标签： 企业

分类
知识中心

企业如何避免SSL攻击

以下是企业网络中应避免的SSL攻击的常见方法：

避免使用自签名证书

很多时候，系统配置为使用未由授权和受信任的证书颁发机构签名或颁发的自签名证书。此类自签名证书没有证书颁发者的有效凭据或信息。他们也可能使用弱算法和弃用算法，如SHA1或RSA算法，具有弱密钥强度。此类服务器很容易被利用进行攻击，恶意用户可能能够在此类服务器上托管恶意代码。自签名证书只能用于测试，切勿在生产系统中使用。此外，服务器永远不应信任自签名证书。

避免使用通配符证书

在面向公众的Web服务器上使用通配符证书会增加组织的风险，即黑客将使用服务器在各种恶意活动中托管恶意网站。为了克服此问题，组织应避免在生产系统上使用通配符证书，尤其是面向公众的系统。请改为为每个域和子域使用特定的证书。

避免未知的证书颁发机构

维持双方之间的信任取决于CA的可信度。在现实世界中，许多客户可能会依赖未知且在市场上不受欢迎的CA，因为它们提供更便宜的解决方案。从长远来看，这可能会使他们（客户）付出代价，因为攻击者可能会破坏这些CA并冒充合法CA来窃取大量关键信息。为了防止这种情况，组织应识别来自未知和不受信任来源的所有CA和证书，并丢弃或替换为来自受信任来源的CA和证书。

防止使用加密通信的攻击者

在当今世界，攻击者使用加密作为针对组织的工具。越来越多的网络犯罪分子正在使用SSL/TLS加密通信在企业网络和系统中植入恶意软件。随着这一趋势的发展势头，Gartner的一份报告称，50%针对企业的网络攻击将使用加密。对于企业来说，检查和解密这种流量将是一项繁琐的工作，特别是当他们没有能力这样做时。为了克服这个问题，组织应利用网络安全解决方案对SSL流量实施出站Web策略。他们还应该仔细区分应考虑在入站和出站方向上解密哪些加密流量配置文件。

避免使用过期的SSL/TLS证书

过期的SSl/TLS证书是全球服务中断的最常见原因。微软在其Azure服务中遇到了臭名昭著的服务中断，不得不向客户提供服务积分，给他们造成了巨大的损失。过期的证书还会导致组织容易受到MITM（中间人）攻击，因为攻击者可以轻松利用过期的证书。

为了保护您的组织免受这种情况的影响，应立即将所有过期的证书从系统中取出，并替换为活动/有效证书。

避免网络钓鱼攻击

网络钓鱼攻击旨在利用人类情感漏洞来欺骗他们并向攻击者提供敏感/个人信息。当用户以html等形式获取链接以提供有关自己的一些个人信息时，他们应注意该链接是安全的还是不安全的。安全链接的地址栏中有“https”，而不安全的链接只有“http”。

为了保护自己免受此类网络钓鱼攻击，如果您尝试访问的html页面不安全，SSL/TLS会向您发出警告消息。此外，如果您要离开安全页面并转到不安全的页面，SSL/TLS仍会向您发出警告。作为最佳实践，用户应始终使用真实的URL/网站以避免网络钓鱼攻击。

使用严格的SSL

在严格SSL（也称为完整SSL）中，对源服务器的身份执行额外的验证，以防止主动窥探和修改您在Internet上的流量。在现实世界中，SSL/TLS加密客户端和网站/服务器之间的通信。但是，MITM攻击诱使用户/客户端在不知不觉中与合法网站/服务器的虚假对应物进行交互。这就是严格的SSL出现的地方。SSL强制客户端的浏览器检查任何网站的身份验证证书，以确保它是否具有有效的证书。MITM攻击无法更改身份验证证书，因此达到了完整SSL的目的。

