标签： 服务器证书

分类
知识中心

数字证书八种应用模式

1、    信息安全传输

 

在各类应用系统中，无论是哪类网络，其网络协议均具有标准、开放、公开的特征，各类信息在标准协议下均为明文传输，泄密隐患很严重。因此，重要敏感数据、隐私数据等信息的远程传输需要通过可靠的通信渠道，采取加密方式，达到保守机密的目的。

 

同时，由于各应用信息在网上交互传输过程中，不仅仅面临数据丢失、数据重复或数据传送的自身错误，而且会遭遇信息攻击或欺诈行为，导致最终信息收发的差异性。因此，在信息传输过程中，还需要确保发送和接收的信息内容的一致性，保证信息接收结果的完整性。

 

    应用数字证书技术保护信息传输的安全性，通常采用数字信封技术完成。通过数字信封技术，信息发送者可以指定信息接收者，并且在信息传输的过程保持机密性和完整性。

 

2、安全电子邮件

 

电子邮件是网络中最常见的应用之一。普通电子邮件基于明文协议，没有认证措施，因此非常容易被伪造，并被泄密内容。对于重要电子邮件，应具有高安全保护措施，因此基于数字证书技术来实现安全邮件在实际中具有巨大需求。

 

    应用数字证书技术提供电子邮件的安全保护，通常采用数字签名和数字信封技术。数字签名保证邮件不会被伪造，具有发信人数字签名的邮件是可信的，并且发信人的行为不可抵赖。数字信封技术可以保证只有发信人指定的接收者才能阅读邮件信息，保证邮件的机密性。

 

3、安全终端保护

 

随着计算机在电子政务、电子商务中的广泛使用，保护用户终端及其数据越来越重要。为了保证终端上敏感的信息免遭泄露、窃取、更改或破坏，一方面可基于数字证书技术实现系统登录，另一方面对重要信息进行动态加密，保护计算机系统及重要文件不被非法窃取、非法浏览。

 

    在电子政务、电子商务中应用数字证书技术实现安全登录和信息加密，采用了数字证书的身份认证功能和数字信封功能。应用系统通过对用户数字证书的验证，可以拒绝非授权用户的访问，保证授权用户的安全使用。用户通过使用数字信封技术，对存放在业务终端上的敏感信息加密保存，保证只有具有指定证书的用户才能访问数据，保证信息的机密性和完整性。

 

4、可信电子印迹

 

“电子印迹”是指电子形式的图章印记和手写笔迹。

 

在政府机关信息化建设中，电子公文受到广泛使用。通过电子公文来实现单位内部及单位之间流转传达各种文件，实现无纸化的公文传递、发布，可以有效提高行政办公效率。在电子商务应用中，电子合同等电子文书同样受到广泛使用。为更好体现这些电子文档作为正式公文的权威性和严肃性，它们常常需要“加盖”电子形式的图章印记或显现电子形式的手写签名笔迹，从形式上符合传统习惯。当接受方对电子文件进行阅读和审批时，就需要确认电子文件以及上面的公章图片的真实性、可靠性，防止电子印迹被冒用，造成严重事故。

 

    应用数字证书可以提供可信电子印迹，通常是采用数字签名技术完成的。通过数字签名，可以将签名人的身份信息不可抵赖地集成在电子印迹中，从而保证了电子印迹的权威性和可靠性。

 

5、可信网站服务

 

    网站服务假冒是互联网上常见的攻击行为，恶意假冒网站服务所带来的威胁非常严重，不仅会造成网络欺诈，带来纠纷，还会导致虚假信息发布，影响网站信誉，产生恶劣的后果。

应用数字证书技术可以提供可信网站服务，采用数字证书的身份认证功能，网站用户可以通过对网站的数字证书进行验证，从而避免遭受假冒网站服务的欺骗。

 

6、代码签名保护

 

    网络因其便利而推广，也因其便利带来一些不利的影响。电子政务、电子商务的用户通过使用网络共享软件方便工作，网站通过控件等技术手段为用户带来便捷，但这些软件、控件等的安全性如何保障？软件的提供商是软件的责任单位，但是网络中可能存在的仿冒行为为软件的使用带来安全隐患。

