标签： 绿色地址栏

   数字证书颁发机构 (CA) 在互联网安全生态链中扮演一个非常重要的角色，因为 CA 充当可信任的第三方在验证申请者的真实身份后才颁发SSL证书。 CA 需要有非常可靠的公钥基础设施 (PKI) 、身份验证专业人才和流程、客户支持、安全评估、证书数据库管理等等，这些系统还要支持不同的身份验证应用需要 ( 如服务器验证、客户端验证和软件代码验证等等 ) 。

    可以说， CA 是保护最终用户信息安全的第一道关，因为 CA  在颁发证书之前对申请证书的网站进行了身份验证，而如果 CA 没有进行严格的身份验证就会给互联网用户带来安全威胁，主要包括：

    (1) 如果没有验证申请单位的真实身份或没有检查申请单位是否有权使用此域名，则恶意假冒者有可能使用 SSL 证书来欺骗用户此网站就是 SSL 证书中所指的单位的真实网站。

    (2) 如果不验证申请单位是否存在 ( 不验证营业执照 ) ，则网站上所声称的公司名称可能就是一个实际上不存在的公司 ( 即：没有合法注册的公司 ) ；

    (3) 如果不验证申请人的身份和验证是否授权代表某机构申请证书，则恶意假冒者极有可能使用一个被假冒方的营业执照来申请证书，以达到假冒和欺诈的目的。

目前，证书颁发机构一般在只验证域名所有权的 SSL 证书 ( 超快 SSL) 中不显示单位名称，以免被非法利用，而为了防止第 (3) 种情况，一般都要求除了提供营业执照外，还需要提供第三方证明文件和电话确认。

    但由于目前的各个 CA 的身份验证过程都是不一样的，严格程度也不一样，所以，全球领先的各大数字证书颁发机构才发起制定了一个全球统一的、更加严格的身份验证标准来颁发扩展验证EV SSL证书，从而为最终用户的信息安全严格把好第一道关。并联合各大浏览器开发商给予扩展验证EV SSL证书不同于其他 SSL 证书的显示方式 ( 地址栏变绿 ) ，让最终用户可以非常直观地知道正在访问的网站是通过权威的数字证书颁发机构严格身份验证的真实存在的经营实体，从而放心地从事在线交易。根据09年最新的Netcraft结果，全球领先网站共部署13，000余个扩展验证EV SSL证书，其中，超过10，000个是由VeriSign(威瑞信)颁发的。经验证，VeriSign扩展验证EV SSL证书可以有效降低网上订单的放弃率，提高成交率。通过使用VeriSign扩展验证EV SSL证书，交易量提高可达27%，网上收入提高50%。另外，电子商务网站Virtual Sheet Music在采用扩展验证EV SSL证书后，销售量提高了13%，效果十分显著。更为可喜的是，目前VeriSign已与天威诚信数字认证中心（iTrusChina）携手推进国际上最为先进的绿色地址栏扩展验证EV SSL证书在国内的发展，共同抵御欺诈钓鱼网站对网民的直接损害。

互联网启蒙于美国军方的内部网络，由于其是一个专网，初期网络规模小，处理能力低，设计的TCP/IP协议的核心是信息传递，很少涉及信息安全，因此，应用层协议http、smtp、ftp均是明文数据，未采用加密措施。

随者互联网的普及，互联网应用层出不穷，同时，由于互联网的爆炸性增长，接入互联网的节点泥沙俱下，带来各种各样的互联网威胁，如何辨别一个网站的身份，如何安全的传递机密或隐私信息，成为至关重要的问题。

    SSL安全套结字层协议（secure sockets layer），提供了一个传输层安全的应用协议，解决互联网服务网站的身份识别，机密、隐私信息的加密传输问题。SSL部署的过程中至关重要的环节是SSL证书（certificate ssl）的申请与配置。 决定购买何种SSL证书，不仅是一个技术问题，更涉及到公司的战略、服务意识、管理等一系列问题。本文将从技术层面对服务器证书的选择进行讨论。

