我在所有现代浏览器和计算机都信任的证书颁发机构中偶然发现了一个巨大的安全漏洞。
具体来说，我能够为我不拥有的域获得有效的签名证书。如果我有办法成为中间人，我将能够出示完全有效的 ssl 证书。
这个漏洞不需要我进行 SQL 注入或编码。我很形象地偶然发现了它。
报告此问题的正确方法是什么？我想保持道德并将其报告给违规的 CA，但我也不希望他们简单地修复漏洞，然后将所有内容都扫地出门。这个问题似乎已经存在了一段时间，而我根本不够聪明，无法成为唯一能够找到它的人。
我担心仅仅联系 CA 会导致他们的恐慌，他们担心会发生类似 DigiNotar 的事件，会做任何事情来阻止公众发现。
我是否还可以联系一些主要参与者，例如其他证书颁发机构或 CloudFlare 或 Google 等其他网站？（我知道 CloudFlare 在公开声明发布之前就已经收到了有关 HeartBleed 的提示。）
注意：我在一个假名帐户下发帖以（尝试）暂时保持匿名。
编辑：这个问题与另一个问题有关，但我觉得这个漏洞超出了该问题的范围。这可能会影响整个互联网（即在线的每个人都是客户），我的问题明确指出，简单地联系“开发人员”（链接问题的公认答案）对我来说似乎不是最好的第一步。
编辑 2：我与一些人取得了联系，他们建议我避免在这个论坛上进一步交谈（对不起，伙计们！）。在漏洞完全修复并撤销任何不正确的证书后，我将稍后更新此问题。
编辑3：细节已经出来。我已经在我的个人网站上发布了有关漏洞细节的更多信息。故事仍在进行中，您可以阅读Mozilla、Google 和 CA WoSign 之间的讨论。
编辑 4：正如所承诺的，我正在更新Ars Technica撰写的关于此事件和其他涉及 WoSign 事件的文章的链接。看起来 WoSign 和 StartCom（现在归同一家公司所有）可能面临根目录撤销的严重危险。