    数字证书的一项重要应用就是代码签名，通过使用数字签名技术，软件的使用者可以验证供应者的身份，防止仿冒软件带来的安全风险。

 

7、授权身份管理

 

    授权管理系统是信息安全系统中重要的基础设施，它向应用系统提供对实体（用户、程序等）的授权服务管理，提供实体身份到应用权限的映射，提供与实际应用处理模式相应的、与具体应用系统开发和管理无关的授权和访问控制机制，简化具体应用系统的开发与维护。

    授权管理的基础是身份鉴别，只有通过数字证书技术，有效地完成对系统用户的身份鉴别后才能正确授权，达到安全保护的最终目的。数字证书技术是授权管理系统的基础，授权管理系统的身份管理依赖于数字证书的身份认证技术。

 

8.行为责任认定

 

    在各个业务系统中的行为，需要通过身份确认、行为审计等手段，在发生意外事故、甚至是蓄意破坏时能够有效的明确责任所在。

    通过使用数字证书的身份认证和数字签名技术，可以在日常操作时正确有效地认证执行者的身份，并在业务系统中使用数字签名对行为日志等签名保存，以供取证时使用。通过使用数字证书相关技术，各项业务操作的行为审计和责任认定可以得到有效保障。

分类
知识中心

SSL协议简介

   SSL(SecuresocketLayer)安全套接层协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性，它不能保证信息的不可抵赖性，主要适用于点对点之间的信息传输，常用WebServer方式。

 

    安全套接层协议（SSL，SecuritySocketLayer）是网景（Netscape）公司提出的基于WEB应用的安全协议，它包括：服务器认证、客户认证（可选）、SSL链路上的数据完整性和SSL链路上的数据保密性。对于电子商务应用来说，使用SSL可保证信息的真实性、完整性和保密性。但由于SSL不对应用层的消息进行数字签名，因此不能提供交易的不可否认性，这是SSL在电子商务中使用的最大不足。有鉴于此，网景公司在从Communicator4.04版开始的所有浏览器中引入了一种被称作”表单签名（FormSigning）”的功能，在电子商务中，可利用这一功能来对包含购买者的订购信息和付款指令的表单进行数字签名，从而保证交易信息的不可否认性。综上所述，在电子商务中采用单一的SSL协议来保证交易的安全是不够的，但采用”SSL+表单签名”模式能够为电子商务提供较好的安全性保证。

分类
知识中心

EVSSL证书铸造网络信任防火墙

   在中国互联网信息中心7月份公布的《第22次中国互联网发展状况报告》结果显示，中国网民已经增长到2.53亿，成为世界第一，大家开始依赖网络生活，但是对网上交易安全性却极度缺乏信任，甚至给出了不及格的评价。难道网上银行、网络交易真的处处陷阱，步步惊心吗？

 

    面对这种局面，金融站点、购物网站并未坐以待毙，都在积极采取应对措施，如何重新获得网民的信任，并将这种信任加以巩固？全新扩展验证EV SSL证书的登台献艺，为正处在信任危机中的国内网站带来新的契机。金融机构的各大网上银行，目前正陆续开始换装新一代扩展验证EV SSL证书，用户在登录有扩展验证EV SSL证书保护的银行网站时，网站地址栏将变成绿色，真假网站一目了然。

 

安全防范源于严格

 

一张我们既看不到也摸不到的所谓“证书”就真能保障消费者利益？

 

服务器证书是通过在客户端浏览器与Web服务器之间建立一条SSL安全通道从而保证双方信息在网络上传输的安全性，用户可以通过查看服务器证书属性信息便可得知所访问站点的真实与否。新一代扩展验证EV SSL证书的产生更是为了杜绝在全球方位内频频发生的在线欺诈泛滥问题。它是全球著名的数字证书颁发机构（如：VeriSign、GeoTrust、Thawte等等）联合主流浏览器开发商一起构建起的安全防护网络。

 

