标签： 天威诚信

分类
公司新闻

天威诚信vTrus证书入根两款国密浏览器，共筑国密生态安全

日前，天威诚信自主研发的支持国密SM算法的vTrus SSL证书成功入根赢达信、零信两款国密浏览器，标志着天威诚信在国产密码研发应用领域取得了新进展，进一步夯实了国密数字证书的安全根基。

天威诚信vTrus证书入根两款国密浏览器，共筑国密生态安全

长期以来，密码都是维护网络信息安全的核心技术和黄金标准。也正因如此，针对密码的网络攻击从未止息，甚至呈现愈演愈烈之势。随着密码技术的发展，DES、MD5算法早已被攻破，国际RSA算法也面临着严峻的安全挑战。

为应对密码算法应用中存在的问题，我国积极推动国产密码算法的研发和使用，先后研制和公布了SM2、SM3、SM4等一系列国密算法，并制定了相关标准，包括国密浏览器在内的各类国密安全产品应运而生，赢达信安全浏览器和零信浏览器正是践行国密算法应用，构筑国密生态安全体系的创新产品。

赢达信国密安全浏览器

赢达信国密安全浏览器由天津赢达信科技有限公司自主研发，主要应用于政企、金融和重要领域信息系统的安全办公应用。

浏览器支持SM2、SM3和SM4国密算法，支持基于国密算法的SSL协议，内置国密根证书，目前已获得国家密码管理局商用密码检测中心商用密码产品认证证书，先后在多个政企项目中成功应用。

零信浏览器

零信浏览器是由零信技术（深圳）有限公司基于开源Chromium研发的一款全面支持国密双证书和单证书的国密浏览器。其最主要特色就是优先使用国密算法实现HTTPS加密，网站部署国密SSL证书后，地址栏安全锁后面会增加一个“m”标识，以突显国密算法。

此外，零信浏览器在使用HTTPS协议同服务器握手过程中就已经全部了解了SSL证书的安全部署情况，即在正常显示安全锁标识的同时显示网站安全体检评级级别，这是零信浏览器的全球独家率先创新实现，有利提升网站安全的整体水平。

随着《密码法》《关键信息基础设施安全保护条例》等法律法规的深入贯彻实施，国内重要领域越来越需要实现网站安全的国密合规，并逐渐开始部署国密SSL证书，应用国密浏览器，以实现国密算法HTTPS加密。

天威诚信vTrus证书入根两款国密浏览器，共筑国密生态安全1

作为国内首批获得《电子认证服务许可证》《电子认证服务使用密码许可证》的电子认证机构，天威诚信积极响应国家政策，依托深耕密码领域多年的技术优势，自主研发的支持SM2算法的电子认证服务系统/密钥管理系统已通过国家密码管理局的安全性审查，在此基础上研发了支持国密SM算法的vTrusSSL系列证书。

在国密SM算法替代国际RSA算法和泛在化应用不断加速的大趋势下，通过纵向深耕与横向协作，vTrusSSL证书已实现了在360安全浏览器、奇安信可信浏览器、红莲花安全浏览器的根证书预埋，进一步提升了各国密浏览器的兼容性，并广泛应用于政府、电信、金融、能源等重点领域，保障关键信息的安全。

天威诚信vTrus证书的正式入根，意味着天威诚信将与赢达信国密安全浏览器和零信浏览器一起，携手发展壮大国密数字证书体系，共同承担维护国家重要领域和关键信息基础设施的安全责任，在为用户提供更安全使用体验的同时，共同助力国密生态安全的建设发展。

分类
公司新闻

努比亚携手天威诚信，共同打造多域名网站安全解决方案

域名作为网站的入口，对企业营销型网站建设起着至关重要的作用，尤其是做C端业务的企业网站，往往拥有多个域名。

在PC端、Web端、移动端等全渠道营销环境下，企业通过多域名网站增加获客机会的同时，也意味着要面临更多的网络风险，国内知名手机品牌——努比亚企业网站正是如此。

深圳市努比亚信息技术有限公司（以下简称“努比亚”）是国内新锐高端智能手机厂商。自成立以来，努比亚坚持“Be Yourself”的品牌理念，在产品工艺、用户体验和技术研发等方面始终坚持创新与极致。

