加密专家指Let'sEncrypt发了近1.5万张凭证予PayPal网钓网站

SSL商店加密专家Vincent Lynch上周公布了一个令人惊讶的数字，宣称免费凭证发行机构Let's Encrypt迄今已发行15,270个内含PayPal字样的凭证，当中约有96.7%被用在网钓网站，意味着有14,766个网钓网站拥有与PayPal相关的凭证。

电子前线基金会（EFF）、Mozilla、Cisco、Akamai、IdenTrust与密歇根大学研究人员在2014年创立了非营利的互联网安全研究组织Internet Security Research Group（ISRG），为了推动加密通讯而设立Let's Encrypt凭证组织 ，提供免费且自动化的凭证服务，并把原本需要耗时数小时的凭证申请流程缩短到30秒。

Let's Encrypt于2016年1月正式启动，截至去年底已发行超过2000万张凭证，且最近每天的凭证发行量已达到100万张。

Let's Encrypt的用意在于推动网络的加密传输，然而，免费且快速的凭证发行流程同样也降低了骇客取得凭证的门槛。Lynch说，这原本就是Let's Encrypt当初最受质疑的部分，但Let's Encrypt却认为扼止恶意网站并非凭证机构的责任。

Lynch是利用crt.sh搜索引擎查找使用内含PayPal字样的凭证，指出PayPal网钓网站泛滥的程度比原先以为的更严重。Lynch表示，全球网络正从HTTP迁移到HTTPS，Let's Encrypt虽然功不可没，但由Let's Encrypt所发行的凭证加密了所有网站的传输，包含恶意网站在内。

Lynch担心的是，过去安全社群都教育使用者要以HTTPS来辨别网站的安全性，然而，当网钓网站也拥有合法凭证并借由HTTPS传输之后，使用者可能也会相信这些网站是合法且正当的。

除了PayPal之外，Lynch亦发现Let's Encrypt还发行了大量内含美国银行（Bank of America）、Apple ID与Google等字样的凭证。根据Bleeping Computer的报导，Let's Encrypt仍然坚持原来的立场，指出该机构的目标是建立百分之百的全球加密网络，他们不是内容警察，也缺乏可辨识网站内容安全性的资讯及验证程序，因此强烈建议使用者透过Google的Safe Browsing或微软的Smartscreen来保障网络上的浏览安全。