分类
知识中心

SSL/TLS降级攻击

SSL/TLS降级攻击诱使Web服务器与以前版本的TLS协商连接,这些版本早已因不安全而被放弃。然后,攻击者试图通过利用旧协议版本或加密算法中的缺陷来拦截和/或更改信息。

以下是历史上最臭名昭著的降级攻击:

贵宾犬攻击:
在POODLE(降级传统加密上的填充Oracle)攻击中,利用漏洞(CVE-2014-3566)窃听使用SSLv3加密的通信。在这种攻击中,攻击者可以窃取机密数据,如密码、会话cookie等,以模仿合法用户。最近的Acunetix2020Web应用程序漏洞报告显示,多达3.9%的Web服务器仍然容易受到POODLE的攻击,因为它们仍在使用SSLv3来加密其通信。要修复Web服务器上的POODLE攻击,请将Web服务器配置为支持TLS1.2或更高版本的协议。

怪异攻击:
FREAK(分解RSA导出密钥)攻击通过利用为遵守美国加密出口监管机构而引入的故意弱的导出密码套件来工作。FREAK诱使服务器使用使用512位或更少RSA模数的导出密码套件。最早的意图是允许密码套件仅由国家安全局破解,但是,今天的计算能力可以轻松破解此密钥。若要为您的网站解决此问题,必须在使用SSL/TLS的软件中禁用对任何导出级密码套件的支持。

Logjam攻击:
2015年512月发现的Logjam攻击允许攻击者通过将连接降级到512位导出级Diffie-Hellman组来拦截HTTPS连接。这类似于FREAK攻击,除了Logjam攻击Diffie-Hellman密钥交换而不是RSA密钥交换,就像Freak攻击一样。要解决此问题,您必须禁用对服务器上所有导出级Diffie-Hellman密码套件的支持。这不允许攻击者将连接降级到<>位DH导出密钥。

分类
知识中心

SSL 重新协商攻击

SSL重新协商攻击旨在利用在SSL重新协商过程中发现的漏洞,该漏洞允许攻击者将明文注入受害者的请求中。可以劫持HTTPS连接的攻击者可以将自己的请求添加到客户端和服务器之间的对话中。攻击者无法解密客户端-服务器通信,因此它不同于典型的中间人攻击。要修复SSLv3的重新协商漏洞,您必须停止允许在服务器端重新协商。为TLS提出了修复此漏洞的重新协商指示扩展,该扩展要求客户端和服务器在任何重新协商握手中包含并验证有关以前握手的信息。

分类
知识中心

HTTPS协议是如何防中间人窃听的

HTTPS协议是在HTTP协议的基础上,通过添加SSL加密协议而成的,其载体就是SSL证书。SSL协议是一种用于网络通信安全的加密协议,可以将数据在传输过程中进行加密,防止中间人窃听,保证数据的机密性和完整性。

HTTPS协议是如何防中间人窃听的

那么,HTTP协议具体是如何防止中间人窃听的呢?要回答这个问题,我们就要明白HTTPS协议双方(客户端和服务器)的通信过程。

客户端发送请求

当用户在浏览器中输入一个HTTPS网址时,客户端会向服务器发送一个请求,请求将它支持的SSL版本、加密算法、密钥交换算法、MAC算法等信息发送给SSL服务器。

服务器回应

服务器确定本次通信采用的SSL版本和加密套件,并将携带自己公钥信息的数字证书发送给客户端,通知客户端版本和加密套件协商结束,开始进行密钥交换。

客户端验证证书并生成密钥

客户端验证服务器的证书合法后,利用证书中的公钥加密客户端随机生成密钥,并通知SSL服务器。

客户端发送密钥

客户端使用已交互的握手消息的Hash值,利用协商好的密钥和加密套件处理Hash值(计算并添加MAC值、加密等),发送给SSL服务器。

服务器解密密钥

服务器利用同样的方法计算已交互的握手消息的Hash值,并与Finished消息的解密结果比较,如果二者相同,且MAC值验证成功,则证明密钥和加密套件协商成功。

经过以上的验证和加密,HTTPS通信就建立了起来。此时,客户端和服务器之间的数据传输都是通过对称密钥进行加密的,通信过程非常安全。

理解了以上内容就会明白,客户端和服务器实现加密通讯最重要的过程就是验证SSL证书,只要证书是合规的,服务器是安全的,就可以防止中间人窃听和攻击。

SSL证书由专业的CA机构颁发和管理,所以是可信的。最后,要注意的是,当您浏览网页时遇到浏览器或手机端弹出安全警告时,一定不要随意信任和继续浏览,因为,黑客可能正在暗处等待着,窥探您的隐私并窃取数据。

分类
知识中心

什么是证书颁发机构?