    所谓“扩展验证EV SSL证书”，是遵循全球统一的严格身份验证标准颁发的SSL证书，用来保护用户不与没有经过严格身份验证的网上商户进行在线交易。所有颁发扩展验证EV SSL证书的数字证书颁发机构必须按照统一标准来对申请者进行严格的身份审核，而浏览器能自动识别出扩展验证EV SSL证书，使得地址栏主动变成绿色。这样以来在线消费者便可安心交易，因为消费者能非常清楚地知道他们正在与谁交易，并且他们的交易数据正在安全加密通道的保卫之下。扩展验证EV SSL证书通过在业务层面上对申请机构的严格审核，尽可能地规避了由于审核标准不同而产生服务器证书拥有者身份不真实所带来的安全隐患。

一纸应运，效益显见

 

扩展验证EV SSL证书的广泛应运，在全球范围内都得到了使用者的赞誉。全球最值得信任的网络基础架构供应商—威瑞信(VeriSign)在扩展验证EV SSL证书推出之后，曾做过一个关于扩展验证EV SSL证书的调查，结果显示：相比由常规服务器证书保护的站点，93%的互联网用户更青睐绿色标记的EVSSL站点；同时97%的购物者看见绿色标志时会使用信用卡，而没有看见绿色标志时，这一意愿下降到63%。同时国外著名的购物网站在使用扩展验证EV SSL证书后交易量也有显著变化：Overstock..com使用EVSSL后，购物车定单放弃率降低了8.6%;Paypal在使用扩展验证EV SSL证书后，“购物车定单放弃率也降低了几个百分点”； Virtual Sheet Music 网站在使用扩展验证EV SSL证书交易量则增长13%。由于扩展验证EV SSL证书更具识别性，它正开始让交易变得更加便捷可信。

 

    天威诚信作为国内技术力量强大的第三方CA机构，同时也是威瑞信（VeriSign）在中国的首要合作伙伴，一直在积极推进扩展验证EV SSL证书的广泛使用。为了让更多客户能够了解扩展验证EV SSL证书，保障电子商务在中国的健康发展。7月天威诚信与威瑞信在上海隆重举办了华东地区扩展验证EV SSL证书高端用户答谢会，面对面地为大家讲解和展示了扩展验证EV SSL证书的功能和相关技术，双方相信构建一个规范运营，诚实守信的网络商圈，需要各方积极参与，商家、网民、第三方数字认证机构需要同心协力，扩展验证EV SSL证书才能在国内发挥更佳的作用。

分类
知识中心

SGC技术简介

    SGC技术(Server Gated Cryptography)是在现有的SSL证书标准基础上增加的一种增强密钥用法(EKU)，主要是考虑到2000年以前美国政府对高强度加密算法(128位)出口限制的因素而推出的，由于出口管制的原因，2001年以前推出的浏览器版本(如：IE 5)和服务器版本(Windows 2000 server)都只支持56位或40位加密算法，但由于电脑硬件技术和CPU处理速度的快速提高，使得破解40位加密算法只需几秒钟，而破解56位加密算法也只需几天时间。为了加强美国以外的国家的电子商务和网上银行的安全，SSL证书业界就在SSL证书标准基础上增加的支持强制实现128位加密的增强密钥用法(EKU)，也就是说：即使受出口限制的40位或56位浏览器或服务器，只要使用支持SGC技术的SSL证书，就能不受限制的实现128位加密。这种强制实现128位高强度加密技术简称为SGC技术。

分类
知识中心

扩展验证EV SSL证书之诞生篇

扩展验证EV SSL证书是如何诞生的？

 

Extended Validation SSL Certificate, 简称为：扩展验证EV SSL证书，意思是：遵循全球统一的严格身份验证标准颁发的 SSL 证书，扩展验证EV SSL证书的诞生是为了对付日益猖獗的网上欺诈犯罪，意在恢复并增强人们对网上在线交易的信心。

 

Forrester Research 在 2005 年做了一项调查，有 84% 的受访者认为网上购物服务提供商没有做好保护消费者的在线交易安全工作，而 24% 的受访者称由于担心不安全而不会在网上购物。而目前还没有一个有效的防止网上欺诈的安全手段，只能提醒用户注意查看正在访问的网站的域名是否确实是某某银 行的网址，这是远远不够的。特别是针对中国普通网民，有多少人能记住中国银行的网址是： bank-of-china.com 而不是 bank-off-china.com ，招商银行网址是 cmbchina.com 而不是 cmb-china.com 等等。特别是值得信任的安全锁也变得谁都可以申请到而只需要简单的验证域名所有权，这给了在线诈骗分子有了一个可乘之机，因为普通消费者是不能识别没有严格身份验证的 SSL 证书 ( 超快 SSL) 和已经严格身份验证的 SSL 证书 ( 超真 SSL) 有什么不同，因为都会在浏览器上显示一个安全锁标志。

