作者： mzwame

分类
知识中心

金融网站 安全先行

金融网站客户争夺战硝烟渐起

 

    一台电脑和一根网线，你就能随时掌控自己的资金流向。“网上炒股”、“网上外汇买卖”等新兴的交易方式已成为众多金融机构争夺客户的重点。各大银行、证券公司、基金机构都开通并不断完善自己的网络交易平台，推出各种费率优惠措施聚拢人气，而各交易平台24小时实时操作，汇集众多的实用功能更进一步吸引了网民的视线。根据08年1月中国互联网络信息中心发布的报告显示：网上炒股票、基金比例与中国股票和基金市场的变化大体一致，节节攀升，网民中进行网上炒股票、基金的比例为18.2%，比2007年6月提高了4.1个百分点，达到3,822万人次，比2007年6月多出了1,538万人次，仅在2007年第三季度，金融厂商服务访问次数就超过9亿人次。为了能沾上全民理财的顺风车，就连一些电子邮箱也推出了个性化理财信息。面对空前的热情，我们金融站点真的准备好了吗？2006年到2007年，CNCERT/CC的统计网络仿冒时间数量由563件增加到1326件，增长率近1.4倍，而其中矛头直指金融网站。

 

留住客户从安全意识培养开始

 

    为了对抗钓鱼网站频发，最有效的途径便是让网民能通过简单的方法辨识真实网站，而不仅仅只是通过网页的外观或域名地址判断网站的真实性。对于一个友好的安全网站来说，采用SSL数字证书技术为客户网上传递的信息进行保护是最基本的防护手段，而拥有了一张数字证书，对于网站来说就相当于拥有一张“身份证明”。全球最值得信任的网络基础架构供应商—威瑞信(VeriSign)在全球范围内为超过1百万台服务器提供安全认证服务，要拥有“身份证明”公司可以购买并在网站上展示“安全站点签章（VeriSign Secured®  Seal）”，该标志可以有效地防止钓鱼网站仿造，客户借此便可判断网站真实身份，确认自己身处一个安全的交易环境之中。目前VeriSign安全站点签章每天正接受着消费者超过1.5亿人次的浏览，但相对国外成熟完善的市场，国内的SSL证书部署数量和站点签章标志部署数量，以及签章标志的认知度还与国际上有较大差距。不过值得注意的是，国内不少网上银行、基金公司已经在自己的网站上开辟了网页来介绍网站所采用防钓鱼安全技术，帮助客户了解数字证书并减少登录钓鱼站点的机率。据VeriSign在国内SSL数字证书业务的首要合作伙伴天威诚信数字认证中心介绍，目前已经可以为国内客户提供最新的EVSSL证书，该技术不但可以提供传统SSL技术，最为重要的是IE7.0、FireFox3.0等浏览器通过与EVSSL配合可以通过浏览器地址栏颜色的变化帮助客户辨认网站的真实性，这将显著增强网站抵抗钓鱼网站的能力。据了解，目前网民在登录中国工商银行、招商银行、中信银行的网上银行系统时已经可以看到绿色地址栏，网民已可以进入 EVSSL保护的安全加密通道。

 

安全从加密强度开始

 

    目前绝大多数的金融站点或多或少的均采用了部分SSL证书加密技术提升网站的安全防护，但从安全角度来看却又不尽相同。由于金融站点传递的信息直接涉及企业或个人的财务安全，金融网站的安全问题是其生存和发展的生命线。作为专业的第三方数字认证服务机构，天威诚信目前可以提供从40位直到256位加密技术的SSL数字证书服务, 不同类型的网站可以选择适当安全加密级别。但对于金融站点天威诚信则希望客户选择更为高端的技术，因为低强度的加密技术不但不能有效保护网站的安全，更给客户信息安全带来了很大的潜在风险。为了更好的说明这点，这里举个简单的实例，1997年一名学生针对40位加密强度以暴力方式破解，耗时4小时，而目前凭借最高端的计算终端和计算能力这一过程被缩短到了几分钟，而同样的破解方法用在128位加密强度上，则要耗费一万亿年以上。

分类
知识中心

数字证书八种应用模式

1、    信息安全传输

 

