CA 信任基礎設施與審計標準：信任清單、WebTrust 與 FIPS 140

在歐盟，信任清單是由監管機構簽發的合格信任服務提供商（QTSP）及其所提供服務的登記冊，每項服務都會標注為「已授予」「已暫停」或「已撤銷」。由於該清單經過數位簽名、可公開驗證，依賴方可以核查某一提供商在簽名發生時是否具備合格資質。正是這套機制，讓在某個歐盟成員國建立的簽名能夠在其餘 26 個成員國得到驗證。

提供商要登上信任清單之前，必須先滿足一套通用政策框架。ETSI EN 319 401 規定了信任服務提供商的通用要求：管理與營運控制、持續風險評估，以及可供審計核驗的成文政策與實踐。它是讓審計保持一致的最低門檻。

WebTrust 是由加拿大與美國特許會計師協會共同制定的安全審計框架。它從組織、人員、實體安全到憑證全生命週期對 CA 進行評估。主流瀏覽器要求 CA 通過 WebTrust 或等效的 ETSI 審計後，其根憑證才能被預載——且審計報告必須對外公布。

CA/B 論壇匯集了憑證機構與瀏覽器廠商（Google、Mozilla 等），共同制定每張公開可信憑證都必須滿足的技術基線：憑證有效期、金鑰長度、網域名稱驗證以及程式碼簽名金鑰保護。違反這些規則的 CA，將面臨憑證被瀏覽器撤銷信任的風險——對一家靠信任生存的機構來說，這幾乎致命。

FIPS 140（NIST）是密碼模組的參考標準。達到安全等級 3 及以上時，私鑰不得以明文形式從模組中匯出：它必須在防竄改硬體內部生成、儲存與使用。CA/B 論壇將同樣的邏輯用於程式碼簽名金鑰，中國也在 GM/T 0028 與 GB/T 37092 中採用了相同的四級劃分思路。