分类
知识中心

SSL和TLS

TLS（传输层安全性）是用于身份验证和加密的 SSL（安全套接字层）协议的后继者。目前，TLS 1.3 被认为是最安全的，与其前身相比，它在 RFC 8446 中定义。SSL和TLS版本1.2由于这些协议（如ROBOT，LogJam和WeakHD）的漏洞和攻击而被弃用。这些攻击利用了在协商阶段客户端和服务器之间发生密钥交换的方式。随着TLS 1.2的引入，这些攻击得到了缓解，但是仍然容易受到降级攻击，如POODLE。这些漏洞已在 TLS 1.3 中得到缓解，TLS 1.3保护了客户端-服务器协商期间的握手，从而缓解了这些漏洞。

为什么SSL证书很重要？使用SSL证书的好处

SSL和TLS是用于加密网络设备之间通信通道的协议。SSL和TLS用于在数字证书的帮助下绑定系统，用户，网站等的身份。这些数字证书由内部受信任的证书颁发机构或公共证书颁发机构颁发。内部证书在企业内的网络设备之间受信任，而公共证书受全球网络设备信任。这些证书保存最终实体的身份，并包含一个由一对公钥和私钥组成的加密密钥对。公钥与证书一起分发，而私钥由实体保护。使用这些密钥对网络通道进行加密，以确保这些网络设备之间通信的数据不会被篡改或更改。

但是，在所有这些安全措施到位的情况下，始终存在漏洞，技术和流程差距，使黑客能够利用和窃取数据。

分类
知识中心

数字时代，SSL证书如何保证信息和数据的安全？

数字技术不仅是一种生产力工具，而且极大地改变着人们的工作和生活方式。然而，在各领域数字化进程不断深入的同时，网络诈骗、信息泄露、钓鱼攻击等违法犯罪活动仍然严重影响着互联网经济的正常发展。企业网站，尤其是涉及用户敏感信息和金融交易的网站，时常面临数据泄露和网络威胁。潜在的攻击风险。

用户信息和数据安全关系到企业未来的发展。同时，维护网站信息安全也是企业获得客户信任进而达成交易合作的必要条件之一。 《中华人民共和国网络安全法》第二十一条规定，企业需要制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。

保护网站信息和数据的方法有很多，其中为网站安装SSL证书仍然是目前世界上最有效的网络数据安全保护措施之一。

SSL 代表安全套接字协议层。它位于HTTP协议层和TCP协议层之间。它用于在用户和服务器之间建立加密通信。除向指定服务器发送信息外，任何其他第三方均无法读取该信息，从而保证了传输信息的安全性。

部署SSL证书后，网站地址栏会显示HTTPS开头和一个绿色的锁符号。用户可以通过查看证书信息来确认网站的真实性，避免个人信息被钓鱼网站窃取甚至诈骗。在安全和用户体验方面，HTTPS站点更安全优质，更有利于用户识别。

值得一提的是，网站采用安全高速的HTTPS协议，可以提高网页的加载速度，使文本、图片、多媒体等加载速度更快，实现低延迟和高吞吐量，优化用户体验，并且能够提高网站的SEO排名，也有利于提高企业的获客率和销售业绩，这对于处于数字化转型过程中的企业尤为重要。

在数字时代，社交沟通、工作办公、休闲购物、娱乐游戏、投资理财、医疗保健等领域都需要深度连接互联网，通过互联网进行交易和数据分析。这已经成为一种习惯。 SSL证书通过加密算法和严格的认证机制帮助企业网站保护用户隐私和敏感数据，构筑网络安全防线，为企业数字化转型和安全合规发展保驾护航。

天威诚信是国内具有公信力的网络安全认证服务商。凭借服务全行业95%以上大客户的经验，长期为国内企业提供DigiCert、Entrust、GlobalSign、vTrus、Geotrust等全球可信的SSL证书及证书全生命周期管理服务，以完善的安全解决方案和可靠的CA运行机制保护网站信息安全，维护数字世界秩序。