每次访问以 HTTPS 开头的网站时,您都会使用证书颁发机构。但问题是,什么是证书颁发机构,它如何通过保护互联网使我们的生活更轻松?让我们深入了解 CA 是什么。

证书颁发机构是维护现代数字世界中安全性的最关键组成部分之一。证书颁发机构 (CA) 是高度受信任的实体,负责签名和生成数字证书。CA 是 PKI 最重要的支柱之一。证书颁发机构专门颁发数字证书,这些证书随后用于确认网站、设备、个人等的合法性。

公共证书颁发机构本质上是一个公共可靠的机构,用于向个人、公司和其他实体颁发数字证书。这些颁发的证书是简短的数据文件,其中包含经过验证的组织标识信息。因此,通过为您提供值得信赖的第三方担保,CA 是一种在那些不直接了解您(或您的组织)的人中建立信誉的技术。

但问题是,在所有这些中,网站安全性如何?
因此,证书颁发机构会经历一组规则来确保证书的完整性。认证机构在颁发证书之前对申请实体进行调查。他们检查来自官方来源的记录和文件,以确保业务的真实性。之后,CA 颁发数字证书,公司可以使用该证书对其软件、网站和电子邮件通信进行加密和数字签名

因此,如果您是需要公司证书的人,证书颁发机构会帮助您实现以下目标:

  • 验证组织的身份
  • 验证组织的合法性
分类
知识中心

数字时代,SSL证书如何保证信息和数据的安全?

数字技术不仅是一种生产力工具,而且极大地改变着人们的工作和生活方式。然而,在各领域数字化进程不断深入的同时,网络诈骗、信息泄露、钓鱼攻击等违法犯罪活动仍然严重影响着互联网经济的正常发展。企业网站,尤其是涉及用户敏感信息和金融交易的网站,时常面临数据泄露和网络威胁。潜在的攻击风险。

用户信息和数据安全关系到企业未来的发展。同时,维护网站信息安全也是企业获得客户信任进而达成交易合作的必要条件之一。 《中华人民共和国网络安全法》第二十一条规定,企业需要制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任。

保护网站信息和数据的方法有很多,其中为网站安装SSL证书仍然是目前世界上最有效的网络数据安全保护措施之一。

SSL 代表安全套接字协议层。它位于HTTP协议层和TCP协议层之间。它用于在用户和服务器之间建立加密通信。除向指定服务器发送信息外,任何其他第三方均无法读取该信息,从而保证了传输信息的安全性。

部署SSL证书后,网站地址栏会显示HTTPS开头和一个绿色的锁符号。用户可以通过查看证书信息来确认网站的真实性,避免个人信息被钓鱼网站窃取甚至诈骗。在安全和用户体验方面,HTTPS站点更安全优质,更有利于用户识别。

值得一提的是,网站采用安全高速的HTTPS协议,可以提高网页的加载速度,使文本、图片、多媒体等加载速度更快,实现低延迟和高吞吐量,优化用户体验,并且能够提高网站的SEO排名,也有利于提高企业的获客率和销售业绩,这对于处于数字化转型过程中的企业尤为重要。

在数字时代,社交沟通、工作办公、休闲购物、娱乐游戏、投资理财、医疗保健等领域都需要深度连接互联网,通过互联网进行交易和数据分析。这已经成为一种习惯。 SSL证书通过加密算法和严格的认证机制帮助企业网站保护用户隐私和敏感数据,构筑网络安全防线,为企业数字化转型和安全合规发展保驾护航。

天威诚信是国内具有公信力的网络安全认证服务商。凭借服务全行业95%以上大客户的经验,长期为国内企业提供DigiCertEntrustGlobalSignvTrus、Geotrust等全球可信的SSL证书及证书全生命周期管理服务,以完善的安全解决方案和可靠的CA运行机制保护网站信息安全,维护数字世界秩序。

分类
公司新闻

vTrus通过零信浏览器国密根证书可信认证

随着国密算法在各重要领域的深入应用,支持国密算法的SSL证书和浏览器之间的合作也愈加紧密。在2022年6月,由天威诚信自主研发的支持国密SM2算法的vTrus自主根证书和国家根下的二级根证书正式通过零信浏览器国密根证书可信认证,获得《国密SM2可信根》证明书。

vTrus通过零信浏览器国密根证书可信认证-1

目前,天威诚信研发的国密根证书已被预置于全球唯一一个支持国密证书透明的零信浏览器信任,并全球多语言版本发布。

天威诚信签发的vTrus国密SSL证书在得到零信浏览器信任后,可实现有效的网络身份鉴别、信息传输国密算法加密,将有效保障我国网络空间安全、身份可信、加密传输,在防范网络入侵、网络钓鱼,保障网民的信息和财产安全等方面发挥着重要作用。