努比亚旗下智能手机包括Z、My（布拉格系列）、X、N和红魔五个系列，业务范围覆盖中国、北美、南美、北欧、俄罗斯、东南亚、印度等市场。

随着全球市场规模的不断扩大，努比亚网站的域名也越来越多。为解决多域名网站可能带来的安全隐患，努比亚牵手天威诚信，通过部署多域名SSL证书保障企业网站安全，助力努比亚业务稳健发展。

多域名适配方案+https全站扫描

考虑到努比亚网站拥有较多域名，且分布于国内外不同网络环境下的实际情况，天威诚信根据不同域名特性为之提供相适配的SSL证书安装服务，证书为国际通用品牌通配符证书，支持添加扩展域名，解决了努比亚在不同环境中安装证书的问题。
通过SSL证书，可识别网站所有者身份信息，提高客户信任程度，并显示安全锁和绿色地址栏，确保努比亚多域名网站的安全运行。

同时，为确保多域名网站数据安全，天威诚信为努比亚提供https全站扫描方案，检测全域名下证书安装情况及运行状态，保证访问者全程都在https协议的保护下进行浏览，进而确保站点和数据传输安全，有效屏蔽骚扰攻击、钓鱼网站及中间人攻击等恶性行为。

CIM平台：一键管理多域名网站证书

随着SSL证书在努比亚多域名网站的大面积应用，证书的安装、维护、有效期管理和故障监测等需求不断增加，为努比亚网站运营带来了一些管理上的不便。

有鉴于此，天威诚信通过自主研发的CIM平台与努比亚网站深度融合，一键管理努比亚多域名网站SSL证书，实现证书的全生命周期管理。

CIM平台具有证书自动识别、统一集中管理、证书状态自动分析和报告、信息及时通知等功能，平台采用C/S架构，多机房管理和分布式部署，可方便对多个机房进行分析和报告，可同时管理自签名SSL证书和企业内部CA系统SSL证书。

对努比亚这种多域名网站用户而言，天威诚信CIM平台易于操作且完全免费，在为网站提升安全的同时，提供了更加直观的SSL证书综合管理方案，让用户省心、省时，证书管理更加高效。

作为中国唯一一家由DigiCert直接授权且由中国工信部批准的电子认证服务机构，天威诚信不仅拥有国际各大品牌的全线SSL证书产品，更自主研发了支持国密算法的vTrus系列证书，可为政府、银行等关键领域提供便捷适用的国密改造方案。

伴随着更多企业业务在线化、数字化的发展趋势，天威诚信将紧贴市场和用户需求，不断优化技术支持和证书管理方案，持续为客户提供优质可靠的可信网站认证产品与服务。

分类
安全播报

攻击http协议的常见方式

攻击http协议的常见方式

日前，Killnet黑客组织袭击了意大利，使用的是一种旧的但仍然有效的攻击方法，称为“慢速http”。意大利计算机安全事件响应小组(CSIRT)随即发布了一项紧急警报，以提高对国家实体遭受网络攻击的高风险的认识。

攻击http协议的常见方式-1

该事件再次引发了人们对http漏洞的关注。http协议虽然依旧是当前搭建网站的主流协议，但随着互联网技术的飞速发展以及如今日益严峻的网络安全问题，http协议的不安全性也越发明显，黑客攻击http协议仍然是最常见方式，具体主要有以下几种攻击方式。

01跨站脚本攻击(XSS)

攻击者在网页上发布包含攻击性代码的数据，当浏览者看到此网页时，特定的脚本就会以浏览者用户的身份和权限来执行。通过XSS可以比较容易地修改用户数据、窃取用户信息，以及造成其它类型的攻击，例如CSRF攻击。

02跨站请求伪造攻击(CSRF)

攻击者通过各种方法伪造一个请求，模仿用户提交表单的行为，从而达到修改用户的数据，或者执行特定任务的目的。为了假冒用户的身份，CSRF攻击常常和XSS攻击配合起来做，但也可以通过其它手段，例如诱使用户点击一个包含攻击的链接。

