问验证在DNS记录指向不受控制的IP时未颁发恶意证书。

EN

TL;DR:是的，在任何公共CT日志查看器中检查该域，并且只找到您购买的证书，将使您非常有信心没有向该域颁发恶意证书。

是的，我完全同意你的观点，即攻击者可以在那个IP上获得一个VM，这足以通过自动域验证检查并获得证书。您将谈到攻击者从“让我们加密”获得证书，但除非受害者已经为其域设置了DNS CAA记录：

CAA记录允许域所有者声明允许哪个证书颁发机构为域颁发证书。

然后攻击者可以从任何CA获得证书，而一些CA提供的证书寿命最长可达一年。

解决方案：*超级英雄音乐剧*证书透明度，以拯救！

CT的缺点是，一些浏览器强制执行它，而其他浏览器则不强制执行，CA/Browser Forum没有要求CA/Browser论坛将CA登录到CT。

• 自2018年4月30日以来，Chrome (我认为也是Chrome)强烈要求在每个网站证书上记录CT，否则浏览器会抛出错误(来源)。
• Safari看起来已经开始需要它了，尽管这对我来说是个新闻，页面的日期是2021年3月(来源)。
• Firefox不需要或不检查CT日志(来源)。

尽管如此，我无法想象有任何主要的CT只在Firefox的根商店而不是Chrome或Safari的商店做生意，所以可以肯定的是，所有majar CT记录的每一个证书都符合谷歌的标准。

Summary:是的，在任何公共CT日志查看器中检查该域，只查找您购买的证书将使您非常有信心没有向该域颁发恶意证书。