 

    为了解决出现的在线欺诈泛滥问题，全球著名的数字证书颁发机构(如：Comodo、VeriSign、GeoTrust、 Thawte等等)联合主流浏览器开发商(如：微软、 Mozilla 、 Opera 和 KDE 等)创立了数字证书和浏览器论坛 ( www.cabforum.org ) ，拟在开发一个解决方案来解决网上信任危机和有效地防止在线欺诈犯罪。扩展验证EV SSL证书就是第一个开发成果来保护用户不与没有经过严格身份验证的网上商户从事在线交易，所有颁发扩展验证EV SSL证书的数字证书颁发机构必须按照统一标准来对申请者进行严格的身份验证，而浏览器能识别出扩展验证EV SSL证书而使得地址栏变成绿色，这样，在线消费者就能非常清楚地知道他们/她们正在与谁做生意。

 

扩展验证EV SSL证书 – 帮您提升客户的信任度

 

    SSL证书是 PKI 公钥基础设施中的最常用的数字证书，是构建安全的电子商务的基石。 SSL证书提供了三种安全服务 — 机密性、完整性和身份验证，确保用户能：

 

(1) 安全地与网站服务器进行通信，所有在线输入和查阅的信息都不会在传输过程中被非法窃取(机密性)；

(2) 确保机密信息不会被非法篡改(完整性) ；

(3) 确保用户确实是在访问一个所要访问的网站，而不是一个假冒网站(身份验证)

 

而第 (3) 点最能理解为何需要扩展验证EV SSL证书。对于一个只验证域名的 SSL 证书，没有任何保证 www.ABCcompany.com 就是 ABC Company 申请的 SSL 证书，用户也无法查验。同时，用户也无法识别到底 www.ABC-company.com 还是 www.ABC-company.com 是他 / 她要访问和交易的正宗网站。也就是说，没有通过身份验证的网站，就给了网上钓鱼欺诈者一个机会可以用一个相象的域名来欺骗那些没有防范意识的用户以为是在 与他 / 她希望从事网上交易的公司进行在线交易，从而骗取用户的钱财。而对于中国普通老百姓由于不懂英文或无法记住复杂的英文域名，就更容易上当受骗了。但是，如 果通过严格身份认证的网站在访问时地址栏显示绿色，那就简单多了，中国老百姓就非常容易识别了，只要记住是否显示绿色就可以了。

 

    申请扩展验证EV SSL证书，申请单位必须经过非常严格的身份验证，而此严格的身份验证流程是由 CA/Browser 论坛制订的增强型身份验证标准(还未最终定稿) ，所有颁发扩展验证EV SSL证书的证书颁发机构必须严格按照此标准来颁发扩展验证EV SSL证书。除了要验证域名所有权外，还包括：申请单位授权其员工办理申请证书手续的授权书、验证申请单位是在当地政府合法注册的、营业执照是有效的(已经年检 的)和是有固定办公场所的等等。

 

分类
知识中心

VeriSign Trust Seal站点签章介绍

全球最可信赖的站点签章标示

VeriSign 信任签章已在 165 个国家和地区中超过 100,000 个网站上部署，一天显示次数多达 6亿5千万次。同时VeriSign信任签章也显示在已启用相关功能的浏览器的搜寻结果中、以及合作伙伴的购物网站和产品评论网页上。VeriSign签章无疑是互联网上的头号信任标志。

每日恶意软件扫描，拒绝恶意代码感染

所有 VeriSign 签章可通过VeriSign证书的注册管理员对网站日常的恶意软件扫描进行管理，让网站和网站访问者远离网站恶意代码感染，在网站和用户之间进一步建立信任。

