當前位置:首頁 >  IDC >  安全 >  正文

天下沒有“免費的午餐”,申請SSL證書選擇CA很關(guān)鍵!

 2018-12-06 10:34  來源: 互聯(lián)網(wǎng)   我來投稿 撤稿糾錯

  域名預(yù)訂/競價,好“米”不錯過

如今,越來越多的網(wǎng)站開始選擇申請SSL 證書對用戶隱私和數(shù)據(jù)安全加以保護,而免費SSL證書的出現(xiàn)則讓很多網(wǎng)站運營者偷著樂了一把。但這樣的“免費午餐”是不是真的占到了便宜呢?

近年來隨著https加密的普及,在我們的潛意識中早已形成了這樣的認知:https可以防止“釣魚”網(wǎng)站,網(wǎng)站有https標識就表明已經(jīng)進行了https加密,可以放心地訪問,甚至是輸入賬號密碼等敏感信息了。但看到下面這個例子,你就會明白“免費午餐”不好吃也不能吃了。

上面這個Google鏈接看似很安全,也有https安全標識,但實際卻是一個假冒谷歌Play商店的釣魚網(wǎng)站。仔細觀察,你會發(fā)現(xiàn)網(wǎng)址中包含兩個“.com”,而谷歌Play商店的真實網(wǎng)址是https://play.google.com/store。為什么“釣魚”網(wǎng)站也能顯示https?

權(quán)威CA機構(gòu)天威誠信技術(shù)負責人提到,SSL證書是由數(shù)字證書管理機構(gòu)(簡稱CA)簽發(fā)的,為了提升SSL證書的普及率和自身產(chǎn)品市場占有率,部分CA機構(gòu)也對外提供免費的SSL證書。當網(wǎng)站申請SSL證書時,通常會要求網(wǎng)站提交身份資質(zhì)文件(如企業(yè)營業(yè)執(zhí)照、組織機構(gòu)代碼證等),經(jīng)過CA人工審核通過并支付一定費用后才可頒發(fā)。

而免費SSL證書往往通過程序自動匹配申請人或機構(gòu)信息和所申請的域名信息,只要匹配一致就能獲得證書,不需要人工審核。這類證書只能驗證域名所有權(quán),無法對組織進行驗證,即無法驗證服務(wù)器身份,因此留下了很大的安全漏洞和隱患。黑客只需驗證域名信息就能輕松獲得證書,從而為自己披上看似可信的外衣。而此時的https仍可起到加密傳輸?shù)淖饔?,但信息傳輸?shù)哪康膮s由真實網(wǎng)站的服務(wù)器變成了黑客的“釣魚”服務(wù)器,信息加密也就如同皇帝的新衣,黑客抓取用戶敏感信息就變得探囊取物般輕而易舉。

除了黑客“釣魚”的風險外,免費SSL證書在使用時還有諸多限制。比如:免費證書只能綁定單個域名、不支持通配符域名等。同樣的,這類“免費的午餐”相關(guān)服務(wù)也會大打折扣,大多數(shù)免費的SSL證書都由用戶自行安裝,無法提供后期服務(wù)和技術(shù)支持,在證書遇到問題時,也無法及時得到解決。另外,某些品牌的免費SSL證書有效期過短,每三個月就要更新一次,到期后還要自己申請,很多用戶很容易就會忘記續(xù)期。

在目前免費證書身份驗證機制還不完善的情況下,出于對用戶、網(wǎng)站自身安全的考量,管理員應(yīng)避免使用免費SSL證書,尤其是大型企業(yè)或機構(gòu)網(wǎng)站、涉及用戶隱私及金融交易的電商類平臺更不能選擇“免費的午餐”。比如網(wǎng)站安裝了Digicert/Symantec頒發(fā)的OV型SSL證書,當你點擊地址欄中的鎖型圖標時,顯示網(wǎng)站身份經(jīng)DigiCert認證,說明該網(wǎng)站證書、身份真實可靠。