技术层面：

1、  加密位数越高越好吗？

    目前市场上的SSL证书中，对于加密位数有个加密位数越高越好的误区，SSL协议涉及到的加密的环节，有两个加密位数，一是证书公钥位数，分为512位、 1024位、2048位，主流的是1024位。一是会话秘钥（对称密钥）位数，分为40位，128位，256位，主流的是128位。公钥算法主要是用来加密会话秘钥，会话秘钥是SSL会话建立之后对会话内容进行加密，会话秘钥的长度和浏览器支持的密钥长度相关，微软的IE系列浏览器，有40位和128位两种，VeriSign SSL证书采用SGC技术，可以实现40位IE浏览器的128位强制加密，其他处于从属地位的浏览器，例如firefox，可以支持 256位会话秘钥。主流的密钥长度在目前的技术水准下，破解的难度相当高，暴力破解需要耗费相当长的时间。而由于SSL会话秘钥是一次性的，且有效期较短，基本不存在被暴力破解的可能性。 加密过程需要消耗服务器资源，在密钥长度增加的同时，会带来更大的性能负载，在主流密钥长度可以提供足够安全的保障前提之下，更长的密钥长度只能带来无效的负载增加。

2、  证书链的层级越少越好吗？

    目前市场上的SSL证书中，对于证书链的长短也有不少争议，有VerSign证书链在美国为二级，在中国为三级，三级证书链验证过程时间长的说法。其实，证书链的长短有多方面的原因，涉及到不同的安全级别、证书颁发策略，不能一概而论。证书链越长当然验证的时间也越长，不过在不超过四级的长度下，性能接近相同。比如，目前的VeriSign扩展验证EV SSL证书，就存在两条证书链，一条是三级，适用于IE7等新版本浏览器，一条是四级，适用于windows 2003下的IE6等稍旧版本浏览器。 由根CA直接签发证书的二级结构，需要根证书在签发证书时在线，如果，业务处于饱和状态就要求根证书一直在线，不符合一般CA安全的密钥安全管理原则，也极大的增加了根密钥的安全风险。因此，此类的证书已经不是主流的证书类型。

   在中国互联网信息中心7月份公布的《第22次中国互联网发展状况报告》结果显示，中国网民已经增长到2.53亿，成为世界第一，大家开始依赖网络生活，但是对网上交易安全性却极度缺乏信任，甚至给出了不及格的评价。难道网上银行、网络交易真的处处陷阱，步步惊心吗？

    面对这种局面，金融站点、购物网站并未坐以待毙，都在积极采取应对措施，如何重新获得网民的信任，并将这种信任加以巩固？全新扩展验证EV SSL证书的登台献艺，为正处在信任危机中的国内网站带来新的契机。金融机构的各大网上银行，目前正陆续开始换装新一代扩展验证EV SSL证书，用户在登录有扩展验证EV SSL证书保护的银行网站时，网站地址栏将变成绿色，真假网站一目了然。

安全防范源于严格

一张我们既看不到也摸不到的所谓“证书”就真能保障消费者利益？

服务器证书是通过在客户端浏览器与Web服务器之间建立一条SSL安全通道从而保证双方信息在网络上传输的安全性，用户可以通过查看服务器证书属性信息便可得知所访问站点的真实与否。新一代扩展验证EV SSL证书的产生更是为了杜绝在全球方位内频频发生的在线欺诈泛滥问题。它是全球著名的数字证书颁发机构（如：VeriSign、GeoTrust、Thawte等等）联合主流浏览器开发商一起构建起的安全防护网络。

    所谓“扩展验证EV SSL证书”，是遵循全球统一的严格身份验证标准颁发的SSL证书，用来保护用户不与没有经过严格身份验证的网上商户进行在线交易。所有颁发扩展验证EV SSL证书的数字证书颁发机构必须按照统一标准来对申请者进行严格的身份审核，而浏览器能自动识别出扩展验证EV SSL证书，使得地址栏主动变成绿色。这样以来在线消费者便可安心交易，因为消费者能非常清楚地知道他们正在与谁交易，并且他们的交易数据正在安全加密通道的保卫之下。扩展验证EV SSL证书通过在业务层面上对申请机构的严格审核，尽可能地规避了由于审核标准不同而产生服务器证书拥有者身份不真实所带来的安全隐患。

