CA 信任基础设施与审计标准：可信列表、WebTrust 与 FIPS 140

在欧盟，可信列表是由监管机构签发的合格信任服务提供商（QTSP）及其所提供服务的登记册，每项服务都会标注为「已授予」「已暂停」或「已撤销」。由于该列表经过数字签名、可公开验证，依赖方可以核查某一提供商在签名发生时是否具备合格资质。正是这套机制，让在某个欧盟成员国创建的签名能够在其余 26 个成员国得到验证。

提供商要登上可信列表之前，必须先满足一套通用政策框架。ETSI EN 319 401 规定了信任服务提供商的通用要求：管理与运营控制、持续风险评估，以及可供审计核验的成文政策与实践。它是让审计保持一致的最低门槛。

WebTrust 是由加拿大与美国特许会计师协会共同制定的安全审计框架。它从组织、人员、物理安全到证书全生命周期对 CA 进行评估。主流浏览器要求 CA 通过 WebTrust 或等效的 ETSI 审计后，其根证书才能被预装——且审计报告必须对外公布。

CA/B 论坛汇集了证书机构与浏览器厂商（Google、Mozilla 等），共同制定每张公开可信证书都必须满足的技术基线：证书有效期、密钥长度、域名验证以及代码签名密钥保护。违反这些规则的 CA，将面临证书被浏览器吊销信任的风险——对一家靠信任生存的机构来说，这几乎致命。

FIPS 140（NIST）是密码模块的参考标准。达到安全等级 3 及以上时，私钥不得以明文形式从模块中导出：它必须在防篡改硬件内部生成、存储与使用。CA/B 论坛将同样的逻辑用于代码签名密钥，中国也在 GM/T 0028 与 GB/T 37092 中采用了相同的四级划分思路。