總的來說,免費SSL證書雖然申請流程簡單,但僅支持加密功能,無法驗證服務(wù)器身份,由此引發(fā)的潛在威脅較大,并不建議企業(yè)機構(gòu)采用。

在選購付費SSL證書時,應(yīng)盡量選擇天威誠信這類權(quán)威的CA機構(gòu)。這些經(jīng)過國家認可的CA機構(gòu),是負責發(fā)放和管理數(shù)字證書的權(quán)威機構(gòu),并作為電子商務(wù)交易中受信任的第三方,承擔公鑰體系中公鑰的合法性檢驗的責任。而選擇免費證書的用戶,常常在對密鑰的保存和后續(xù)的維護、更新、賠償?shù)确?wù)中遭遇問題。因此,選擇一個具有技術(shù)支持能力、擁有完善服務(wù)體系、具備良好市場信譽度和口碑的CA機構(gòu)就顯得尤為重要。需要強調(diào)的是,https網(wǎng)站的整體安全性依然遠高于非https網(wǎng)站,而大型網(wǎng)站一定不要選擇“免費”午餐,用戶在訪問網(wǎng)站時也一定要仔細辨別SSL證書,這樣才能更有效的保障隱私安全。

申請創(chuàng)業(yè)報道,分享創(chuàng)業(yè)好點子。點擊此處,共同探討創(chuàng)業(yè)新機遇!

相關(guān)標簽
ssl證書
網(wǎng)站安全

相關(guān)文章

  • 高級SSL證書直降1000+ 安信證書帶你清涼一夏

    夏日炎炎,烈日高照,這個季節(jié)最需要的就是清涼!而安信證書夏季大放價活動,正是為了讓您以清涼的價格,使您的網(wǎng)站可以獲得更加專業(yè)的SSL保護,更加輕松地應(yīng)對網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露。此次夏季活動中,有大家比較熟悉的國際知名品牌GeoTrust、Sectigo等,還有DV、OV、EV等不同驗證類型的SSL證書,

    標簽:
    ssl證書
  • 為什么選擇OV SSL證書?OV SSL證書品牌推薦

    OVSSL證書中文全稱為“組織驗證型SSL證書”,該證書除需要驗證網(wǎng)站域名外,還需對網(wǎng)站所屬企業(yè)進行嚴格身份認證審核。通過審核的企業(yè)單位才能簽發(fā)證書,以此來保障網(wǎng)站真實性和合法性。

    標簽:
    ssl證書
  • 嗨翻五一 限時優(yōu)惠 | 通配符SSL證書最高直降3000元

    春未盡,夏初臨,在季節(jié)流轉(zhuǎn)之間,五一小長假即將如約而至。安信證書(https://www.anxinssl.com/)作為國內(nèi)領(lǐng)先的https解決方案服務(wù)商,為回饋廣大新老用戶,為您的信息安全保駕護航,為大家?guī)砹薙SL數(shù)字證書專場活動。精選爆款通配符SSL證書,助您低成本實現(xiàn)網(wǎng)站安全合規(guī)!活動詳情

    標簽:
    ssl證書
  • 為什么需要定期更新SSL證書?

    SSL數(shù)字證書對網(wǎng)站運行的安全性起到極大的保障,現(xiàn)如今大多數(shù)網(wǎng)站都會安裝部署,可以起到數(shù)據(jù)加密的作用。通常SSL證書的有效期為一年左右,有效期結(jié)束后網(wǎng)站的SSL證書就會失效。如果想要繼續(xù)保護網(wǎng)站,只能提前續(xù)費或重新申請。那么,為什么需要定期更新SSL證書呢?RAKsmart為大家?guī)砗唵谓榻B:1、定

    標簽:
    ssl證書
  • 失去SSL證書的保護,將對網(wǎng)站安全造成哪些影響?

    在經(jīng)濟全球化、網(wǎng)絡(luò)化的時代,重要信息傳輸和產(chǎn)品買賣及服務(wù)都需要網(wǎng)絡(luò)的支撐,隨著網(wǎng)絡(luò)信息技術(shù)的深入發(fā)展,網(wǎng)絡(luò)安全逐步成為企業(yè)關(guān)注的焦點。但現(xiàn)實情況是,全球各地的網(wǎng)絡(luò)犯罪分子依然潛伏在各個角落,尋找時機入侵企業(yè)網(wǎng)站,竊取企業(yè)經(jīng)營數(shù)據(jù)和用戶敏感信息。如果您的企業(yè)擁有網(wǎng)站尤其是具有交易功能的網(wǎng)站,則必須使用

    標簽:
    ssl證書

熱門排行

信息推薦