03HttpHeads攻击

凡是用浏览器查看任何WEB网站，无论你的WEB网站采用何种技术和框架，都用到了http协议。http协议在Responseheader和content之间，有一个空行，即两组CRLF(0x0D0A)字符。这个空行标志着headers的结束和content的开始。只要攻击者有办法将任意字符“注入”到headers中，这种攻击就可以发生。

04Cookie攻击

通过JavaScript非常容易访问到当前网站的cookie。你可以打开任何网站，然后在浏览器地址栏中输入：javascript:alert(doucment.cookie)，立刻就可以看到当前站点的cookie(如果有的话)。攻击者可以利用这个特性来取得你的关键信息。假设这个网站仅依赖cookie来验证用户身份，那么攻击者就可以假冒你的身份来做一些事情。

05重定向攻击

最常用的攻击手段就是“钓鱼”。钓鱼攻击者，通常会发送给受害者一个合法链接，当链接被点击时，用户被导向一个似是而非的非法网站，从而达到骗取用户信任、窃取用户资料的目的。

部署SSL证书保护网站信息安全

随着互联网技术的不断发展，http在黑客层出不穷的攻击手段面前几乎毫无招架之力。为避免数据泄露，保障网站和用户信息安全，世界各国都督促其域内网站通过部署SSL证书的方式提升网站防护能力，尤其是涉及用户个人信息和交易系统的政务、金融、电商等网站，则被要求部署更高等级的SSL证书。

部署SSL证书后，可通过SSL协议帮助网站从“http”进阶为更加安全的“https”链接，通过开启https绿色加密通道，可保障网站数据的加密传输，防止网站核心数据被窃取或篡改，提升网站的安全防护能力。

同时，SSL证书可对网站服务器身份认证，为网站提供国际通用的信任背书，让真假网站一目了然，从而有效避免用户受到钓鱼、欺诈网站的侵害，增加访客的信心。

此外，SSL证书还具有防止运营商的流量劫持，阻止弹窗广告，提升网站在搜索引擎中的排名等诸多作用，是企业在数字化转型过程中最基础的安全防护工具之一。

天威诚信SSL证书服务

需要强调的是，无论哪种网站，部署SSL证书都必须向依法设立的CA机构申请。成立于2000年的天威诚信是由工业和信息化部许可设立的电子认证服务机构，拥有国家授权的《电子认证服务许可证》《电子认证服务使用密码许可证》,并通过了WebTrust国际安全审计认证。

根据不同用户的需求，天威诚信可提供涵盖Digicert、GeoTrust、GlobalSign、Entrust在内的多品牌全类型SSL证书产品及安装、管理等专业化服务，以及自主研发的支持国密SM算法的国产vTrus证书，致力于为中国企业提供更加安全的网络空间防护保障。

分类
公司新闻

《网络安全法》实施五周年，加快推进国密改造提升网络空间安全

《网络安全法》实施五周年，加快推进国密改造提升网络空间安全

2017年6月1日，《中华人民共和国网络安全法》（以下简称《网络安全法》）正式施行，至今已整整五年。

《网络安全法》实施五周年，加快推进国密改造提升网络空间安全-1

作为构建我国首部网络空间管辖基本法，《网络安全法》为维护国家网络主权，规范网络主体行为提供了法律依据。《网络安全法》服务于国家网络安全战略和网络强国建设，助力网络空间治理，持续护航“互联网+”和数字经济的发展。

以法为纲保护关键信息基础设施安全

“没有网络安全就没有国家安全”。随着互联网、信息化的深入推进，关键信息基础设施成为社会运转的神经系统，一旦关键信息基础设施遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益。

为加强关键信息基础设施的安全保护，《网络安全法》专门单列一节，对关键信息基础设施的运行安全进行明确规定，其中第三十一条指出，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域的关键信息基础设施实行重点保护。

在国家相关部门的推动下，《网络安全法》中所提及的关系国计民生的重点领域陆续启动网络安全保障工程，其中推进国密SM算法在关键信息基础设施的应用是关键一环。

SM算法是我国自主设计、具有独特优势的一系列安全高效密码算法，其中SM2/3/9相继纳入国际标准并发布，标志着我国密码算法国际标准体系已初步成型。

同时，由于SM算法与国际通用的RSA算法技术有区隔，其使用可保证无国外可利用的后门，更符合《网络安全法》对网络应用系统的安全要求，更有利于实现国家对关键信息基础设施的自主可控。