随着《密码法》、《网络安全法》、《数据安全法》、《关键信息基础设施安全保护条例》等法律法规的深入贯彻实施,国内重要领域越来越需要实现网站安全的国密合规,并逐渐开始部署国密SSL证书,同时在对内对外的业务场景中应用国密浏览器,以实现国密算法HTTPS加密,保障系统信息的安全。

天威诚信是为金融行业客户签发占比较多国密证书的CA机构之一,可为客户提供完善的国密HTTPS升级改造方案。目前,天威诚信vTrus国密SSL证书业已完成在360安全浏览器、奇安信可信浏览器、红莲花安全浏览器、赢达信国密安全浏览器的根证书预埋,广泛应用于政府、电信、金融、能源等重点领域,保障关键基础设施的信息安全。

天威诚信vTrus国密证书正式入根零信浏览器,意味着天威诚信将同其他零信浏览器信任的CA机构一道,携手发展壮大国密数字证书体系,共同承担维护国家重要领域和关键信息基础设施的安全责任,在为用户提供更安全使用体验的同时,共同助力国密生态安全的建设发展。

在国密SM算法升级改造HTTPS应用不断加速的大趋势下,天威诚信将以vTrus国密SSL证书为纽带,协手国内众多安全生态伙伴,共同为国密数字证书体系的发展壮大和国密生态安全的建设发展贡献力量。

  零信浏览器

零信浏览器是目前全球唯一一个支持国密证书透明的、完全免费的国密浏览器,并且独家特别增显国密加密标识、云WAF防护标识、网站可信认证标识、EV认证绿色地址栏等。

分类
知识中心

Apache单IP配置多个HTTPS虚拟主机方案

在Apache文档中提到,不能在单个IP上同时有多个按名字识别的虚拟主机(“named virtual host”),其实不完全是这样,接下来我们就来演示下如何打破这一魔咒。

  使用SNI

SNI全称Server Name Indication(服务器名称指示),这个问题可以解决apache中的单IP多HTTPS虚拟主机,只有默认第一个站点的SSL生效的问题。但是这些技术需要浏览器的版本支持

  支持SNI的浏览器

*Mozilla Firefox 2.0 or later

*Opera 8.0 or later(the TLS 1.1 protocol must be enabled)

*Internet Explorer 7(Vista,not XP)or later

*Google Chrome(Vista,not XP)(NOT Chromium)

*Safari 3.2.1 Mac OS X 10.5.6

  支持SNI的web容器

*apache版本在2.2.12以上

*需要mod_gnutls或者mod_ssl模块的支持

*Openssl在0.9.8j后的版本也都支持了SNI的功能

  配置Apache

打开Apache/conf/extra/httpd-vhost.conf文件并找到以下参数进行配置。

Listen 443

NameVirtualHost*:443

&lt;VirtualHost*:443&gt;

ServerName www.test1.com

SSLOptions StrictRequire

DocumentRoot/path/to/ssl/enabled/site

SSLProtocol all-SSLv2-SSLv3

注意,这里我们同时禁用了SSLv2、SSLv3不安全的协议。

SSLHonorCipherOrder on

SSLCipherSuite HIGH:!RC4:!MD5:!aNULL:!eNULL:!NULL:!DH:!EDH:!EXP:+MEDIUM

SSLCertificateFile conf/server.crt

SSLCertificateKeyFile conf/server.key

SSLCertificateChainFile conf/ca.crt

完成上述操作后,将CA证书ca.crt配置到该路径下。

&lt;Directory/path/to/ssl/enabled/site/&gt;

SSLRequireSSL

Order Deny,Allow

Allow from All

&lt;/Directory&gt;

&lt;/VirtualHost&gt;

“`

最后,保存httpd-vhost.conf文件并退出,使用https方式访问网站,测试证书配置是否成功。

分类
知识中心

为什么国家一直大力推行国密SSL证书?

随着国际安全形势的恶化,网络层面的战争也在悄然升级。今年以来,美国部分CA厂商已对被列入制裁名单的国家和地区禁售SSL证书,并停止对其域名的维护,导致失去SSL证书的网站和信息管理系统面临大规模的访问故障和安全隐患。

在当前及未来应用环境不可控的情况下,为保障重要领域信息系统安全,国家层面一方面积极推进网络通信“加密化升级”,提升信息技术自主安全能力;另一方面持续在重要行业推广使用我国自主研发的支持国密算法的SSL证书,以维护我国网络环境安全,护航数字经济健康发展。

为什么国家一直大力推行国密SSL证书?