在各类应用系统中，无论是哪类网络，其网络协议均具有标准、开放、公开的特征，各类信息在标准协议下均为明文传输，泄密隐患很严重。因此，重要敏感数据、隐私数据等信息的远程传输需要通过可靠的通信渠道，采取加密方式，达到保守机密的目的。

 

同时，由于各应用信息在网上交互传输过程中，不仅仅面临数据丢失、数据重复或数据传送的自身错误，而且会遭遇信息攻击或欺诈行为，导致最终信息收发的差异性。因此，在信息传输过程中，还需要确保发送和接收的信息内容的一致性，保证信息接收结果的完整性。

 

    应用数字证书技术保护信息传输的安全性，通常采用数字信封技术完成。通过数字信封技术，信息发送者可以指定信息接收者，并且在信息传输的过程保持机密性和完整性。

 

2、安全电子邮件

 

电子邮件是网络中最常见的应用之一。普通电子邮件基于明文协议，没有认证措施，因此非常容易被伪造，并被泄密内容。对于重要电子邮件，应具有高安全保护措施，因此基于数字证书技术来实现安全邮件在实际中具有巨大需求。

 

    应用数字证书技术提供电子邮件的安全保护，通常采用数字签名和数字信封技术。数字签名保证邮件不会被伪造，具有发信人数字签名的邮件是可信的，并且发信人的行为不可抵赖。数字信封技术可以保证只有发信人指定的接收者才能阅读邮件信息，保证邮件的机密性。

 

3、安全终端保护

 

随着计算机在电子政务、电子商务中的广泛使用，保护用户终端及其数据越来越重要。为了保证终端上敏感的信息免遭泄露、窃取、更改或破坏，一方面可基于数字证书技术实现系统登录，另一方面对重要信息进行动态加密，保护计算机系统及重要文件不被非法窃取、非法浏览。

 

    在电子政务、电子商务中应用数字证书技术实现安全登录和信息加密，采用了数字证书的身份认证功能和数字信封功能。应用系统通过对用户数字证书的验证，可以拒绝非授权用户的访问，保证授权用户的安全使用。用户通过使用数字信封技术，对存放在业务终端上的敏感信息加密保存，保证只有具有指定证书的用户才能访问数据，保证信息的机密性和完整性。

 

4、可信电子印迹

 

“电子印迹”是指电子形式的图章印记和手写笔迹。

 

在政府机关信息化建设中，电子公文受到广泛使用。通过电子公文来实现单位内部及单位之间流转传达各种文件，实现无纸化的公文传递、发布，可以有效提高行政办公效率。在电子商务应用中，电子合同等电子文书同样受到广泛使用。为更好体现这些电子文档作为正式公文的权威性和严肃性，它们常常需要“加盖”电子形式的图章印记或显现电子形式的手写签名笔迹，从形式上符合传统习惯。当接受方对电子文件进行阅读和审批时，就需要确认电子文件以及上面的公章图片的真实性、可靠性，防止电子印迹被冒用，造成严重事故。

 

    应用数字证书可以提供可信电子印迹，通常是采用数字签名技术完成的。通过数字签名，可以将签名人的身份信息不可抵赖地集成在电子印迹中，从而保证了电子印迹的权威性和可靠性。

 

5、可信网站服务

 

    网站服务假冒是互联网上常见的攻击行为，恶意假冒网站服务所带来的威胁非常严重，不仅会造成网络欺诈，带来纠纷，还会导致虚假信息发布，影响网站信誉，产生恶劣的后果。

应用数字证书技术可以提供可信网站服务，采用数字证书的身份认证功能，网站用户可以通过对网站的数字证书进行验证，从而避免遭受假冒网站服务的欺骗。

 

6、代码签名保护

 

    网络因其便利而推广，也因其便利带来一些不利的影响。电子政务、电子商务的用户通过使用网络共享软件方便工作，网站通过控件等技术手段为用户带来便捷，但这些软件、控件等的安全性如何保障？软件的提供商是软件的责任单位，但是网络中可能存在的仿冒行为为软件的使用带来安全隐患。

    数字证书的一项重要应用就是代码签名，通过使用数字签名技术，软件的使用者可以验证供应者的身份，防止仿冒软件带来的安全风险。

 

7、授权身份管理

 