循法而行天威诚信推进国密改造工作

《网络安全法》指出，国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系，并通过共享安全信息、交流保护经验获取最佳的保护方案，共同提升网络安全保护水平。

作为国家首批授牌的电子认证服务机构，天威诚信在推进国密算法改造和应用方面始终走在行业前列。2012年，天威诚信自主研发的支持SM算法的电子认证服务系统/密钥管理系统顺利通过国家密码管理局的安全性审查，并在此基础上研发了支持国密SM2算法的vTrusSSL证书。

基于不同行业客户的需求，天威诚信依据《信息安全技术信息系统密码应用基本要求》(GB/T39786-2021)等相关标准，深入结合客户信息化系统与业务办理流程，提供以SM算法应用为核心的涵盖软硬件等多方面的一体化国密改造解决方案。

在密码基础体系层面，通过对原有应用的数字证书服务系统升级改造，使其具备国产密码算法证书的签发、管理、吊销等全生命周期管理。

在业务应用层面，通过对原有部署接口升级改造，使之支持SM系列算法应用，实现在网银、资金、ERP等系统下的用户强身份认证及关键业务节点数据完整性、机密性和抗抵赖保护。

在密码介质层面，通过对原有Ukey等密码承载介质做国密化替换，实现国密SM算法在客户端和服务端之间的底层通讯传输。

在网络通信联络层面，通过应用国产密码算法SSL认证通道，保障网络数据传输安全性。

此外，考虑到企业业务连续性及成本，天威诚信国密改造方案在保障安全性能符合国家要求的同时，可根据客户系统和业务特性，采用RSA算法和SM2算法并行的方式实现国密算法应用，并通过最小改动实现国密算法升级的平滑切换过渡。

依托强有力的技术支撑团队和一体化国密改造方案，天威诚信已帮助数十家企业及机构完成国密改造应用，积累了在证券、政务、金融、银行、能源、大型企业等领域的丰富经验，保障客户系统满足《网络安全法》以及“密评”环节中有关身份鉴别、数据完整性保护、敏感信息机密性保护、接入设备身份认证等方面的要求。

随着《网络安全法》《关键信息基础设施安全保护条例》等法律法规的持续推进，国密SM算法将在更多的领域得到更深入的普及应用。天威诚信将积极对照相关法律法规，依托技术优势与服务创新能力，为更多的行业和企业客户提供更完善的国密改造服务。

分类
安全播报

88%企业遭受DNS攻击 SSL证书为您的DNS安全护航

88%企业遭受DNS攻击 SSL证书为您的DNS安全护航

据国际知名网络安全机构EfficientIP与IDC合作发布的《2022年全球DNS威胁报告》指出，在过去一年中，88%的组织遭受了与DNS相关的攻击，平均每家响应公司有七次。其中包括DNS隧道、DDoS攻击、DNS劫持和云配置错误滥用等，与上一年相比，所有类别的攻击频率都有所增加，其中尤以DNS劫持最为显著。

正如报告指出的那样，在DNS相关攻击类别中，DNS劫持是一种非常常见且危害极大的网络攻击手段，其攻击目的与方式十分直接，就是通过修改域名的NS记录，将域名原本指定的DNS服务器修改为黑客可以操控的DNS，然后便可以通过修改域名解析记录的方式，将域名指向恶意IP从而达到劫持的目的。

DNS劫持对业务造成哪些影响？

DNS一旦被劫持，相关用户查询就没办法获取到正确IP解析，这就很容易造成：

（1）很多用户习惯依赖书签或者易记域名进入，一旦被劫持会使这类用户无法打开网站，导致用户大量流失。

（2）用户流量主要是通过搜索引擎SEO进入，DNS被劫持后会导致搜索引擎蜘蛛抓取不到正确IP，网站就可能会被百度屏蔽掉。

（3）一些域名使用在手机应用APP调度上，如果解析出现劫持就会导致应用APP无法访问，进而出现用户无法访问或者下载的空窗期。

从上图可以看到，DNS劫持对业务有着巨大影响，对用户而言，通过DNS劫持可以将用户诱导至攻击者控制额非法网站，可能会造成银行卡号、手机号码、账号密码等重要信息的泄露。对政府或企业网站而言，DNS劫持将用户引导至其他网站，会导致用户流失和形象受损，同时造成数据失窃、流量被劫持等潜在风险。