分类
公司新闻

天威诚信提供双算法SSL证书最佳解决方案

天威诚信提供双算法SSL证书最佳解决方案

SSL证书是提升网站服务器防护能力的重要措施，也是在浏览器使用者及网页服务器之间进行加密通讯的全球化标准。

伴随着国际算法SSL证书的市场增长，国家层面也在持续推进国密算法应用建设，相继颁布了一系列法律法规。尤其是2020年《中华人民共和国密码法》的施行，标志着我国在密码的应用和管理等方面有了统一针对性的法律保障，也意味着SSL证书国产化成为必然趋势。

但在实际应用中，金融、政务、电商等领域企业在部署SSL证书时面临多重考量因素。既要能达到数据审核不出境、数据安全受保障、密码算法合规定，还能做到与主流应用/浏览器兼容，以保障业务的连续性。

参考遵循国家密码管理及信创产品等多项规范标准，依据客户实际需求，天威诚信基于坚实的密码技术和数字证书服务经验，在推进国产密码算法应用的同时，适时推出国产/国际双算法证书自适应解决方案，以满足企业数据传输加密与国密算法合规等要求。

-1

双算法证书由一张国际算法证书和一张国密算法证书组成，可兼顾国密合规性和全球通用性。在客户端环境支持国产密码算法时，自动选择国产密码算法SSL证书；在客户端环境仅支持国际算法时，自动选择国际算法SSL证书。通过国产密码算法与国际密码算法无缝切换应用，满足企业在不同场景、条件下的应用。

天威诚信是国内可信网络安全认证服务商，同时也是制定国密SM算法服务器证书体系标准课题研究的牵头单位之一。在探索国密算法应用过程中，天威诚信自主建设的vTrus系列SSL证书已广泛应用于政府、电信、金融、能源等重点行业和关键领域，帮助企业实现轻量化国密改造。

截至目前，天威诚信vTrus国密算法自主根和国家根下的二级根已通过奇安信、麒麟操作系统、统信操作系统联合认证，并实现了在360、红莲花、赢达信、零信等主流国产浏览器的预埋，有力推动了国密算法生态建设。

在国家的大力支持下，市场上将会出现越来越多可用、好用的国产化产品和应用，天威诚信也将在夯实现有业务的基础上，携手更多业内机构，积极推进国密算法应用落地，提供满足不同用户需求的SSL证书及证书全生命周期管理服务。

分类
公司新闻

代码签名证书私钥保护升级措施延期至2023年6月1日

代码签名证书私钥保护升级措施延期至2023年6月1日

据CA/B论坛最新消息，原定于2022年11月15日起执行的代码签名证书私钥保护升级措施，将延期至2023年6月1日，期间用户可在天威诚信继续按照现有规则申请和使用代码签名证书。

此次变更旨在加强代码签名证书私钥保护升级对代码签名证书私钥的保护。按CA/B论坛规定，2023年6月1日以后，普通（OV）代码签名证书密钥对必须在达到FIPS 140-2 Level2或EAL4+通用标准以及更高标准的硬件加密模块中生成并存储。

代码签名证书私钥保护升级措施延期至2023年6月1日-1

　　具体变更详情如下：

变更前：对于普通代码签名证书，天威诚信获取到用户的CSR后，将其提交至CA进行数字签名后生成证书，再通过邮件的方式将证书发送给用户，无需硬件介质。

变更后：自2023年6月1日起，购买普通代码签名证书将和EV代码签名证书一样，证书由天威诚信签发并存储在预配置的USB Key上，再通过邮寄的方式将USB Key寄送给用户。

需要注意的是，此次升级只针对普通代码签名证书。EV代码签名证书及2023年6月1日前签发的普通代码签名证书不受影响。

同时，已经使用代码签名证书或EV代码签名证书签名且加盖时间戳的软件不受影响并长期有效。

代码签名证书是提供软件开发者可以进行代码软件数字签名的认证服务。通过对代码的数字签名可以消除软件在Windows系统被下载安装时弹出的“不明开发商”安全警告，保证代码完整性和不被恶意篡改，使软件开发者信息对下载用户公开可见，从而建立良好的软件品牌信誉度。