    授权管理系统是信息安全系统中重要的基础设施，它向应用系统提供对实体（用户、程序等）的授权服务管理，提供实体身份到应用权限的映射，提供与实际应用处理模式相应的、与具体应用系统开发和管理无关的授权和访问控制机制，简化具体应用系统的开发与维护。

    授权管理的基础是身份鉴别，只有通过数字证书技术，有效地完成对系统用户的身份鉴别后才能正确授权，达到安全保护的最终目的。数字证书技术是授权管理系统的基础，授权管理系统的身份管理依赖于数字证书的身份认证技术。

 

8.行为责任认定

 

    在各个业务系统中的行为，需要通过身份确认、行为审计等手段，在发生意外事故、甚至是蓄意破坏时能够有效的明确责任所在。

    通过使用数字证书的身份认证和数字签名技术，可以在日常操作时正确有效地认证执行者的身份，并在业务系统中使用数字签名对行为日志等签名保存，以供取证时使用。通过使用数字证书相关技术，各项业务操作的行为审计和责任认定可以得到有效保障。

分类
知识中心

SSL协议简介

   SSL(SecuresocketLayer)安全套接层协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用WebServer方式。

 

    安全套接层协议（SSL，SecuritySocketLayer）是网景（Netscape）公司提出的基于WEB应用的安全协议，它包括：服务器认证、客户认证（可选）、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。但由于SSL不对应用层的消息进行数字签名，因此不能提供交易的不可否认性，这是SSL在电子商务中使用的最大不足。有鉴于此，网景公司在从Communicator4.04版开始的所有浏览器中引入了一种被称作”表单签名（FormSigning）”的功能，在电子商务中，可利用这一功能来对包含购买者的订购信息和付款指令的表单进行数字签名，从而保证交易信息的不可否认性。综上所述，在电子商务中采用单一的SSL协议来保证交易的安全是不够的，但采用”SSL+表单签名”模式能够为电子商务提供较好的安全性保证。

分类
知识中心

EVSSL证书铸造网络信任防火墙

   在中国互联网信息中心7月份公布的《第22次中国互联网发展状况报告》结果显示，中国网民已经增长到2.53亿，成为世界第一，大家开始依赖网络生活，但是对网上交易安全性却极度缺乏信任，甚至给出了不及格的评价。难道网上银行、网络交易真的处处陷阱，步步惊心吗？

 

    面对这种局面，金融站点、购物网站并未坐以待毙，都在积极采取应对措施，如何重新获得网民的信任，并将这种信任加以巩固？全新扩展验证EV SSL证书的登台献艺，为正处在信任危机中的国内网站带来新的契机。金融机构的各大网上银行，目前正陆续开始换装新一代扩展验证EV SSL证书，用户在登录有扩展验证EV SSL证书保护的银行网站时，网站地址栏将变成绿色，真假网站一目了然。

 

安全防范源于严格

 

一张我们既看不到也摸不到的所谓“证书”就真能保障消费者利益？

 

服务器证书是通过在客户端浏览器与Web服务器之间建立一条SSL安全通道从而保证双方信息在网络上传输的安全性，用户可以通过查看服务器证书属性信息便可得知所访问站点的真实与否。新一代扩展验证EV SSL证书的产生更是为了杜绝在全球方位内频频发生的在线欺诈泛滥问题。它是全球著名的数字证书颁发机构（如：VeriSign、GeoTrust、Thawte等等）联合主流浏览器开发商一起构建起的安全防护网络。

 

    所谓“扩展验证EV SSL证书”，是遵循全球统一的严格身份验证标准颁发的SSL证书，用来保护用户不与没有经过严格身份验证的网上商户进行在线交易。所有颁发扩展验证EV SSL证书的数字证书颁发机构必须按照统一标准来对申请者进行严格的身份审核，而浏览器能自动识别出扩展验证EV SSL证书，使得地址栏主动变成绿色。这样以来在线消费者便可安心交易，因为消费者能非常清楚地知道他们正在与谁交易，并且他们的交易数据正在安全加密通道的保卫之下。扩展验证EV SSL证书通过在业务层面上对申请机构的严格审核，尽可能地规避了由于审核标准不同而产生服务器证书拥有者身份不真实所带来的安全隐患。