Seal-in-Search：搜索引擎中的可信签章

VeriSign签章客户还可以通过VeriSign Seal-in-Search受益。通过 VeriSign Seal-in-Search，相关的搜索引擎、合作伙伴和安全工具都会在搜索结果中的网站链接旁边显示VeriSign Trust Seal（需安装AVG Plug-in浏览器控件程序）。VeriSign Seal-in-Search 为 VeriSign 客户带来即时竞争优势，方便网民从搜索结果中快速甄别拥有信任指标的VeriSign认证网站。

VeriSign Trust Seal 优势

VeriSign Trust Seal站点签章介绍-1部署VeriSign信任签章（VeriSign Trust Seal）可通过网络向全世界展示您经VeriSign确认的真实网络身份，且通过签章信息证实您的站点已经通过VeriSign恶意程序扫描，有效避免网站恶意程序对访问者造成的损害，对站点造成的负面影响。更向客户展示网站页面不包含恶意代码，且使用 VeriSign 的安全套接层 （VeriSign SSL证书）保障数据传输安全。

现在，任何网站都可以申请使用VeriSign信任签章建立在线信任度、可靠性与忠诚度。通过显示 VeriSign信任签章来提升访客信心。向客户展示您的网站受到全球数字认证领导者VeriSign的信任，因而可以放心浏览、购买产品及分享文章，促进线上阅读、销售及客户忠诚度。

功能看点
VeriSign Trust Seal站点签章介绍-2 页面显示全球第一品牌的信任标志：VeriSign Trust Seal，可向您的网站访客显示您已受到全球数字认证领导者VeriSign的信任，让访客能够放心购买、点击以及登录。
VeriSign Trust Seal站点签章介绍-2 您的身份信息已由VeriSign 验证且通过了严格的鉴证程序检验。通过点击签章图标，您可以向客户展示经由VeriSign验证的网站合法拥有者身份信息。
VeriSign Trust Seal站点签章介绍-4 保护访客及您的网站免受恶意软件的侵害。网站恶意软件扫描会每日检查您的网站页面，防止网站被植入恶意代码，避免网站被列入搜索引擎黑名单而降低网站访问量。
VeriSign Trust Seal站点签章介绍-3 为了让您的网站在搜寻结果中脱颖而出，VeriSign搜索结果签章可在搜索链接旁显示，帮助您的网站获得更多点击，增加网站阅读量。

 

推荐使用者

任何网站都可以通过显示VeriSign信任签章（VeriSign Trust Seal）建立网上信任度、可靠性及忠实度。

  • 电子商务网站：如果您的网站不处理在线交易或您的购物车或付款服务由第三方提供商提供，那么选购VeriSign信任签章（VeriSign Trust Seal）是最佳选择，您可以展示该标志让您的客户放心在线购买。
  • 线上出版商（发行商）：阅读量与点击率是您成功的关键。通过在搜寻结果中脱颖而出，可以增加点击率，通过VeriSign信任签章建立可信度能够增加阅读量。
  • 小型企业拥有者：您已经在附近区域建立起商业信誉。VeriSign信任签章可帮助您将同等级的信任带到互联网上。
  • 售卖、登记机密资料的网站：如果您通过网站搜集或共用个人信息，则需要使用 VeriSign SSL 证书确保信息处于安全加密保护中。

安装配置

VeriSign信任签章（VeriSign Trust Seal）就像将图片加入到网页中一样容易。在您申请VeriSign信任签章后，VeriSign会验证您的签章所部署的域名，并扫描您的网站。当您的签章准备完毕后，就会收到电子邮件通知。

进入Trust Seal签章代码获取页面：http://www.verisign.com/trust-seal/trust-seal-visibility/agreement/index.html

在签章代码获取页面，您可以对签章语言、签章大小、签章启用图片或动画等细节进行定制。

在获取的代码中，只需要将 script 部分的代码放入 Web页面中需要显示签章的位置，即可在页面中显示签章信息。

当访客访问您的网站时，点击VeriSign信任签章，他们就可以看到您提供给VeriSign且经过验证后完全可靠的信息，包括网站所有者的名称、城市、州/省、国家或地区，以及最近恶意软件扫描的情况。

