韩国资安研究员踢爆：以色列StartSSL凭证主机竟在奇虎360中国机房
长期使用以色列StartSSL凭证服务的韩国资安研究员Pierre Kim，近日却发现SSL主机从去年底偷偷变成了奇虎360中国机房内的服务器。他上网公开了停用StartSSL改换成Let's Encrypt的过程，在知名技术论坛Hacker News引起开发者热烈讨论，连中国开发社群都高度关注。
Pierre Kim先前踢爆过多项漏洞，如Totolink旗下20款路由器有后门问题，或是华为多款旧型3G路由器中的安全漏洞。最近他发现，从去年12月后，以色列公司Startcom凭证服务StartSSL的网域IP地址，从原本位于以色列的192.116.242.27，转为一个位于中国电信机房的IP地址104.192.110.222。
透过Whois查询104.192.110.222时，Pierre Kim发现，此IP已在2014年被QIHU 360所拥有（即奇虎360），再搭配DNS查询网站WhatsMyDNS比对，可查出StartSSL并非透过CDN服务来派送，因此，他认为，这个IP就是真实主机的IP，而且全球各地StartSSL服务的IP地址却都指向奇虎360是拥有者。因此Pierre Kim推断，StartSSL的PKI（Public Key Infrastructure）已经被奇虎360所掌握。因此，他决定停止使用StartSSL，转为使用Let's Encrypt。
在去年12月时，Startcom官网的确对外宣布，2015年稍早已在中国深圳设立研发中心，除了扩展在中国的事业外，也用于提供中国当地服务，但是Startcom并未透露，会由中国机房来提供全球服务。
Pierre Kim认为，从官网声明，虽然仅能看出Startcom去年的确在中国展开了业务扩张的行动。但他认为，除非StartSSL解释清楚为何自家的PKI会交由奇虎360托管，否则应该开始停止使用StartSSL。而他也呼吁其他人使用Let's Encrypt。
担心云端主机在中国的人，不只是Pierre Kim这样的韩国资安研究者而已，去年中国政府通过争议颇大的反恐法之后，也引起欧美科技厂商的疑虑。因为反恐法除了要求ISP必须安装后门程式外，服务器加密储存的金钥也必须上缴中国政府，甚至连美国总统奥巴马及美国国务院都表示严重关切，担心反恐法除了限制言论自由、宗教自由外，也会对美中贸易关系带来影响。
