研究基于Tranco前400万域名测量CT、CAA、DANE三大防误签发机制。Mozilla信任存储含121个根CA。所有CA均向至少两个CT日志记录证书，但域名持有者采用CAA和DANE意愿低，DANE配置错误普遍。DigiNotar 2011年和Entrust 2024年事件凸显单点故障风险。CAA限制可签发CA，DANE通过TLSA记录指定预期证书，CT提供事后透明监控。
原文: APNIC Blog（2024-10-02）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog