公司、ISP 或其他实体是否可以屏蔽使用以下机构颁发的证书的网站：让我们加密？
我的老板似乎认为，过去几年我们邮件无法发送的原因是，我们用于邮件服务器证书的 CA 被阻止了。我确信他把域名阻止和证书混为一谈了，但如果我错了，请通知我。
答案1
CA 的核心在于接受或拒绝程式使用 TLS 与对等点/服务器建立连接。程序可以自动接受、自动拒绝或提示用户接受/拒绝，或者根据证书中的到期日期、颁发者等信息以给定方式行事。
操作系统和加密库为程序在两端（发起端/接收端）做出决策提供了框架。
具体行为取决于所涉及的程序和操作系统/库。
程序可能会因各种原因在接受或拒绝使用特定 CA 的连接之前询问您。
程序执行的典型原因不是自动接受来自 CA 的连接（拒绝或询问您是否可以继续）包括：
操作系统/程序维护受信任 CA 的存储库/列表，而该网站提供的 CA 不在该存储库/列表中。
操作系统/程序维护已撤销 CA 的存储库/列表，并且该网站提供的 CA 位于该存储库/列表中。
- 某些程序可以使用“证书吊销列表”并拒绝该列表中出现的证书的连接。
操作系统/程序使用 OCSP 等协议来检查证书的状态并得到表示证书无效的答复，或者没有得到答复。
CA 证书已过期。
程序设置为仅在指定的时间内信任证书，并且该时间已经过去。
很多时候错误消息不会区分上述情况。
我们用于邮件服务器证书的 CA 被阻止
因此，从实际意义上讲，这可能意味着证书已过期，根 CA 被主要供应商（例如 Diginotar）标记为不受信任，或诸如此类。如果 CA 被认为受到威胁，操作系统和浏览器供应商会将其从受信任的根存储中删除。这实际上是在阻止。
答案2
“公司、ISP 或其他实体是否可以屏蔽使用 Let's Encrypt 等颁发的证书的任何网站？* -不
有一些注意事项，但它们都相当小众/专业。首先，我将解释为什么答案是否定的，然后探讨例外情况 -
已接受的证书颁发机构密钥存储在本地，即 Firefox 或 Chrome 或任何使用 CA 基础架构的浏览器都使用操作系统或浏览器附带的 CA 公钥。CA 数量有限的全部原因是需要协商才能将 CA 证书发送给客户端。 这意味着客户端和 CA 之间没有通信（并且服务器仅与 CA 通信以偶尔替换其证书并且有时手动替换）。所以 ISP 无法阻止任何内容。
有一些例外/边缘情况 - 如果 ISP 可以将他们自己的 CA 证书注入 yourbcert 包中，那么他们可以对加密流量执行 MITM 攻击并以此方式阻止它。
这可能与主流大相径庭，但 ISP 可能会对您的通信进行 MITM 攻击，并查看您正在与哪些网站通信（即使通信是加密的，ISP 仍然可能根据 IP 地址或用于协商 https/TLS 会话的数据推断出通信方）。然后他们可以查找网站地址并将其屏蔽。这是他们需要不遗余力去做的事情 - 而基于 CA 的屏蔽听起来很愚蠢 - 因为在做出屏蔽决定时，他们已经在可以更精确、更轻松地进行屏蔽的工具上投入了大量资金。
另一种可能性是您的证书安装不正确/不理想，这可能会导致一些阻塞 - 例如不支持的密码、不同的 TLS 级别、中间 CA 问题、日期相关问题。不过这些都与 ISP 阻塞无关。