當(dāng)前位置:首頁(yè) >  IDC >  安全 >  正文

天下沒(méi)有“免費(fèi)的午餐”,申請(qǐng)SSL證書(shū)選擇CA很關(guān)鍵!

 2018-12-06 10:34  來(lái)源: 互聯(lián)網(wǎng)   我來(lái)投稿 撤稿糾錯(cuò)

  域名預(yù)訂/競(jìng)價(jià),好“米”不錯(cuò)過(guò)

如今,越來(lái)越多的網(wǎng)站開(kāi)始選擇申請(qǐng)SSL 證書(shū)對(duì)用戶(hù)隱私和數(shù)據(jù)安全加以保護(hù),而免費(fèi)SSL證書(shū)的出現(xiàn)則讓很多網(wǎng)站運(yùn)營(yíng)者偷著樂(lè)了一把。但這樣的“免費(fèi)午餐”是不是真的占到了便宜呢?

近年來(lái)隨著https加密的普及,在我們的潛意識(shí)中早已形成了這樣的認(rèn)知:https可以防止“釣魚(yú)”網(wǎng)站,網(wǎng)站有https標(biāo)識(shí)就表明已經(jīng)進(jìn)行了https加密,可以放心地訪問(wèn),甚至是輸入賬號(hào)密碼等敏感信息了。但看到下面這個(gè)例子,你就會(huì)明白“免費(fèi)午餐”不好吃也不能吃了。

上面這個(gè)Google鏈接看似很安全,也有https安全標(biāo)識(shí),但實(shí)際卻是一個(gè)假冒谷歌Play商店的釣魚(yú)網(wǎng)站。仔細(xì)觀察,你會(huì)發(fā)現(xiàn)網(wǎng)址中包含兩個(gè)“.com”,而谷歌Play商店的真實(shí)網(wǎng)址是https://play.google.com/store。為什么“釣魚(yú)”網(wǎng)站也能顯示https?

權(quán)威CA機(jī)構(gòu)天威誠(chéng)信技術(shù)負(fù)責(zé)人提到,SSL證書(shū)是由數(shù)字證書(shū)管理機(jī)構(gòu)(簡(jiǎn)稱(chēng)CA)簽發(fā)的,為了提升SSL證書(shū)的普及率和自身產(chǎn)品市場(chǎng)占有率,部分CA機(jī)構(gòu)也對(duì)外提供免費(fèi)的SSL證書(shū)。當(dāng)網(wǎng)站申請(qǐng)SSL證書(shū)時(shí),通常會(huì)要求網(wǎng)站提交身份資質(zhì)文件(如企業(yè)營(yíng)業(yè)執(zhí)照、組織機(jī)構(gòu)代碼證等),經(jīng)過(guò)CA人工審核通過(guò)并支付一定費(fèi)用后才可頒發(fā)。

而免費(fèi)SSL證書(shū)往往通過(guò)程序自動(dòng)匹配申請(qǐng)人或機(jī)構(gòu)信息和所申請(qǐng)的域名信息,只要匹配一致就能獲得證書(shū),不需要人工審核。這類(lèi)證書(shū)只能驗(yàn)證域名所有權(quán),無(wú)法對(duì)組織進(jìn)行驗(yàn)證,即無(wú)法驗(yàn)證服務(wù)器身份,因此留下了很大的安全漏洞和隱患。黑客只需驗(yàn)證域名信息就能輕松獲得證書(shū),從而為自己披上看似可信的外衣。而此時(shí)的https仍可起到加密傳輸?shù)淖饔茫畔鬏數(shù)哪康膮s由真實(shí)網(wǎng)站的服務(wù)器變成了黑客的“釣魚(yú)”服務(wù)器,信息加密也就如同皇帝的新衣,黑客抓取用戶(hù)敏感信息就變得探囊取物般輕而易舉。

除了黑客“釣魚(yú)”的風(fēng)險(xiǎn)外,免費(fèi)SSL證書(shū)在使用時(shí)還有諸多限制。比如:免費(fèi)證書(shū)只能綁定單個(gè)域名、不支持通配符域名等。同樣的,這類(lèi)“免費(fèi)的午餐”相關(guān)服務(wù)也會(huì)大打折扣,大多數(shù)免費(fèi)的SSL證書(shū)都由用戶(hù)自行安裝,無(wú)法提供后期服務(wù)和技術(shù)支持,在證書(shū)遇到問(wèn)題時(shí),也無(wú)法及時(shí)得到解決。另外,某些品牌的免費(fèi)SSL證書(shū)有效期過(guò)短,每三個(gè)月就要更新一次,到期后還要自己申請(qǐng),很多用戶(hù)很容易就會(huì)忘記續(xù)期。

在目前免費(fèi)證書(shū)身份驗(yàn)證機(jī)制還不完善的情況下,出于對(duì)用戶(hù)、網(wǎng)站自身安全的考量,管理員應(yīng)避免使用免費(fèi)SSL證書(shū),尤其是大型企業(yè)或機(jī)構(gòu)網(wǎng)站、涉及用戶(hù)隱私及金融交易的電商類(lèi)平臺(tái)更不能選擇“免費(fèi)的午餐”。比如網(wǎng)站安裝了Digicert/Symantec頒發(fā)的OV型SSL證書(shū),當(dāng)你點(diǎn)擊地址欄中的鎖型圖標(biāo)時(shí),顯示網(wǎng)站身份經(jīng)DigiCert認(rèn)證,說(shuō)明該網(wǎng)站證書(shū)、身份真實(shí)可靠。

總的來(lái)說(shuō),免費(fèi)SSL證書(shū)雖然申請(qǐng)流程簡(jiǎn)單,但僅支持加密功能,無(wú)法驗(yàn)證服務(wù)器身份,由此引發(fā)的潛在威脅較大,并不建議企業(yè)機(jī)構(gòu)采用。

在選購(gòu)付費(fèi)SSL證書(shū)時(shí),應(yīng)盡量選擇天威誠(chéng)信這類(lèi)權(quán)威的CA機(jī)構(gòu)。這些經(jīng)過(guò)國(guó)家認(rèn)可的CA機(jī)構(gòu),是負(fù)責(zé)發(fā)放和管理數(shù)字證書(shū)的權(quán)威機(jī)構(gòu),并作為電子商務(wù)交易中受信任的第三方,承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。而選擇免費(fèi)證書(shū)的用戶(hù),常常在對(duì)密鑰的保存和后續(xù)的維護(hù)、更新、賠償?shù)确?wù)中遭遇問(wèn)題。因此,選擇一個(gè)具有技術(shù)支持能力、擁有完善服務(wù)體系、具備良好市場(chǎng)信譽(yù)度和口碑的CA機(jī)構(gòu)就顯得尤為重要。需要強(qiáng)調(diào)的是,https網(wǎng)站的整體安全性依然遠(yuǎn)高于非https網(wǎng)站,而大型網(wǎng)站一定不要選擇“免費(fèi)”午餐,用戶(hù)在訪問(wèn)網(wǎng)站時(shí)也一定要仔細(xì)辨別SSL證書(shū),這樣才能更有效的保障隱私安全。

申請(qǐng)創(chuàng)業(yè)報(bào)道,分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處,共同探討創(chuàng)業(yè)新機(jī)遇!

相關(guān)標(biāo)簽
ssl證書(shū)
網(wǎng)站安全

相關(guān)文章

  • 高級(jí)SSL證書(shū)直降1000+ 安信證書(shū)帶你清涼一夏

    夏日炎炎,烈日高照,這個(gè)季節(jié)最需要的就是清涼!而安信證書(shū)夏季大放價(jià)活動(dòng),正是為了讓您以清涼的價(jià)格,使您的網(wǎng)站可以獲得更加專(zhuān)業(yè)的SSL保護(hù),更加輕松地應(yīng)對(duì)網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露。此次夏季活動(dòng)中,有大家比較熟悉的國(guó)際知名品牌GeoTrust、Sectigo等,還有DV、OV、EV等不同驗(yàn)證類(lèi)型的SSL證書(shū),

    標(biāo)簽:
    ssl證書(shū)
  • 為什么選擇OV SSL證書(shū)?OV SSL證書(shū)品牌推薦

    OVSSL證書(shū)中文全稱(chēng)為“組織驗(yàn)證型SSL證書(shū)”,該證書(shū)除需要驗(yàn)證網(wǎng)站域名外,還需對(duì)網(wǎng)站所屬企業(yè)進(jìn)行嚴(yán)格身份認(rèn)證審核。通過(guò)審核的企業(yè)單位才能簽發(fā)證書(shū),以此來(lái)保障網(wǎng)站真實(shí)性和合法性。

    標(biāo)簽:
    ssl證書(shū)
  • 嗨翻五一 限時(shí)優(yōu)惠 | 通配符SSL證書(shū)最高直降3000元

    春未盡,夏初臨,在季節(jié)流轉(zhuǎn)之間,五一小長(zhǎng)假即將如約而至。安信證書(shū)(https://www.anxinssl.com/)作為國(guó)內(nèi)領(lǐng)先的https解決方案服務(wù)商,為回饋廣大新老用戶(hù),為您的信息安全保駕護(hù)航,為大家?guī)?lái)了SSL數(shù)字證書(shū)專(zhuān)場(chǎng)活動(dòng)。精選爆款通配符SSL證書(shū),助您低成本實(shí)現(xiàn)網(wǎng)站安全合規(guī)!活動(dòng)詳情

    標(biāo)簽:
    ssl證書(shū)
  • 為什么需要定期更新SSL證書(shū)?

    SSL數(shù)字證書(shū)對(duì)網(wǎng)站運(yùn)行的安全性起到極大的保障,現(xiàn)如今大多數(shù)網(wǎng)站都會(huì)安裝部署,可以起到數(shù)據(jù)加密的作用。通常SSL證書(shū)的有效期為一年左右,有效期結(jié)束后網(wǎng)站的SSL證書(shū)就會(huì)失效。如果想要繼續(xù)保護(hù)網(wǎng)站,只能提前續(xù)費(fèi)或重新申請(qǐng)。那么,為什么需要定期更新SSL證書(shū)呢?RAKsmart為大家?guī)?lái)簡(jiǎn)單介紹:1、定

    標(biāo)簽:
    ssl證書(shū)
  • 失去SSL證書(shū)的保護(hù),將對(duì)網(wǎng)站安全造成哪些影響?

    在經(jīng)濟(jì)全球化、網(wǎng)絡(luò)化的時(shí)代,重要信息傳輸和產(chǎn)品買(mǎi)賣(mài)及服務(wù)都需要網(wǎng)絡(luò)的支撐,隨著網(wǎng)絡(luò)信息技術(shù)的深入發(fā)展,網(wǎng)絡(luò)安全逐步成為企業(yè)關(guān)注的焦點(diǎn)。但現(xiàn)實(shí)情況是,全球各地的網(wǎng)絡(luò)犯罪分子依然潛伏在各個(gè)角落,尋找時(shí)機(jī)入侵企業(yè)網(wǎng)站,竊取企業(yè)經(jīng)營(yíng)數(shù)據(jù)和用戶(hù)敏感信息。如果您的企業(yè)擁有網(wǎng)站尤其是具有交易功能的網(wǎng)站,則必須使用

    標(biāo)簽:
    ssl證書(shū)

熱門(mén)排行

信息推薦