分类
知识中心

提升SSL安全性的十个技巧

你的SSL服务器上是否存在错误配置或已知漏洞这样的安全隐患呢？根据以下10个技巧，可以帮你避免这些常见的SSL安全威胁。

1.禁用SSLv2。早在15年前，这个版本的SSL协议早就被确认存在安全问题了，但还是有很多Web服务器仍然支持这个协议。

禁用它只需几分钟的时间。例如，在Apache v2中，你只需要改变默认设置：

SSLProtocol all  
to  
SSLProtocol all -SSLv2 
2.禁止支持弱加密。几乎所有Web服务器都支持128位强度或者256位高强度的加密算法，但也有少部分的Web服务器支持弱加密。弱加密会被黑客利用，威胁企业信息安全。所以，没有理由去支持弱加密服务。同样，在几分钟之内就可以禁用掉这个服务，例如：

SSLCipherSuite RSA:!EXP:!NULL:+HIGH:+MEDIUM:-LOW 
3.确保你的服务器没有支持不靠谱的重新握手和协商过程。SSL和TLS身份认证的漏洞容易遭到中间人攻击的利用，进而导致任何内容都可以重定义并注入到加密的数据流当中。大部分厂商都发布了此漏洞的补丁，若你还没有打这个补丁，最好还是先禁用这个重定义服务吧。

4.确保通过SSL认证的所有阶段。关键是要保护你的用户证书，也就是说用户通过SSL连接提交给你登录表单，同时，你要保护他们的证书安全。否则，黑客会通过他们自己的服务器来拦截你的信息并转发一个恶意信息给用户，以便窃取到用户们的授权证书。

5.在你的网页上不要把SSl保护的内容和明文内容混在一块。混合使用加密认证会导致你的网站受到攻击，因为像Javascipt这种单个未受保护的资源容易被注入恶意代码或者是受到中间人攻击。

6.使用HSTS加密保护你的域（包括子域）。用HSTS协议来保护你的网站，在你首次访问网站中的任何连接时，可以将HTTP自动转换成HTTPS。与此同时，若用户持非法私有证书，是不能再次浏览该网站的。这就意味着，黑客将不能你的用户转移到那些他们所操控的具有不安全SSL连接以及危险cookies信息的钓鱼网站了。

STS协议头必须保证只通过HTTPS发送，并且配置应该尽可能地清晰简单。其配置只需要简单的两行命令。例如在Apache中，你可以输入下面的命令：

Header set Strict-Transport-Security “max-age=XXXXXX”  
Header append Strict-Transport-Security includeSubDomains 
7.使用HttpOnly和安全标识来保护cookies。用来鉴定SSL会话持续时间的cookies常常会削弱SSL会话的安全性。HttpOnly标识可以隐藏你的客户端脚本，所以他们不能通过跨站点脚本攻击来窃取信息。也就是说，安全标识cookies只能通过加密的SSL来传输，因此不能被截获。

用HttpOnly来配置你的Web服务器证书，从而保护cookies。通过这样简单增加安全属性的方法，可以防御上述两种类型的攻击；用HttpOnly来设置Cookie Http响应前端：

Set-Cookie: =; =  
; expires=; domain=  
; secure; HttpOnly 
8.使用扩展验证（Extended Validation）EV SSL证书。虽然这个证书对于你的网站安全来说并不是非常必要，但是EV证书可以在地址搜索栏上展示出明确的视觉确认效果，通过安全的SSL连接，用户可以一下子就确认是你的网站，而非钓鱼网站。

9.确保你的证书被包含在子域当中。为了避免网站用户得到错误的证书，你要确保https://www.yourdomain.com和https://yourdomain.com 都覆盖了你的SSL证书。

你可以使用多域名SSL证书，它可以允许你最多选择三个主名（SNAs）例如yourdomain.com 或 www.yourdomain.com

10.进行SSL服务器测试。使用Qualys公司的SSL实验室可以进行免费测试，你可以检查SSL服务器配置，认证链，以及协议和密码组在内的整体SSL安全状态。

分类
网络新闻

黑客获取数字证书　浏览器厂商阻止流氓SSL证书

黑客已经从一个证书授予机构取得数字证书，这使得他们可以向许多域发送欺诈公钥证书请求，包括搜索引擎巨头谷歌所拥有的网站。

VASCO数据安全国际公司的子公司，位于荷兰的证书颁发机构DigiNotar，为网络犯罪分子颁发了证书，使他们获得了使用流氓SSL证书劫持Gmail帐户，以及使用SSL和EVSSL证书（为安全考虑同时向用户证明其合法性）欺诈安全的网站的能力。这次违反操作发生在7月19日。在VASCO发出的一份声明中，该公司表示它们已撤销了所有的诈骗证书。