防DNS劫持需要“组合拳”

DNS自创建以来一直都是网络安全的致命弱点，因而也成为网络犯罪分子获取网络访问权限和窃取数据的首选目标。为保护网站信息安全，各个网站都要组织部署适当的DNS安全解决方案，以提高网络安全性。

那么，要如何防御DNS劫持呢?

DNS对网站安全的作用至关重要，防御DNS劫持不能依靠单一的方式，必须采取多重组合方案提升网站DNS防护能力。除常规的定期修改域名管理系统账号、设置较小的TTL值、锁定DNS解析记录等方式外，还应为网站部署较高等级的SSL证书，从根本上强化网站系统安全。

88%企业遭受DNS攻击 SSL证书为您的DNS安全护航-1

较高等级的SSL证书如OVSSL和EVSSL证书具备服务器身份认证和数据传输加密功能，如果网站DNS被劫持，就会因为无法提供正确的网站证书而发出警告提示，从而使劫持被及时发现和终止。同时，通过HTTPS加密协议可确保网站在服务端和客户端的数据传输中不被窃取和篡改。

基于SSL证书对网站信息的强大防护作用，当前，各大公司的网站都会使用OV型或者EV型证书，以保障网站信息、在线交易的安全。同时，各主流浏览器也要求企业网站安装SSL证书，否则就会出现不安全提示。

为保障网站信息安全，企业应根据自身网站的性质和规模，尽快向可信的CA机构发起证书申请。作为工业和信息化部批准设立的首批电子认证服务机构，天威诚信早在2000年便开始为国内企业提供SSL证书服务，目前已服务目前已服务于全行业95%大客户，覆盖超10亿网民，伴随着数字经济的蓬勃发展，天威诚信依托数字证书等技术和产品服务，在保障企业网站信息安全的基础上，持续助推全行业的数字化转型。

分类
安全播报

俄罗斯惨遭“断网”！国内网站备份SM2国密SSL证书迫在眉睫

俄罗斯和乌克兰之间的冲突已经持续了两个多星期。 尽管双方暂时停火，但更深层次的战争仍在继续，甚至在各个领域愈演愈烈。

不可预知的“断线行动”

最近，乌克兰副总理兼数字化转型部长米哈伊洛·费多罗夫要求互联网名称与数字地址分配机构 (ICANN) 撤销俄罗斯的顶级域名 (TLD)，例如 .ru、.рф 和 .su 及其相关的安全套接字 层 (SSL) 证书。

此举无异于要求将俄罗斯踢出互联网，ICANN果断拒绝了乌克兰的请求。 然而，就在大家以为闹剧已经结束的时候，以美国为首的多家国外互联网服务运营商却突然对俄罗斯发起了“断网行动”。

据俄罗斯科技媒体CNEWS报道，美国认证中心Sectigo已停止受理俄罗斯地区.Ru和.РФ域名的SSL证书颁发申请。此外，包括中央银行和VTB在内的受美国和欧洲制裁的俄罗斯组织已经撤回了大量SSL证书。

如果没有SSL证书的保护，俄罗斯的各种网站，从政府到个人，都将完全暴露在互联网风险之下。木马病毒和黑客很容易对网站发起攻击，企业机密信息和用户数据可能会被截获。…

总之，在数字时代，没有SSL证书的网站将根本没有安全性或隐私性。

俄罗斯迅速对情况做出反应，并承诺在近期组织一个国家认证中心，为俄罗斯互联网组织免费发放SSL证书。

这一事件为世界各国的网络安全敲响了警钟。密码学是信息安全的核心，任何国家和经济组织都不能掉以轻心。尤其是在当前国内外网络形势日益严峻的环境下，只有保证密码算法关键环节的自主性和可控性，才能保证网络和信息基础设施。安全可靠。