一纸应运，效益显见

 

扩展验证EV SSL证书的广泛应运，在全球范围内都得到了使用者的赞誉。全球最值得信任的网络基础架构供应商—威瑞信(VeriSign)在扩展验证EV SSL证书推出之后，曾做过一个关于扩展验证EV SSL证书的调查，结果显示：相比由常规服务器证书保护的站点，93%的互联网用户更青睐绿色标记的EVSSL站点；同时97%的购物者看见绿色标志时会使用信用卡，而没有看见绿色标志时，这一意愿下降到63%。同时国外著名的购物网站在使用扩展验证EV SSL证书后交易量也有显著变化：Overstock..com使用EVSSL后，购物车定单放弃率降低了8.6%;Paypal在使用扩展验证EV SSL证书后，“购物车定单放弃率也降低了几个百分点”； Virtual Sheet Music 网站在使用扩展验证EV SSL证书交易量则增长13%。由于扩展验证EV SSL证书更具识别性，它正开始让交易变得更加便捷可信。

 

    天威诚信作为国内技术力量强大的第三方CA机构，同时也是威瑞信（VeriSign）在中国的首要合作伙伴，一直在积极推进扩展验证EV SSL证书的广泛使用。为了让更多客户能够了解扩展验证EV SSL证书，保障电子商务在中国的健康发展。7月天威诚信与威瑞信在上海隆重举办了华东地区扩展验证EV SSL证书高端用户答谢会，面对面地为大家讲解和展示了扩展验证EV SSL证书的功能和相关技术，双方相信构建一个规范运营，诚实守信的网络商圈，需要各方积极参与，商家、网民、第三方数字认证机构需要同心协力，扩展验证EV SSL证书才能在国内发挥更佳的作用。

分类
知识中心

SGC技术简介

    SGC技术(Server Gated Cryptography)是在现有的SSL证书标准基础上增加的一种增强密钥用法(EKU)，主要是考虑到2000年以前美国政府对高强度加密算法(128位)出口限制的因素而推出的，由于出口管制的原因，2001年以前推出的浏览器版本(如：IE 5)和服务器版本(Windows 2000 server)都只支持56位或40位加密算法，但由于电脑硬件技术和CPU处理速度的快速提高，使得破解40位加密算法只需几秒钟，而破解56位加密算法也只需几天时间。为了加强美国以外的国家的电子商务和网上银行的安全，SSL证书业界就在SSL证书标准基础上增加的支持强制实现128位加密的增强密钥用法(EKU)，也就是说：即使受出口限制的40位或56位浏览器或服务器，只要使用支持SGC技术的SSL证书，就能不受限制的实现128位加密。这种强制实现128位高强度加密技术简称为SGC技术。

分类
知识中心

扩展验证EV SSL证书之诞生篇

扩展验证EV SSL证书是如何诞生的？

 

Extended Validation SSL Certificate, 简称为：扩展验证EV SSL证书，意思是：遵循全球统一的严格身份验证标准颁发的 SSL 证书，扩展验证EV SSL证书的诞生是为了对付日益猖獗的网上欺诈犯罪，意在恢复并增强人们对网上在线交易的信心。

 

Forrester Research 在 2005 年做了一项调查，有 84% 的受访者认为网上购物服务提供商没有做好保护消费者的在线交易安全工作，而 24% 的受访者称由于担心不安全而不会在网上购物。而目前还没有一个有效的防止网上欺诈的安全手段，只能提醒用户注意查看正在访问的网站的域名是否确实是某某银 行的网址，这是远远不够的。特别是针对中国普通网民，有多少人能记住中国银行的网址是： bank-of-china.com 而不是 bank-off-china.com ，招商银行网址是 cmbchina.com 而不是 cmb-china.com 等等。特别是值得信任的安全锁也变得谁都可以申请到而只需要简单的验证域名所有权，这给了在线诈骗分子有了一个可乘之机，因为普通消费者是不能识别没有严格身份验证的 SSL 证书 ( 超快 SSL) 和已经严格身份验证的 SSL 证书 ( 超真 SSL) 有什么不同，因为都会在浏览器上显示一个安全锁标志。

 