“最近，我们发现，至少有一个欺诈性的证书在那时还没有被撤销，”该公司表示，“在荷兰政府组织Govcert发出通知后，DigiNotar立即采取行动撤销了欺诈证书。”

这次攻击是针对DigiNotar用来颁发其数字证书的系统。目前，证书颁发机构暂停出售其SSL和EVSSL证书，直到得出其他安全审计结论为止。VASCO表示，运行其强认证业务的系统没有受到这次违反的影响。关于被盗证书的详细信息已于上周六发布到一个公共论坛上。

本周一，谷歌回应了流氓证书，声称它已经在Chrome浏览器中禁用了DigiNotar证书颁发机构。谷歌表示，证书的主要影响在伊朗的人。此外，Mozilla也已经禁用了对该证书的支持。

“这表示，如果Chrome和Firefox的用户试图访问使用DigiNotar证书的网站，那么他们将收到通知，”谷歌的信息安全经理Heather Adkins在谷歌在线安全博客中这样写道，“为了帮助防止不必要的监视，我们建议用户，特别是那些在伊朗的用户，保持网络浏览器和操作系统的更新，并注意Web浏览器的安全警告。”

本周一，微软发布了一个安全公告，表示其已经为Windows Vista和Windows 7用户从受信任的根证书列表中删除了DigiNotar根证书。

“该证书潜在的影响了那些试图访问Google旗下网站的互联网用户，”微软可信赖计算主任Dave Forstrom在微软安全响应中心博客中写道，“欺诈证书可用于欺骗Web内容，进行钓鱼攻击或对最终用户执行中间人攻击。”

攻击者过去曾有针对性的攻击证书颁发机构。今年三月，在黑客入侵了一个Comodo公司登记管理机关合作伙伴的系统后，他们从Comodo公司偷走了证书。该泄漏导致了在七个Web域发布了九个欺诈证书，包括搜索引擎巨头谷歌和雅虎。一位伊朗黑客声称对这次SSL证书偷窃负责。Comodo公司表示，Comodo根键（root keys），中间计算机结构（intermediate CAs）或安全硬件没有收到损害。

 

分类
网络新闻

SSL协议：我们到底应该相信谁？

　　正如今年早些时候可信赖的第三方Comodo遭到安全攻击显示的那样，第三方也是不可靠的。现在，研究人员正在为SSL开发新的不易被攻破的信任模式。

　　卡耐基梅隆大学的一个团队提出一个名为”Perspectives”（视角）。专门研究隐私、匿名和计算机安全的实验室研究员Moxie Marlinspike提出了名为”Convergence”（融合）。

　　他们提出的方案有些类似，把SSL保护的web服务身份识别从浏览器和凭证认证中心转移到一个称作公证人的新实体中。

　　过去，当一个浏览器要与一台服务器建立一个SSL进程，它要求那台服务器拥有SSL证书。浏览器通过检查那台服务器是否拥有浏览器信任的最高凭证管理中心签署的证书来验证那个证书的身份。实际上浏览器也许直接依靠最高凭证管理中心担保的其它凭证认证中心。

　　这就产生了一个从最高凭证管理中心到他们信任认证中心的信任链。

　　如果这个信任链中的任何一个环节遭到破坏，攻击者就能为网站获取假冒的证书。这些非法的证书用于欺骗浏览器信任它们，为中间人攻击建立浏览器至服务器间的通讯。

　　上述就是Comodo公司被攻破的情况。在那次攻击中，它的一个可信赖的合作伙伴发布了9个电话证书。

　　采用”Perspectives”和”Convergence”方案，而不是依靠与浏览器一起发布的凭证认证中心和最高凭证管理中心，信任放在一个公证人身上，公证人周期性检查和记录Web服务器展示什么证书的服务器。