部署国密证书，做好准备

中国政府高度重视网络信息安全。2010年12月17日，国家密码管理局发布自主设计的非对称公钥密码算法——SM2，要求现有的电子认证系统和基于RSA算法的密钥管理系统。系统和应用系统升级改造，采用支持国密SM2算法的SSL证书。

天威诚信作为国家授权的电子认证运营服务机构，着眼于国家网络安全大局，深度满足用户需求。自主研发支持国密SM2算法的vTrus系列SSL证书。证书包含DV、OV两种类型，覆盖单域名、多域名、通配符、多域名通配符等多种型号，充分满足国家密码管理局的管理要求和国家秘密转化用户的需要。

近年来，随着我国新创技术的发展和基础设施的不断完善，国密算法在越来越重要的领域得到推广应用。结合不同行业的属性，天威诚信可为各领域用户提供国密改造一站式解决方案，帮助用户顺利升级改造国密算法。，可为国密转换用户提供SM2+RSA双算法证书解决方案，极大地方便了用户的选择和使用。

此外，天威诚信可提供包括服务器与客户端、签名验证服务、软件中间件改造、硬件网关等在内的国家机密证书改造等多种产品解决方案，全方位满足用户需求。

网络安全是国之大事，今年全国两会期间，数据安全和个人信息保护议题一如既往地受到关注，累计有30份两会提案建言网络与数据安全，政府工作报告中也提到要强化网络安全、数据安全和个人信息保护。

伴随着国家数字化进程的不断加快，政务、金融、科研、教育等机构网站进行国密算法改造已刻不容缓，天威诚信将持续与各生态伙伴一道，通过国密改造为全行业用户构建坚实的网络屏障，不断提升网络安全防护能力，共同推动密码技术实现自主先进安全可控，确保我国互联网环境安全无虞。

分类
安全播报

红十字网站51万余人信息被盗 加强网络安全时刻不能松懈

近日，红十字国际委员会披露，其数据承包商遭遇网络攻击，导致“家庭团聚”项目信息泄露，超过51.5万人的个人数据被盗。 据悉，“家庭团聚”项目旨在帮助因战争、灾难和移民而离散的家庭团聚。 目前，该项目的系统和网站已被强制关闭。

对此，红十字国际委员会总干事罗伯托·马尔蒂尼在一份声明中表示：“这次袭击是对敏感人道数据的网络攻击，是一种犯罪行为，自袭击发生以来，一些流程和工具遭到破坏。我们已经做出调整并正在加强 我们的网络安全。”

近年来，数据泄露事件在各个领域频频发生。 尤其是对于企业网站和互联网平台，用户的身份信息、生物特征信息甚至财务信息等关键信息都可能存在泄露风险，由此带来的安全风险不可估量。

随着大数据的蓬勃发展，保障用户的信息安全显得尤为重要。 为了避免黑客攻击导致用户信息泄露的风险，一些关联关键用户信息的网站，如电子商务、金融、政府网站等，会在网站上部署适合自身业务的SSL证书。

SSL证书是国际上保护网站安全和用户信息的有效手段之一。 具有数据加密传输和网站身份认证功能。

数据加密传输

我们平时上网和浏览都是基于标准的TCP/IP协议，内容以数据包的形式在网络上传输。 由于数据包的内容没有加密，任何人只要截获数据包，就可以获得其中的内容，包括用户名、密码或其他隐私信息。

SSL证书可以在用户使用的客户端（如：浏览器）与服务器之间建立加密通道（SSL协议）。 在这个通道中，所有在网络上传输的数据都会先被加密，传输到目的地的时候再解密，所以即使数据包在传输过程中被截获，也很难破译其中的内容。

网站编号

目前，假冒网站已成为互联网使用的严重威胁。 造假者可以创建与真实网站一模一样的界面，并使用相似的域名来引导用户访问。 一旦用户在使用假冒网站的过程中输入账号密码等信息，就会被假冒网站记录下来，进而被冒用，威胁用户的账号安全。

SSL服务器证书可以有效证明网站的真实信息和所用域名的合法性，让用户轻松识别真实网站和假冒网站。

当网站申请SSL证书时，颁发证书的权威机构（如天威诚信）会通过严格的审核方式确认申请人的身份。 用户访问网站时，可以看到证书的内容，其中包含了域名、网站所有者、证书颁发机构等真实信息，浏览器也会给出相应的安全标识，以便用户使用 它充满信心。