国密算法比RSA算法更优

国密算法是我国在密码核心领域自主研发的技术成果,国密SSL证书则是遵循国家标准技术规范的支持国密算法的SSL证书,它与传统SSL证书的区别主要是密码算法体系的不同。

传统SSL证书多是国外CA厂商签发,通常采用的是RSA算法。而国密SSL证书则采用我国自主研发的SM2公钥算法体系,与RSA算法相比,SM2算法普遍采用256位密钥长度,单位安全强度相对较高,并发处理响应时间更短,是一种在安全性能、速度性能等方面都优于RSA的算法。

在保护网站信息安全方面,国密SSL证书在工作原理上和采用RSA算法的SSL证书是一样的。国密SSL证书和RSA算法的SSL证书在功能上都是采用自主可控密码技术保护数据机密性、完整性,实现HTTPS网站加密传输,防止数据在传输过程中被窃取或篡改,确保通信主体身份真实性、完整性。

企业如何兼顾国密合规与全球信任?

为保障我国网络环境的自主安全可控,国家层面近年来相继出台了《网络安全法》《密码法》《关键信息基础设施安全保护条例》等一系列法律法规,并对政府机构、事业单位、大型国企、金融银行等重要领域实施相关政策要求,以推动国密SSL证书的应用。

依托22年的证书服务经验,天威诚信可为有需求的客户提供自主建设的支持国密SM2算法的vTrus SSL证书产品,并通过软件Nginx国密兼容服务端部署、移动端SDK改造、报文签名验签等服务,帮助客户建立完整的国密SSL证书全生态支持体系,确保从浏览器到服务器的每个环节,都采用国密算法实现全流程HTTPS加密

天威诚信vTrus SSL证书以国密SM2算法为支撑,覆盖单域名多域名、通配符等多种型号,证书已成功预埋360浏览器、红莲花浏览器、奇安信浏览器、赢达信国密安全浏览器、零信浏览器等多款国密浏览器,可满足不同行业用户的使用需求。

此外,为保证网站系统的可用性和通用性,天威诚信还可提供全浏览器支持和全球信任的“SM2+RSA”双证书解决方案。完成双证书部署后,即可实现SM2算法与RSA算法之间的无缝切换,更近一步确保网站系统的可用性和安全性,保护重要领域网站数据传输安全。

通过天威诚信提供的国密SSL证书服务及双证书解决方案,既能帮助重点领域客户满足国家政策监管要求,又能以低成本规避巨大网络安全风险。目前,vTrus SSL证书已广泛应用于政府、电信、金融、能源等重点领域,切实保障客户网站信息安全,助力企业合规发展。

分类
安全播报

HTTPS证书为敏感信息穿上“防护衣”

日前,中国司法大数据研究院正式对外发布《涉信息网络犯罪特点和趋势(2017.1-2021.12)司法大数据专题报告》(以下简称《报告》)。

《报告》显示,2017年至2021年,全国涉信息网络犯罪案件共涉及282个罪名,其中诈骗罪案件量占比最高,为36.53%。《报告》还显示,在网络诈骗案件中,前三类案件为贷款、冒充类和虚假招聘类案件。

网络诈骗缘何屡禁不止

近年来,网络诈骗高发多发,诈骗手法也是千变万化,它的主要特点是覆盖面广、变化快、社会危害大,打击起来又特别难,给企业和民众造成了巨大损失。

当前,网络诈骗已经由“随机诈骗”向“精准诈骗”转变。与广撒网、随机式诈骗方式不同,“精准诈骗”更具针对性和指向性,欺骗性、迷惑性进一步增强,一些犯罪分子还从单一“对话式”诈骗向“情景剧式”诈骗转变。

个人信息泄露是“精准诈骗”实施的重要推手。在网络环境中,信息的共享更为频繁和简单,但往往由于企业网站没有做好信息防护、网民自我保护意识较低等原因,导致不法分子通过网络攻击的手段大量窃取和盗卖用户个人信息,不仅危及用户的个人隐私和财产安全,也会给企业的网站系统和品牌信誉造成重大损失。

企业保护策略:从HTTPS做起

用户个人信息和企业运营数据是数字经济时代下企业的最大资产,而数据的生命周期包括“产生、传输、处理、存储、访问、展现”等诸多环节,任意环节存在的一丝风险,黑客、越权访问者都有可能通过非法手段盗窃数据。

在复杂多变的互联网环境下,企业应如何保障数据安全呢?