然而近年来由私钥泄漏导致的网络安全事件频发，引起了微软等国际巨头的充分重视。可以预见的是，代码签名私钥存储新规开始执行后，OV代码签名证书也将从“软证书”变为“硬证书”，更有助于降低私钥泄漏的可能性。

为避免此次代码签名证书私钥保护升级带来的不便，天威诚信在此提醒，请有需要的用户提前做好计划和工作安排，天威诚信可为用户提供各主流厂商的代码签名证书以及相应的USBkey寄发和更换服务。

依托22年为全行业95%以上大客户提供可靠证书服务的经验，天威诚信在证书审核、签发以及全生命周期自主管理服务方面不断创新，自主研发了更加贴合国内用户使用的vTrus证书品牌，以及更便于用户下单和进行证书管理的证书智能管理平台，持续保障用户网站信息安全，护航企业业务线上化发展。

分类
公司新闻

天威诚信vTrus正式加入Adobe全球信任证书列表

天威诚信vTrus正式加入Adobe全球信任证书列表

日前，接Adobe通知，天威诚信vTrus文档签名证书已通过审核，顺利成为Adobe Approved Trust List（Adobe批准的信任列表）成员，这意味vTrus可为Adobe用户提供更高兼容性、稳定性的服务，同时也意味着vTrus在证书全球可信体系中取得进一步市场优势。

天威诚信vTrus正式加入Adobe全球信任证书列表-1

随着线上业务的发展，企业采用Adobe公司的PDF文件实现无纸化办公的情况越来越普遍。为保证PDF文件内容及其在传输过程中的真实可信，Adobe公司于2005年推出了认证文档服务计划，并制定了严格的审核政策及技术标准。

通过Adobe审核后，可直接预置各受信任的CA根证书，使PDF等电子文档具有合法身份识别和不可篡改的特性。

vTrus是天威诚信建设的国产自主根证书品牌，并通过了WebTrust国际审计认证，以国际标准化的运营管理和服务水平，致力于为客户提供权威可信的认证产品与服务。

成为Adobe Approved Trust List成员后，vTrus可为个人或企业颁发PDF文档签名证书，证书持有人可向用户证实签名人的真实身份以及在工作流程中电子文档或电子合同的确认签名，默认被Adobe acrobat Reader各版本所信任，不需要安装任何插件或第三方软件。

vTrus文档签名证书可以实现公司PDF文件流转过程中的唯一性、真实性和防抵赖，有效帮助企业保护其知识产权和机密信息，而且由于vTrus业已通过WebTrust国际审计认证，从技术标准和运营规范等方面都已达到国际标准，更可以使签名具有法律约束力。

除验证文件签名和内容的真实性外，vTrus证书还可为客户提供自主且高可用性的SSL证书产品及服务，包含DV、OV、EV三种类型，支持RSA/国密SM2算法，证书覆盖单域名、多域名、通配符、多域名通配符等多种类型，满足不同客户的需求，保障网站信息安全。

分类
公司新闻

天威诚信揽获2022年DigiCert最佳合作伙伴等三项大奖

天威诚信揽获2022年DigiCert最佳合作伙伴等三项大奖

日前，全球领先的数字信任提供商DigiCert在马来西亚吉隆坡君悦酒店召开“2022年亚太区合作伙伴会议”。来自美国、日本、澳大利亚、韩国等多国DigiCert高管和合作伙伴齐聚一堂，共创数字信任与网络安全新生态。