在互联网领域，数据管理是隐私的核心。 部署SSL证书不仅可以保护用户的隐私和信息安全，还可以大大增强用户对网站的信任，提升企业形象。 在数字经济时代，SSL证书通过加强网络安全，不断帮助企业在数字经济浪潮中获得更好的发展。

分类
公司新闻

网商银行与天威诚信，共同推进国密算法升级改造

《中华人民共和国密码法》的落地实施和一系列有关网络安全政策的密集出台，为信创领域基于国产商用密码的数字证书带来了更加广泛的使用空间，国产自主的商用密码体系建设也随之进入了新热潮，支持国密SM2算法的SSL证书已广泛应用于银行、政府、科研机构等领域。

　　网商银行国密升级改造需求

网商银行是由蚂蚁集团发起成立、银保监会批准成立的中国首批民营银行之一，致力于解决小微企业、个体户、经营性农户等小微群体的金融需求。借助实践多年的无接触贷款模式，网商银行为更多小微经营者提供纯线上的金融服务。成立6年来，累计超过4000万小微经营者使用过网商银行的数字信贷服务。

为进一步提升网商银行的信息安全性，同时为贯彻国家密码管理局“实现金融领域信息安全核心产品及系统的自主可控”的精神，在新形势下，网商银行的网络系统亟需进行SM国密算法升级改造，在此过程中，如何合理规划以及安全有序的实施成为网商银行需要重点考虑的问题。

网商银行与天威诚信，共同推进国密算法升级改造

　　天威诚信-网商银行SM国密改造方案

在天威诚信主导实施的网商银行SM国密改造过程中，天威诚信结合网商银行的平台特性和业务流程，为之量身定制了全生态一站式的国密算法证书改造方案。

改造方案以SM国密算法为核心，通过SM4这一金融行业国内通用的标准算法进行网络信息加密，同时使用SM3进行讯息身份验证并使用SM2作为密钥交换机制，从多个维度确保网商银行系统和客户端的信息安全。

方案覆盖了网商银行的手机银行、企业网银系统，对网商银行业务流程的关键环节进行了安全合规改造。通过使用天威诚信颁发的数字证书和紧密结合业务需求的改造方案，网商银行快速而稳健的完成了银行企业版和个人版SM国密改造工作，进一步保障了网商银行系统安全和数千万网商银行用户的金融信息安全。

考虑到网商银行广阔的业务应用场景和庞大的用户基数，为保障兼容性和高可用性，天威诚信同时为网商银行提供了vTrus RSA+SM2国密合规改造方案，实现网商银行业务在线双算法自适应切换模式，在满足国密算法改造的基础上进一步保障了业务的稳定性，真正做到无缝兼容和平稳过渡，提升了网商用户的使用体验。

　　天威诚信在国密算法领域的优势

密码算法和密码产品的自主可控是确保我国信息安全的重中之重，作为国密算法改造工作的推进者，天威诚信积极响应国家政策，公司自主研发的支持国密SM2算法的vTrus SSL系列证书，已全部通过国家密码管理局的安全性审查，并实现了在360、红莲花、奇安信等国产浏览器预埋。

同时，天威诚信作为电子认证行业代表参与了《电子认证服务管理办法》和《电子政务电子认证服务管理办法》的起草，牵头实施《中国服务器证书信任体系研究课题》，并参与建设和维护中国最大的底层密码库开源社区——BabaSSL，展现了优于同行业其他机构的服务能力和水平。

结合多年来在金融行业的深厚积淀，天威诚信已经逐步探索出了可行的国密改造项目实施步骤，在以网商银行为代表的银行机构国密改造实践中得到了成功应用，受到客户的积极好评和充分肯定。

随着国密算法改造的应用日益深入，天威诚信将继续立足技术优势，扎实推进国密算法在我国银行等重点领域的推广和应用，从而在算法层面确保金融信息安全，为我国金融信息系统的安全自主可控做出积极贡献。