    为了解决出现的在线欺诈泛滥问题，全球著名的数字证书颁发机构(如：Comodo、VeriSign、GeoTrust、 Thawte等等)联合主流浏览器开发商(如：微软、 Mozilla 、 Opera 和 KDE 等)创立了数字证书和浏览器论坛 ( www.cabforum.org ) ，拟在开发一个解决方案来解决网上信任危机和有效地防止在线欺诈犯罪。扩展验证EV SSL证书就是第一个开发成果来保护用户不与没有经过严格身份验证的网上商户从事在线交易，所有颁发扩展验证EV SSL证书的数字证书颁发机构必须按照统一标准来对申请者进行严格的身份验证，而浏览器能识别出扩展验证EV SSL证书而使得地址栏变成绿色，这样，在线消费者就能非常清楚地知道他们/她们正在与谁做生意。

 

扩展验证EV SSL证书 – 帮您提升客户的信任度

 

    SSL证书是 PKI 公钥基础设施中的最常用的数字证书，是构建安全的电子商务的基石。 SSL证书提供了三种安全服务 — 机密性、完整性和身份验证，确保用户能：

 

(1) 安全地与网站服务器进行通信，所有在线输入和查阅的信息都不会在传输过程中被非法窃取(机密性)；

(2) 确保机密信息不会被非法篡改(完整性) ；

(3) 确保用户确实是在访问一个所要访问的网站，而不是一个假冒网站(身份验证)

 

而第 (3) 点最能理解为何需要扩展验证EV SSL证书。对于一个只验证域名的 SSL 证书，没有任何保证 www.ABCcompany.com 就是 ABC Company 申请的 SSL 证书，用户也无法查验。同时，用户也无法识别到底 www.ABC-company.com 还是 www.ABC-company.com 是他 / 她要访问和交易的正宗网站。也就是说，没有通过身份验证的网站，就给了网上钓鱼欺诈者一个机会可以用一个相象的域名来欺骗那些没有防范意识的用户以为是在 与他 / 她希望从事网上交易的公司进行在线交易，从而骗取用户的钱财。而对于中国普通老百姓由于不懂英文或无法记住复杂的英文域名，就更容易上当受骗了。但是，如 果通过严格身份认证的网站在访问时地址栏显示绿色，那就简单多了，中国老百姓就非常容易识别了，只要记住是否显示绿色就可以了。

 

    申请扩展验证EV SSL证书，申请单位必须经过非常严格的身份验证，而此严格的身份验证流程是由 CA/Browser 论坛制订的增强型身份验证标准(还未最终定稿) ，所有颁发扩展验证EV SSL证书的证书颁发机构必须严格按照此标准来颁发扩展验证EV SSL证书。除了要验证域名所有权外，还包括：申请单位授权其员工办理申请证书手续的授权书、验证申请单位是在当地政府合法注册的、营业执照是有效的(已经年检 的)和是有固定办公场所的等等。

 

分类
网络新闻

央行公布支付牌照二批名单

昨日，央行公布第二批获支付牌照的13家企业名单。算上今年5月18日首批拿到牌照的27家企业，至此已有共计40家企业获牌。但备受业界关注的三大运营商的支付公司却不在此次获牌范围内。

　　13家企业中7家为预付卡企业

　　获牌的13家企业包括：上海银联、杭州银通、联动优势、成都摩宝、捷付睿通、证联融通、上海得仕、山东鲁商一卡通、中付通、上海畅购、四川商通、南京市市民卡有限公司，以及上海富友。其中7家为预付卡企业。

　　其中上海银联、杭州银通数码、联动优势、成都摩宝网络、捷付睿通获得互联网支付和移动电话支付业务许可。

　　证联融通电子有限公司获得了单独的互联网支付业务许可。上海得仕、山东鲁商一卡通、中付通信息、上海畅购、四川商通、南京市市民卡、上海富友金融获得的是部分省市的预付卡发行与受理业务许可。

　　牌照总共或发200张左右

　　备受业界关注的三大运营商的支付公司不在此次获牌范围内。易观国际分析师张萌预计，一方面由于此次申请企业数量较大，央行审批时间较紧，另一方通过公示的企业中大量的预付费卡企业如不能获牌，后续的退出机制也有待明确。所以易观预计，关于9月1日的最后期限有望进行调整，稍后或将陆续发布后续牌照以及对未获牌支付企业退出等问题发布相关规定。

