的博文中声称：

在3月20日，星期五，我们发现CNNIC颁发了多个针对谷歌域名的用于中间人攻击的证书。这个名为MCS集团的中级证书颁发机构发行了多个谷歌域名的假证书，而这些中级证书则来自CNNIC。

CNNIC的证书包含了主要的根证书和伪造证书，它们被几乎所有的浏览器和操作系统信任。由于public-key pinning机制，Windows和OS X以及Linux版的Chrome、ChromeOS和Firefox 33会拒绝这些证书，尽管伪造证书对其他网站可能是信任的。