一纸应运，效益显见

扩展验证EV SSL证书的广泛应运，在全球范围内都得到了使用者的赞誉。全球最值得信任的网络基础架构供应商—威瑞信(VeriSign)在扩展验证EV SSL证书推出之后，曾做过一个关于扩展验证EV SSL证书的调查，结果显示：相比由常规服务器证书保护的站点，93%的互联网用户更青睐绿色标记的EVSSL站点；同时97%的购物者看见绿色标志时会使用信用卡，而没有看见绿色标志时，这一意愿下降到63%。同时国外著名的购物网站在使用扩展验证EV SSL证书后交易量也有显著变化：Overstock..com使用EVSSL后，购物车定单放弃率降低了8.6%;Paypal在使用扩展验证EV SSL证书后，“购物车定单放弃率也降低了几个百分点”； Virtual Sheet Music 网站在使用扩展验证EV SSL证书交易量则增长13%。由于扩展验证EV SSL证书更具识别性，它正开始让交易变得更加便捷可信。

    天威诚信作为国内技术力量强大的第三方CA机构，同时也是威瑞信（VeriSign）在中国的首要合作伙伴，一直在积极推进扩展验证EV SSL证书的广泛使用。为了让更多客户能够了解扩展验证EV SSL证书，保障电子商务在中国的健康发展。7月天威诚信与威瑞信在上海隆重举办了华东地区扩展验证EV SSL证书高端用户答谢会，面对面地为大家讲解和展示了扩展验证EV SSL证书的功能和相关技术，双方相信构建一个规范运营，诚实守信的网络商圈，需要各方积极参与，商家、网民、第三方数字认证机构需要同心协力，扩展验证EV SSL证书才能在国内发挥更佳的作用。

扩展验证EV SSL证书是如何诞生的？

Extended Validation SSL Certificate, 简称为：扩展验证EV SSL证书，意思是：遵循全球统一的严格身份验证标准颁发的 SSL 证书，扩展验证EV SSL证书的诞生是为了对付日益猖獗的网上欺诈犯罪，意在恢复并增强人们对网上在线交易的信心。

Forrester Research 在 2005 年做了一项调查，有 84% 的受访者认为网上购物服务提供商没有做好保护消费者的在线交易安全工作，而 24% 的受访者称由于担心不安全而不会在网上购物。而目前还没有一个有效的防止网上欺诈的安全手段，只能提醒用户注意查看正在访问的网站的域名是否确实是某某银 行的网址，这是远远不够的。特别是针对中国普通网民，有多少人能记住中国银行的网址是： bank-of-china.com 而不是 bank-off-china.com ，招商银行网址是 cmbchina.com 而不是 cmb-china.com 等等。特别是值得信任的安全锁也变得谁都可以申请到而只需要简单的验证域名所有权，这给了在线诈骗分子有了一个可乘之机，因为普通消费者是不能识别没有严格身份验证的 SSL 证书 ( 超快 SSL) 和已经严格身份验证的 SSL 证书 ( 超真 SSL) 有什么不同，因为都会在浏览器上显示一个安全锁标志。

    为了解决出现的在线欺诈泛滥问题，全球著名的数字证书颁发机构(如：Comodo、VeriSign、GeoTrust、 Thawte等等)联合主流浏览器开发商(如：微软、 Mozilla 、 Opera 和 KDE 等)创立了数字证书和浏览器论坛 ( www.cabforum.org ) ，拟在开发一个解决方案来解决网上信任危机和有效地防止在线欺诈犯罪。扩展验证EV SSL证书就是第一个开发成果来保护用户不与没有经过严格身份验证的网上商户从事在线交易，所有颁发扩展验证EV SSL证书的数字证书颁发机构必须按照统一标准来对申请者进行严格的身份验证，而浏览器能识别出扩展验证EV SSL证书而使得地址栏变成绿色，这样，在线消费者就能非常清楚地知道他们/她们正在与谁做生意。

扩展验证EV SSL证书 – 帮您提升客户的信任度

    SSL证书是 PKI 公钥基础设施中的最常用的数字证书，是构建安全的电子商务的基石。 SSL证书提供了三种安全服务 — 机密性、完整性和身份验证，确保用户能：

(1) 安全地与网站服务器进行通信，所有在线输入和查阅的信息都不会在传输过程中被非法窃取(机密性)；

(2) 确保机密信息不会被非法篡改(完整性) ；

(3) 确保用户确实是在访问一个所要访问的网站，而不是一个假冒网站(身份验证)