　　中国支付体系研究中心主任张宽海表示，预计中国第三方支付公司的牌照总共会发200张左右。

　　第三方支付交易或将高增长

　　易观智库的监测数据报告显示，第二季度第三方互联网在线支付市场交易规模达到4609亿元，环比增长16％，同比增长95.3％。与第一季度相比，一方面二季度电子商务类交易有较大幅度的回升；另一方面二季度首批27家支付牌照发放，增强了获牌支付企业发展的信心，也提升了众多传统行业和金融类企业对第三方支付企业的信任度，所以本季度第三方支付企业在面向企业类的支付交易规模也大幅增加，如保险、教育、基金、物流等行业。

　　预计第三季度受季节和支付牌照发放的影响，整个第三方支付行业的交易规模将继续保持高速增长。

分类
知识中心

VeriSign Trust Seal站点签章介绍

全球最可信赖的站点签章标示

VeriSign 信任签章已在 165 个国家和地区中超过 100,000 个网站上部署，一天显示次数多达 6亿5千万次。同时VeriSign信任签章也显示在已启用相关功能的浏览器的搜寻结果中、以及合作伙伴的购物网站和产品评论网页上。VeriSign签章无疑是互联网上的头号信任标志。

每日恶意软件扫描，拒绝恶意代码感染

所有 VeriSign 签章可通过VeriSign证书的注册管理员对网站日常的恶意软件扫描进行管理，让网站和网站访问者远离网站恶意代码感染，在网站和用户之间进一步建立信任。

Seal-in-Search：搜索引擎中的可信签章

VeriSign签章客户还可以通过VeriSign Seal-in-Search受益。通过 VeriSign Seal-in-Search，相关的搜索引擎、合作伙伴和安全工具都会在搜索结果中的网站链接旁边显示VeriSign Trust Seal（需安装AVG Plug-in浏览器控件程序）。VeriSign Seal-in-Search 为 VeriSign 客户带来即时竞争优势，方便网民从搜索结果中快速甄别拥有信任指标的VeriSign认证网站。

VeriSign Trust Seal 优势

VeriSign Trust Seal站点签章介绍-1部署VeriSign信任签章（VeriSign Trust Seal）可通过网络向全世界展示您经VeriSign确认的真实网络身份，且通过签章信息证实您的站点已经通过VeriSign恶意程序扫描，有效避免网站恶意程序对访问者造成的损害，对站点造成的负面影响。更向客户展示网站页面不包含恶意代码，且使用 VeriSign 的安全套接层 （VeriSign SSL证书）保障数据传输安全。

现在，任何网站都可以申请使用VeriSign信任签章建立在线信任度、可靠性与忠诚度。通过显示 VeriSign信任签章来提升访客信心。向客户展示您的网站受到全球数字认证领导者VeriSign的信任，因而可以放心浏览、购买产品及分享文章，促进线上阅读、销售及客户忠诚度。

功能看点
VeriSign Trust Seal站点签章介绍-2 页面显示全球第一品牌的信任标志：VeriSign Trust Seal，可向您的网站访客显示您已受到全球数字认证领导者VeriSign的信任，让访客能够放心购买、点击以及登录。
VeriSign Trust Seal站点签章介绍-2 您的身份信息已由VeriSign 验证且通过了严格的鉴证程序检验。通过点击签章图标，您可以向客户展示经由VeriSign验证的网站合法拥有者身份信息。
VeriSign Trust Seal站点签章介绍-4 保护访客及您的网站免受恶意软件的侵害。网站恶意软件扫描会每日检查您的网站页面，防止网站被植入恶意代码，避免网站被列入搜索引擎黑名单而降低网站访问量。
VeriSign Trust Seal站点签章介绍-3 为了让您的网站在搜寻结果中脱颖而出，VeriSign搜索结果签章可在搜索链接旁显示，帮助您的网站获得更多点击，增加网站阅读量。

 

