Show HN: distrust, a Go CLI tool for blocking CA certificates

原创

alex 1小时前阅读数 1 #头条

Show HN: distrust, a Go CLI tool for blocking CA certificates

我只看到了标题和摘要，没有读到原文正文。就凭这些信息说几句。

eMudhra CA 事件大概是导火索。我看摘要时的第一反应是，系统里那些根证书信任锚，大多数时候根本用不上。150 多个根 CA，你猜有几个真正参与过你今天的 HTTPS 握手？大概率是零个。所以这个 Go 写的小工具，名字直白到有点粗暴，叫 distrust，做的事情也直白，按策略把不需要的 CA 证书封掉。

它想覆盖的地方挺广，摘要里提到 NSS、Chrome Root Store、OpenSSL 和 GnuTLS 的消费端（curl、wget、Python、Go）、Java 的信任库，还有 certifi、conda、botocore 这些应用自带 PEM 包的场景。坦白讲，跨这么多信任栈去统一管控，工程量不小。作者自己也承认之前没看到同类工具，原因就是跨操作系统、跨发行版、跨语言差异太大。这个工具是 vibe-coded 的，在开发者语境里通常意味着随手写、快速迭代，有点先跑起来再说的意思。

随包附带一个示例策略，把除了排名靠前的 30 个 CA 之外的全部封掉。作者说自己测了，日常浏览没出问题。我没有原文，所以没法确认具体排除了哪些、保留了哪些，也没法判断这个策略在不同地区、不同场景下会不会误杀。

我承认这个思路有点激进，把一个默认信任 150 多个 CA 的系统裁到 30 个，风险和责任都在使用者自己头上。但至少有人动手把这件事做出来了，而且代码开源了。在信任基础设施这块，主动收紧信任面的动作不多见，多数人还在被动接受默认配置。

原文：

Show HN: distrust, a Go CLI tool for blocking CA certificates · 来源：Hacker News

参考来源：