作为DigiCert中国市场坚实可靠的合作伙伴，天威诚信受邀出席会议，并揽获2022年度最佳合作伙伴、年度卓越销售业绩奖等三项重量级大奖。

天威诚信揽获2022年DigiCert最佳合作伙伴等三项大奖-1

年度最佳合作伙伴是DigiCert战略合作模式中的最高资质，天威诚信是亚太地区该荣誉的唯一获得者，充分展现了天威诚信携手DigiCert在证书服务方面的突出优势和特殊贡献，印证了天威诚信的企业实力以及DigiCert对天威诚信的信赖和认可。

年度杰出销售业绩奖则是DigiCert颁发给年度销售业绩超百万美元机构的荣誉奖项。自从与DigiCert建立合作关系以来，天威诚信已多次获得该奖项，展示了天威诚信在亚太地区服务器证书市场中的极高占有率，以及市场、行业、客户对天威诚信在证书服务领域的长期高度认同。

天威诚信国际认证事业群总监安垠代表公司参加了会议。安垠表示，自2000年天威诚信将DigiCert TLS证书引入中国以来，双方在合作过程中积累了丰富的行业最佳实践，共同打造了完善的联合服务机制，依托证书服务持续为国内用户提供安全可靠的数字信任建设方案，赋能千行百业的数字化转型。

会上，双方就今后的重点合作方向达成了一致。安垠表示，天威诚信正积极布局推动与DigiCert在数字证书自动化等领域的深入合作，以更好地满足客户数字化转型需求，推动数字经济蓬勃发展。

DigiCert高管对天威诚信在中国市场取得的成就表示祝贺，并表示作为大客户覆盖率超过95%的CA机构，天威诚信拥有丰富的应对和解决各种复杂及突发情况的专业服务经验，并能够根据中国本地合规的要求，为国内企业和个人提供证书生命周期管理服务，将信任扩展到供应链和互联生态系统。

双方一致认为，伴随着中国企业数字化转型进程的加快，今后更需立足资源禀赋与服务优势，共同携手为中国企业的数字化转型聚势赋能，通过提供更有效的数字信任解决方案，同时进一步夯实本地化服务，实现应用场景快速落地，为更广泛的企业与个人的数字安全保驾护航。

分类
知识中心

谁使用代码签名？

代码签名证书用于任何商业打包和分发的软件中。受信任的应用程序商店（如 IOS 应用商店或 Google Play 商店）需要对在其平台上分发软件进行代码签名。除非使用代码签名，否则许多消费者不会下载软件，因此即使不在知名平台上的开发人员也会实现代码签名。有几种不同类型的证书可供使用，具体取决于要分发的软件与哪些系统配合使用。桌面证书包括微软、Java、微软办公软件、VBA和 Adobe AI。移动证书的示例包括“视窗手机”、“视通专用企业”、“已验证的 Java”、“安卓”和“酿造”。

代码签名证书软件的一些示例包括：应用程序、Windows 软件更新、苹果软件、微软 Office VBA 对象和宏、.jar、.air 和 .airi 文件以及任何类型的可执行文件。对于 IOS 应用程序，代码签名使用 X 代码。要将软件上传到 Itunes 存储区，用户必须拥有有效的 Apple 开发者 ID 和有效的证书或个人资料，Xcode 才会对软件进行签名。要集成应用程序，开发人员需要使用开发证书。若要在任何设备上运行应用，必须使用分发证书来发送应用并对其进行测试。其他平台（如 Windows）只需要使用受信任的证书颁发机构。

分类
知识中心

如何处理违规的SSL证书和密钥？

根据全球企业的攻击统计数据，找出企业环境中的漏洞至少需要一天或更长时间。发现漏洞所需的时间越长，造成更多损害的可能性就越高，因为有不良行为者不断监控情况并利用它来谋取利益。

