> А разница принципиальна - если оно в HSM то в левые руки уже не попадёт.

Нет никакой разницы. Вообще никакой. Потому что TrustWave не имел права отдавать сертификат, который можно использовать для подписи неопределенного количества доменов третьей стороне, после того, как сертификат приняли мозилловцы. Это политика Мозиллы. Получается они сначала мамой клялись Мозилле, что никому его не отдадут, затем продали налево, сказали, что это нормально, все так делают, зуб дают, что только в виде HSM, потом отозвали и пообещали так больше не делать.

Так вот, после того, как они его продали к ним нет никакого доверия. Очевидно лишь, что они будут творить, что им захочется, пока им за это ничего не будет.

> И тут резко встаёт вопрос о компетентности CA в принципе, и его хоронят.

С этого разговор и начался, что TrustWave - большая американская контора, с которой Гуглу связываться себе дороже (и это они учитывали, когда продавали сертификат на лево), а CNNIC можно чморить, как захочется. Что и сделано. Ну, еще TrustWave чуть лучше продумали возможные отмазки.