SSL证书的江湖 (一)2022年1月25日

今天是1月25日，笔者进入SSL证书的江湖已整整17年，2005年1月25日是笔者的公司同GeoTrust签订合作代理协议的日期，虽然前期要花点时间同GeoTrust谈合作条款，但是这一天正式签订代理协议，标志着中国的SSL证书的江湖就开始了，因为此前中国市场只有VeriSign一个品牌，就不能称之为“江湖”。从这一天开始，GeoTrust SSL证书品牌正式进入中国市场，我也正式开始在这个江湖打拼，本文就同读者讲讲这个江湖的趣事。

触动笔者动笔写这篇文章的是一个代理商告诉我一个大客户指定要GeoTrust品牌SSL证书，笔者非常高兴GeoTrust品牌能如此深入人心，说明我当时并没有看错品牌。GeoTrust是DV SSL证书的开创者，原先市场上只有一种SSL证书，就是验证单位身份的OV SSL证书，也只有一家CA签发，那就是VeriSign，中国也只有一家代理商。GeoTrust发明了只验证域名所有权就可以几分钟内快速签发SSL证书，产品取名为QuickSSL，彻底打破了原先申请一张SSL证书需要一周甚至更长时间的常规，这使得GeoTrust很快就成为SSL证书全球市场的老二。笔者是在 2004 年底的夏威夷国际电信会议上认识了一位贵人才有机会代理销售GeoTrust数字证书产品，我当时选择GeoTrust是因为我认为中国市场需要第二家有竞争力的SSL证书提供商。

当时本想独家代理，无奈荷包银两不够，无法满足其独家代理的要求，也就只求得了一个首席代理的名义，从零做起，一年后就开始有了起色，马上就出现了第2家代理，第3家代理 ……。做过代理产品的读者一定了解这种滋味，辛辛苦苦帮别人打开品牌，带来更多的竞争对手和更加残酷的市场。一年后我就果断地做起来自己的品牌，就是大家熟悉的“沃通”品牌。 这也是我为何在再次创业时力推定制中级根证书业务的原因之一，我希望想进入SSL证书市场的朋友，都做自己的品牌，否则就是为人作嫁妆。不仅由于代理商众多并相互压价而挣不到钱，而且并没有把自己的品牌打出去，空忙一场。定制SSL中级根证书就是打自己的品牌，不仅浏览器显示定制单位的名称(火狐浏览器)，或者显示定制中级根证书的名称(谷歌浏览器)，而且各种SSL证书市场份额统计数据都是以中级根证书品牌来统计的，这个统计数据对公司估值很有帮助。

还是回到GeoTrust的正题，GeoTrust在取得全球市场25%市场份额后，于 2006年9月5日 被VeriSign以1.25亿美元收购，2010年8月9日 安全厂商Symantec(赛门铁克)又以12.8亿美元的价格完成对VeriSign的收购，这样，GeoTrust也就被纳入赛门铁克名下。2017年10月31日 DigiCert收购了赛门铁克的CA业务，获得了9.5亿美元的现金收益，并拥有DigiCert普通股约30%的股份。至此，GeoTrust品牌已经被买了3轮，并且失去了自己的顶级根证书，现在给用户签发的SSL证书都是中级根证书，顶级根证书是DigiCert。

本篇就只讲GeoTrust的江湖，其功劳是发明了DV SSL证书，为SSL证书的普及应用立下了汗马功劳。但是，随着免费DV SSL证书的随手可得，这个不验证网站身份就签发SSL证书的创新产品成为了欺诈假冒网站的最爱，使得广大网民熟悉的安全锁不再“安全”，这个功过是非估计还要过几年才有定论，笔者就不提前评说了。

GeoTrust从被卖3次到失去自己的顶级根证书，读者应该能看到SSL证书市场的江湖险恶，笔者在这个江湖混了17年得出的结论是：RSA算法只做SSL中级根证书，从而可以避开江湖的险恶而享受江湖的红利。