推荐使用者

任何网站都可以通过显示VeriSign信任签章（VeriSign Trust Seal）建立网上信任度、可靠性及忠实度。

  • 电子商务网站：如果您的网站不处理在线交易或您的购物车或付款服务由第三方提供商提供，那么选购VeriSign信任签章（VeriSign Trust Seal）是最佳选择，您可以展示该标志让您的客户放心在线购买。
  • 线上出版商（发行商）：阅读量与点击率是您成功的关键。通过在搜寻结果中脱颖而出，可以增加点击率，通过VeriSign信任签章建立可信度能够增加阅读量。
  • 小型企业拥有者：您已经在附近区域建立起商业信誉。VeriSign信任签章可帮助您将同等级的信任带到互联网上。
  • 售卖、登记机密资料的网站：如果您通过网站搜集或共用个人信息，则需要使用 VeriSign SSL 证书确保信息处于安全加密保护中。

安装配置

VeriSign信任签章（VeriSign Trust Seal）就像将图片加入到网页中一样容易。在您申请VeriSign信任签章后，VeriSign会验证您的签章所部署的域名，并扫描您的网站。当您的签章准备完毕后，就会收到电子邮件通知。

进入Trust Seal签章代码获取页面：http://www.verisign.com/trust-seal/trust-seal-visibility/agreement/index.html

在签章代码获取页面，您可以对签章语言、签章大小、签章启用图片或动画等细节进行定制。

在获取的代码中，只需要将 script 部分的代码放入 Web页面中需要显示签章的位置，即可在页面中显示签章信息。

当访客访问您的网站时，点击VeriSign信任签章，他们就可以看到您提供给VeriSign且经过验证后完全可靠的信息，包括网站所有者的名称、城市、州/省、国家或地区，以及最近恶意软件扫描的情况。

分类
知识中心

提升SSL安全性的十个技巧

你的SSL服务器上是否存在错误配置或已知漏洞这样的安全隐患呢？根据以下10个技巧，可以帮你避免这些常见的SSL安全威胁。

1.禁用SSLv2。早在15年前，这个版本的SSL协议早就被确认存在安全问题了，但还是有很多Web服务器仍然支持这个协议。

禁用它只需几分钟的时间。例如，在Apache v2中，你只需要改变默认设置：

SSLProtocol all  
to  
SSLProtocol all -SSLv2 
2.禁止支持弱加密。几乎所有Web服务器都支持128位强度或者256位高强度的加密算法，但也有少部分的Web服务器支持弱加密。弱加密会被黑客利用，威胁企业信息安全。所以，没有理由去支持弱加密服务。同样，在几分钟之内就可以禁用掉这个服务，例如：

SSLCipherSuite RSA:!EXP:!NULL:+HIGH:+MEDIUM:-LOW 
3.确保你的服务器没有支持不靠谱的重新握手和协商过程。SSL和TLS身份认证的漏洞容易遭到中间人攻击的利用，进而导致任何内容都可以重定义并注入到加密的数据流当中。大部分厂商都发布了此漏洞的补丁，若你还没有打这个补丁，最好还是先禁用这个重定义服务吧。

4.确保通过SSL认证的所有阶段。关键是要保护你的用户证书，也就是说用户通过SSL连接提交给你登录表单，同时，你要保护他们的证书安全。否则，黑客会通过他们自己的服务器来拦截你的信息并转发一个恶意信息给用户，以便窃取到用户们的授权证书。

5.在你的网页上不要把SSl保护的内容和明文内容混在一块。混合使用加密认证会导致你的网站受到攻击，因为像Javascipt这种单个未受保护的资源容易被注入恶意代码或者是受到中间人攻击。

6.使用HSTS加密保护你的域（包括子域）。用HSTS协议来保护你的网站，在你首次访问网站中的任何连接时，可以将HTTP自动转换成HTTPS。与此同时，若用户持非法私有证书，是不能再次浏览该网站的。这就意味着，黑客将不能你的用户转移到那些他们所操控的具有不安全SSL连接以及危险cookies信息的钓鱼网站了。

STS协议头必须保证只通过HTTPS发送，并且配置应该尽可能地清晰简单。其配置只需要简单的两行命令。例如在Apache中，你可以输入下面的命令：

Header set Strict-Transport-Security “max-age=XXXXXX”  
Header append Strict-Transport-Security includeSubDomains 
7.使用HttpOnly和安全标识来保护cookies。用来鉴定SSL会话持续时间的cookies常常会削弱SSL会话的安全性。HttpOnly标识可以隐藏你的客户端脚本，所以他们不能通过跨站点脚本攻击来窃取信息。也就是说，安全标识cookies只能通过加密的SSL来传输，因此不能被截获。