分类
公司新闻

天威诚信vTrus SSL证书国密改造方案

为进一步保障银行和金融机构的系统和数据安全，天威诚信可结合银行和金融机构原有的SSL VPN网关设备，为目标客户及所属成员单位的网站部署自主研发的支持国密SM2算法的vTrus SSL证书。

天威诚信vTrus SSL证书国密改造方案

天威诚信vTrus SSL证书已全部通过国家密码管理局的安全性审查，且完美兼容现有主流国密SSL VPN设备，可帮助银行和金融机构建立基于国密专用浏览器的国密SSL隧道，并顺利连接到网银系统。

在国密算法改造过程中，天威诚信可根据用户网络环境一键适配国密改造，大大提高了证书的扩展性和效率。同时，天威诚信根据多年服务经验设计的CIM证书智能管理平台，可为用户提供证书全生命周期管理服务，保障国密改造后续工作的顺利开展。

此外，天威诚信依托自身行业影响力和聚合能力，通过联合行业内多家密码类产品服务，可为银行和金融机构提供包括服务端、客户端在内的国密证书改造、签名验签服务、软中间件改造和硬件网关等多种产品方案，一站式满足用户国密改造需求。

目前，国密改造已成为金融行业重要的工作之一，覆盖范围广，改造力度大。作为专业的电子认证运营服务商，天威诚信将继续携手生态合作伙伴，为银行和金融机构的国密改造及应用提供更多更优质的解决方案。

分类
知识中心

搞清楚这三个问题，秒变SSL证书“专家”

搞清楚这三个问题，秒变SSL证书“专家”

数字经济时代

保障自家网站数据安全

防诈骗、防钓鱼、防窃听

SSL证书少不了

　　现而今，企业在网络安全方面的意识逐渐增强，可以将http协议转换成https加密传输协议的SSL证书已成为建设网站的标配。

　　虽然大家对SSL证书的作用已很清楚，但在选择SSL证书的时候，却不免有一些犯难：那个……我的网站该用什么类型的证书呢?

SO easy～

只要明确了这三个问题

你也可以秒变SSL证书“专家”

搞清楚这三个问题，秒变SSL证书“专家”

　　明确网站类型

　　如果是高度安全和信任的企业网站，如金融证券、银行、第三方支付、网上商城等，涉及到交易支付、客户隐私信息和账号密码的传输，那就不用考虑了，直接选择EV型 SSL证书。它支持国际主流浏览器绿色地址栏，安全锁旁显示企业名称，强制256位加密，是最高级别的SSL证书，没有之一。

　　如果是普通企业网站，如电子商务网站、企业网站等，但其中涉及注册、登录、会员中心等页面，那选择OV 型SSL证书准没错儿了，证书可显示中文单位名称和中文域名，利于品牌推广，更容易赢得客户信赖。

　　如果是个人品牌网站，如博客、信息、文章展示等，建议选购DV型 SSL证书，可以保证信息在传输过程中不会被非法窃取和篡改，而且无须审核信息，可快速签发(网站标配)。

　　明确域名数量

　　单域型：一般而言，一张ssl证书对应的是一个域名，如果只有单个域名需要使用SSL证书，那就可以选择网站单域名SSL证书。

　　多域型：如果有多个顶级域名完全不同的域名需要使用SSL证书，那就选择支持多域名的SSL证书进行保护，最多支持250个域名哦。

　　通配型：如果拥有多个子域名网站，那就选择通配符型SSL证书，它不限制子域名数量，可实现全站https安全加密。

　　明确加密强度

　　刚才提到的DV、OV、EV三种类型SSL证书，它们的加密强度是逐级提升的。对于涉及到资金、机密信息传输等对安全性要求高的网站，那么支持256位加密的EV型SSL证书自然是最合适的选择。如果对安全性要求没那么高的网站，那选择DV、OV型SSL证书都可以，但是如果网站涉及用户密码信息的，最好选择OV型SSL证书。

　　最后需要强调的是，无论您选择哪种SSL证书，一定要通过正规渠道，简单来说，必须是国家授牌CA认证机构(天威诚信)签发的SSL证书才可以，不然不仅会白白浪费金钱，甚至还会造成企业和用户信息泄露的严重后果。