而第 (3) 点最能理解为何需要扩展验证EV SSL证书。对于一个只验证域名的 SSL 证书，没有任何保证 www.ABCcompany.com 就是 ABC Company 申请的 SSL 证书，用户也无法查验。同时，用户也无法识别到底 www.ABC-company.com 还是 www.ABC-company.com 是他 / 她要访问和交易的正宗网站。也就是说，没有通过身份验证的网站，就给了网上钓鱼欺诈者一个机会可以用一个相象的域名来欺骗那些没有防范意识的用户以为是在 与他 / 她希望从事网上交易的公司进行在线交易，从而骗取用户的钱财。而对于中国普通老百姓由于不懂英文或无法记住复杂的英文域名，就更容易上当受骗了。但是，如 果通过严格身份认证的网站在访问时地址栏显示绿色，那就简单多了，中国老百姓就非常容易识别了，只要记住是否显示绿色就可以了。

    申请扩展验证EV SSL证书，申请单位必须经过非常严格的身份验证，而此严格的身份验证流程是由 CA/Browser 论坛制订的增强型身份验证标准(还未最终定稿) ，所有颁发扩展验证EV SSL证书的证书颁发机构必须严格按照此标准来颁发扩展验证EV SSL证书。除了要验证域名所有权外，还包括：申请单位授权其员工办理申请证书手续的授权书、验证申请单位是在当地政府合法注册的、营业执照是有效的(已经年检 的)和是有固定办公场所的等等。

    SSL 协议和 SSL 证书已经被广泛用于几百万个银行网站和电子商务网站来保护在线消费者的交易安全。SSL 证书由数字证书颁发机构 (CA) 颁发，消费者已经把浏览器中的安全锁作为一种安全和信任的标志。

    信任 (Trust) 对于电子商务来讲非常重要，是把网站访问者变成购买者的最关键因素。目前互联网的在线用户数与电子商务交易的用户数的比例非常非常低的主要原因是用户 对在线交易缺乏信任，担心会有欺诈，因为用户与网上所声称的商家并没有见面，而消费者在街上购物时看到了实实在在的商店就能放心地购物。如何让消费者也能 在线“看到”实实在在的商家呢？如何方便地让在线消费者也相信此网站的实体确实是一个实实在在的商家呢？

    著名调查公司 Gartner 指出：在过去的一年来，有将近两百万美国人成为网上欺诈的受害者，并估计美国有 5700 万互联网用户都收到过假冒知名网站或银行的要求用户更新个人信息的欺诈电子邮件，而其中有 180 万用户因此而泄露了机密的个人信息。

    而现在，新标准的VeriSign扩展验证（EV）SSL证书的推出，就是给用户一个非常直接的方式 ( 地址栏为绿色 ) 来表明他 / 她正在访问的网站的实体确实是一个实实在在的商家，其真实身份已经通过权威的第三方严格身份验证，用户可以对其经营实体的身份真实性放心。而商家赢得了用 户的信任就赢得了生意。

信任才有商机

    在过去的 10 年里，各种消费者杂志、商业团体和信息安全服务提供商都在不断地教育人们一些在线安全的常识，所以，现在的许多消费者都知道了浏览器下面的安全锁的重要 性，用户要在线购买您的产品就要让他 / 她确实是安全的，是不会泄露其个人机密信息的，而部署了 SSL 证书就能让用户可以看到您是非常重视其安全的，并且确实他 / 她的机密信息是加密传输的。

    但是，由于只验证域名的 SSL 证书的推出，使得用户无法直观地识别没有验证身份的网站和已经验证身份的网站有什么不同。现在， 扩展验证EV SSL证书的推出，就突出了没有验证身份的网站和已经验证身份的网站的不同，通过全球统一标准的严格身份验证的网站就会显示为绿色，让您的客户相信他 / 她正在访问的网站确实是所声称的单位，其真实身份是通过权威第三方验证的。

如下图所示：

    浏览器的绿色安全通道，让您的客户信任您，信任才有商机！

不严格的身份验证不能带来信任

    建立在线信任的基础是身份验证，一个用户可以通过查看网站所部署的 SSL 证书来验证其真实身份。但是，由于只验证域名的 SSL 证书 (Low Assurance SSL) 的推出，使得只验证域名所有权的弱身份验证 SSL服务器证书与已经人工严格验证身份的 SSL 证书 (High Assurance SSL) 表面看起来没有什么不同，都同样显示一个安全锁标志，只有查看证书内容才会发现不同，但普通用户一般是不会查看证书内容。

    这带来什么后果？这让假冒网站钻了空子，由于不验证真实身份使得一个假冒知名机构的网站也一样有 SSL 证书，一样显示一个安全锁标志。其最终的恶果是使人们失去了对 SSL 证书的信任，同时也对电子商务的安全失去了信心。