SSL证书安全性如何？

每个组织都必须有一个如何应对受到攻击的环境的计划。考虑到不同的行业都有针对其场景的不同 IT 流程，我们可以得出一些应该遵循的补救步骤，而不管行业类型如何：

  • 清点受违规/攻击影响的系统。
  • 遵循标准的、预定义的攻击方法。
  • 验证不良行为者是否已被处理。

一旦识别并确认了攻击，就只完成了一半。接下来，挑战在于如何消除对手对企业关键数字资产（如密钥和证书）的访问权限，因为大多数组织都无法了解证书或密钥泄露的真正影响。我们可以深入研究过去，发现存在诸如数字证书被盗之类的违规事件，其中组织由于没有立即更换数字证书而无法理解后果。理想情况下，组织应该能够快速响应并响应受违规行为影响的所有系统，以安全的方式运行其运营。

让我们详细说明在发生违规/攻击时需要遵循的步骤：
影响分析

在修复违规行为时，第一步是确定环境中受影响的系统的清单。例如，如果发现任何与 SSL 相关的违规行为，则后续步骤是找出 SSL 在连接到 URL、Web 服务器、共享点门户等时的全面使用情况。有了这个，可以在很大程度上确定违规的渗透深度。可以考虑任何 SSL/TLS 证书的使用或密钥泄露，以确定对环境的总体影响。

遵循预定义的方法

一旦攻击得到确认，预定义的方法就应该开始，其中责任预先决定了谁将做什么。同时，当安全团队采取措施遏制和修复攻击时，攻击者会尝试植入一些恶意证书和密钥，以帮助他们将来访问资源。在这种情况下，安全团队应通过证书和密钥生命周期管理工具重新验证证书/密钥的清单，并丢弃/停用恶意数字资产。

修复操作的验证

一旦针对攻击的修复操作完成，并且恶意证书和密钥已成功替换，重新验证修复报告并确认修复步骤是否已成功完成就变得非常重要。如果对手的足迹仍然留在环境中，这可能会导致严重后果。组织可以匹配违规报告和修复报告，以确定修复尝试的准确性，并对其当前的安全强度充满信心

分类
知识中心

证书发现

一个组织中存储着数千个证书，很难了解这些证书是如何颁发或使用的。每当一个组织被问及可用的认证数量时，他们要么不知道，要么告诉估计的数量。

购买SSL证书前的注意事项

在组织内安装证书的过程包括：
  • 发现
  • 监控
  • 自动化
  • 集成

证书发现使我们能够更好地了解证书在组织中的使用方式。证书清单有助于分析加密安全标准和到期日期的认证。但是，如果没有可见性，就不可能避免下一个与证书相关的中断。

证书发现过程
证书发现过程分为不同的阶段：
  1. 直接 CA 集成 ：证书发现过程从 CA 集成开始。它涉及与自己的证书颁发机构和第三方证书颁发机构集成。它将允许您直接从一个位置的来源收集所有库存。
    您可以通过与 CA 的直接同步来请求、吊销、续订和续订新证书，并在证书过期之前续订。
  2. SSL/网络红绿灯系统发现 ：它用于查找证书在网络中存储的位置。大多数企业无法完全了解其证书基础结构。当我们知道凭据的确切位置时，我们可以根据需要轻松替换它们。
  3. 证书存储 ：某些证书不存储在网络中;它们位于密钥和证书存储中。一些可用的密钥库包括 Java 密钥库 （JKS）、IIS 服务器、云服务（如 Azure 密钥保管库）等。
证书发现的重要性

大多数企业对其证书结构没有适当的可见性，可见性是证书管理流程中最关键的方面。手动证书管理的问题在于人为错误和库存文档不正确的可能性很高。

随着世界向数字化迈进，对数字证书的需求激增。
使用自签名证书可以解决此问题。在自签名证书的帮助下，我们可以快速生成这些证书。

有时，我们需要临时证书用于测试目的，这些证书应在生产前更换。但是，由于过程中的一些错误，有时这些临时证书进入组织的基础结构时不会被注意到，这可能会导致应用程序中断，并且很容易被入侵者捕获。已知证书也会出现这些类型的质询。因此，证书发现可帮助我们跟踪所有这些证书，并提供更好的愿景，防止各种应用程序中断。