　　当一个浏览器收到一台服务器发来的证书时，它不要求证实这个证书是与一个最高凭证管理中心有关联。相反，它询问一个公证人这个证书与这台服务器过去一段时间定期发布的证书是否匹配。如果匹配，那就表明它是那个网站的合法证书。

　　卡耐基梅隆大学计算机科学系副教授、”Perspectives”项目负责人大卫·安德逊（David Andersen）称，这种信任模式不依赖于小的凭证认证中心。他说，不要把鸡蛋都放在一个篮子里。我们管理所有的”Perspectives”公证人。因此，你最终会信任我们。

　　安德逊希望在全面部署的架构中，谷歌、微软、雅虎和Verizon等大公司以及小公司和个人会建立公证人。公证人可以共享他们收集的数据。只要他们认同，那个网站就是好的。你可以信任这个累计的结果。用户可得到一个证书身份的统计和概率性验证。

　　Marlinspike称，这个架构为最终用户提供了信任的灵活性，就是在任何时候把他最初对一个网站的信任转播给其他人。根据当前的系统，这个预先确定的信任锁定在浏览器和凭证认证中心，不允许撤销。

　　Marlinspike的”Convergence”架构创建一个公证人转播，不让任何一个公证人知道谁在要求验证一个指定证书的身份以及这个证书将发给什么网站。

　　这个转播功能的隐私水平很好。公证人B只能看到公证人A,因此，它看不到什么客户在询问什么网站。同样，公证人A只能看到客户提出请求，而看不到他在询问什么网站。

　　安德逊称，目前，”Perspectives”只为3万用户提供服务。大多数用户在互联网上进行SSL证书检查。要取代当前的SSL身份识别系统需要一个拥有数百台公证人服务器的全球网络连接到DNS服务器网络。但是，它们只能执行简单的任务，并且服务器数量不够。

　　Axway公司CTO和SSL的创建者之一塔希尔·盖莫尔（Taher Elgamal）承认，身份识别是SSL应用中的一个弱点。在创建SSL的时候，身份识别并不是主要的重点。但是，公证人系统是独家代理可信任的第三方凭证认证中心的一个改进方法。

　　盖莫尔称，信任要做得好，有些事情需要改变。我需要建立一个社区，说这些是不是可以信赖。因为公证人模式需要全球部署基础设施，实际执行是一个重大的项目。这个项目的规模非常大，是16年后才能完成的。

分类
网络新闻

SSL Certificate Authority系统遭入侵发布虚假密钥 微软谷歌受影响

北京时间8月31日午间消息，SSL证书颁发机构(SSL Certificate Authority)证实其系统曾遭受入侵，导致一系列网站得到了一些虚假的公钥证书，其中包括Google.com。

　　此外，荷兰网路信托服务专业公司DigiNotar的证书在谷歌、Mozilla和微软的浏览器上业已失效，尽管它表示已经检测到了2011年7月19日发生的安全泄露问题，并删除了受影响的证书。此外，有一家外部安全审计机构也证实虚假证书已被吊销。然而，谷歌接收到的虚假证书却没被删除。

　　DigiNotar声称：“最近，我们发现至少有一个欺诈性的证书还尚未撤销。后来经荷兰政府组织Govcert通知，我们立即采取行动，撤销了这些欺诈性证书。”它还表示这次安全攻击只是针对DigiNotar签发SSL和EVSSL证书的基础设施，其他类型证书的发布并未涉及。

　　DigiNotar的母公司Vasco告诉其投资者，DigiNotar的这次安全泄露不会给公司整体业绩造成巨大冲击，因为SSL业务每年盈利额还不到10万美元。这可能也是对谷歌、Mozilla和微软的回应，因为这三家公司已经在其浏览器产品中将DigiNotar移除，不再认定其为一家可信的SSL证书颁发机构。同时，这也引发了大家关于SSL证书颁发机构可信度的大讨论。我们不禁会联想到DigiNotar发布官方新闻稿的时机怎么会这么巧，而且更为奇怪的是，为什么在7月发现安全泄露事故的时候，它却没有发布相关信息。