首先是增强管控措施,增强内部员工的防范意识,加强对IT人员的操作监管、操作审计和事前严格控制。

其次,从技术上防止数据泄露,为官网部署HTTPS证书,实现网站HTTPS加密,防止数据在传送过程中被窃取、篡改,保证数据的完整性,防止运营商的流量劫持、网页广告植入现象,确保用户与企业网站之间的链接是安全的。

此外,企业还应实时进行网络监控,发现可疑问题或者恶意攻击及时做出处理,做到防患于未然。用户也需提高网络安全意识,尤其在访问网站和支付时认准HTTPS加密链接,通过查看HTTPS证书确认网站的的真实身份,确保数据加密。

网络诈骗是一个极其复杂的社会治理问题,需要社会各界通力合作、共同治理。从实践情况看,企业为网站部署SSL证书,是当前较为有效的强化信息安全的解决方案,可有效减少虚假网站对用户权益的侵害。

天威诚信一直致力于构建安全可信的网络环境,可为企业提供DigicertGeoTrustGlobalSign、Entrust等全球安全厂商的全类型SSL证书,以及支持国密SM2算法的国产vTrus证书,满足不同企业的信息安全需求。

分类
安全播报

隐私风险跃居国内首要网络隐患?尽快部署SSL证书为网站加上“安全锁”

为了解当今IT审计中最受关注的技术风险,国际信息系统审计协会(ISACA)与甫瀚咨询近日联合推出了年度《IT审计技术风险调查》。来自全球的7,500余位IT审计领导者与专家参与了本次调查,调查结果显示:网络攻击、隐私、数据及监管合规几大方面为当今IT首要风险事项。

隐私风险跃居国内首要网络隐患?尽快部署SSL证书为网站加上“安全锁”

需要指出的是,中国地区的调查结果与全球综合数据有所不同。在中国地区,隐私风险取代网络攻击成为最受瞩目的焦点,该统计结果表明的趋势与中国企业信息技术快速更新迭代以及IT管理成熟度阶段等特点紧密相关。

数字化时代,隐私安全无小事

数字经济时代,网络上承载着个人身份信息、电话号码、银行卡号、住址、企业机密等各种信息,任何隐私信息泄露事件极可能导致企业名誉受损、收入及客户流失、受到合规处罚及审查,对企业安全和用户权益造成双重消极影响。

企业作为网站所有者和运营者,保护用户隐私信息和敏感数据安全,避免受到网络犯罪分子的恶意攻击是企业不可推卸的责任。此时,企业为网站部署SSL证书实现HTTPS加密的重要性便凸显出来了。

HTTPS是HTTPoverSSL的简称,是指对HTTP做了SSL处理,可以理解为给用户的隐私数据加了一把锁。当用户在网站上提交任何敏感信息时,HTTPS会对用户信息进行加密处理,保护数据免遭窃听、中间人攻击等恶意窃取或破坏,确保用户数据和隐私安全,同时保障数据的机密性和完整性。

同时,SSL证书通过在浏览器上显示安全锁、绿色地址栏、证书信息等形式,为用户提供了一种简单直观的方式来表明网站的真实性,避免用户因点击假冒网站而导致上当受骗,使用户可以放心浏览,企业也可以凭此获取客户的信任,从而提高获客率,助力企业业务增长。

部署SSL证书,护航企业数字化转型

当前,随着国内企业数字化转型进程的不断加快,越来越多业务开始线上化办理,包括用户信息在内的企业数据已经成为企业最重要的资产之一,也是为企业发展壮大新引擎。

在此情况下,企业更应加强用户个人信息的防护机制,及时为网站部署合适的SSL证书,不仅能够有效避免数据泄露的危害,还能够大幅消除用户对于个人隐私泄露的疑虑。

SSL虽然是看似简单的三个英文字母缩写,其中却包含着非常多的工作原理和技术。因此,企业需要依托可靠的机构部署SSL证书,实现HTTPS加密并提供后续服务。

天威诚信作为工信部许可设立的全国性电子认证服务机构,可为国内企业提供DigiCertGeotrustGlobalSignEntrust、vTrus等众多知名品牌的SSL证书及可靠的认证服务,保障企业网站信息安全。

目前,天威诚信已累计为超过200万的各行业客户提供了完善的SSL证书产品与服务,并可根据客户需求提供可靠的本地化服务与全天候的技术支持,降低企业数据泄露的风险,并通过持续优化的服务和针对性的解决方案助力企业线上化业务安全发展。