用HttpOnly来配置你的Web服务器证书，从而保护cookies。通过这样简单增加安全属性的方法，可以防御上述两种类型的攻击；用HttpOnly来设置Cookie Http响应前端：

Set-Cookie: =; =  
; expires=; domain=  
; secure; HttpOnly 
8.使用扩展验证（Extended Validation）EV SSL证书。虽然这个证书对于你的网站安全来说并不是非常必要，但是EV证书可以在地址搜索栏上展示出明确的视觉确认效果，通过安全的SSL连接，用户可以一下子就确认是你的网站，而非钓鱼网站。

9.确保你的证书被包含在子域当中。为了避免网站用户得到错误的证书，你要确保https://www.yourdomain.com和https://yourdomain.com 都覆盖了你的SSL证书。

你可以使用多域名SSL证书，它可以允许你最多选择三个主名（SNAs）例如yourdomain.com 或 www.yourdomain.com

10.进行SSL服务器测试。使用Qualys公司的SSL实验室可以进行免费测试，你可以检查SSL服务器配置，认证链，以及协议和密码组在内的整体SSL安全状态。

分类
网络新闻

黑客获取数字证书　浏览器厂商阻止流氓SSL证书

黑客已经从一个证书授予机构取得数字证书，这使得他们可以向许多域发送欺诈公钥证书请求，包括搜索引擎巨头谷歌所拥有的网站。

VASCO数据安全国际公司的子公司，位于荷兰的证书颁发机构DigiNotar，为网络犯罪分子颁发了证书，使他们获得了使用流氓SSL证书劫持Gmail帐户，以及使用SSL和EVSSL证书（为安全考虑同时向用户证明其合法性）欺诈安全的网站的能力。这次违反操作发生在7月19日。在VASCO发出的一份声明中，该公司表示它们已撤销了所有的诈骗证书。

“最近，我们发现，至少有一个欺诈性的证书在那时还没有被撤销，”该公司表示，“在荷兰政府组织Govcert发出通知后，DigiNotar立即采取行动撤销了欺诈证书。”

这次攻击是针对DigiNotar用来颁发其数字证书的系统。目前，证书颁发机构暂停出售其SSL和EVSSL证书，直到得出其他安全审计结论为止。VASCO表示，运行其强认证业务的系统没有受到这次违反的影响。关于被盗证书的详细信息已于上周六发布到一个公共论坛上。

本周一，谷歌回应了流氓证书，声称它已经在Chrome浏览器中禁用了DigiNotar证书颁发机构。谷歌表示，证书的主要影响在伊朗的人。此外，Mozilla也已经禁用了对该证书的支持。

“这表示，如果Chrome和Firefox的用户试图访问使用DigiNotar证书的网站，那么他们将收到通知，”谷歌的信息安全经理Heather Adkins在谷歌在线安全博客中这样写道，“为了帮助防止不必要的监视，我们建议用户，特别是那些在伊朗的用户，保持网络浏览器和操作系统的更新，并注意Web浏览器的安全警告。”

本周一，微软发布了一个安全公告，表示其已经为Windows Vista和Windows 7用户从受信任的根证书列表中删除了DigiNotar根证书。

“该证书潜在的影响了那些试图访问Google旗下网站的互联网用户，”微软可信赖计算主任Dave Forstrom在微软安全响应中心博客中写道，“欺诈证书可用于欺骗Web内容，进行钓鱼攻击或对最终用户执行中间人攻击。”

攻击者过去曾有针对性的攻击证书颁发机构。今年三月，在黑客入侵了一个Comodo公司登记管理机关合作伙伴的系统后，他们从Comodo公司偷走了证书。该泄漏导致了在七个Web域发布了九个欺诈证书，包括搜索引擎巨头谷歌和雅虎。一位伊朗黑客声称对这次SSL证书偷窃负责。Comodo公司表示，Comodo根键（root keys），中间计算机结构（intermediate CAs）或安全硬件没有收到损害。