标签： HTTPS

分类
知识中心

ssl证书是用处

SSL证书，也被称为安全套接字层证书，是一种数字证书，用于保护网站和其访问者之间的信息安全。SSL证书通过加密传输数据，避免了恶意攻击者的非法访问和偷窃数据。

SSL证书的作用非常重要，它使得数据在传输时得到了加密的保护，使得数据被传送到服务器的过程中，任何第三方都无法获取这些数据的内容。由于互联网的不断膨胀，网络威胁变得越来越普遍。通过使用SSL证书，网站所有者可以保护自己网站的安全性，为访问者提供更加安全的浏览和在线支付体验。

在SSL证书的保护下，浏览器与服务器之间的数据传输过程得到了加密保护，使得被传输的数据不受攻击者的干扰和监视。这种保护级别被称为加密机密，这意味着，只有目标接收者能够解密被传输的数据。这种安全性极高的数据传输方式，常用于在线交易、网上购物、在线银行等场景。

在SSL证书的帮助下，网站拥有者可以确保客户的信息在浏览和交易时不会被窃取或跟踪。通过安装SSL证书，网站的地址将由HTTP变更为HTTPS，表示这个网站是通过SSL进行加密的。这将在访问者的浏览器地址栏显示一个小锁头图标，表明该网站是经过验证的，并且通过HTTPS协议进行通信的。

此外，SSL证书也有很多其他的优点。例如，它可以提高网站的搜索引擎排名，因为谷歌等搜索引擎通常会更倾向于传输数据更安全的网站。SSL证书也可以保护网站的人口(POP3、SMTP、IMAP等)通信，使用户的电子邮件在全球互联网的传输过程中得到加密保护。这同时也可以有效地阻止黑客监听邮件通信。

总之，SSL证书是一种重要的数字证书，它可以提供高级的信息保护和安全性，使得用户在使用网上服务时更加安心。同时，拥有SSL证书的网站也会更受到客户和搜索引擎的信任，因此在网站安全方面投入越多，网站的未来就越稳定。

天威诚信致力于成为数字时代安全可信支撑体系的核心力量。以法律为标准，以电子认证行政许可为依托，以数字化技术为手段，支撑构建安全可信的数字应用生态，推动数字经济安全、合规发展。运用密码、区块链、大数据、人工智能、云计算等技术，将立法标准、司法实务标准与密码应用规范、电子认证业务规范相融合，构建完整的法律科技服务体系，为数字世界中的人、事、物、时、空提供真实性证明服务，为数字世界法治生态建设提供支撑保障，守护数字世界秩序。

分类
知识中心

SSL证书助力构建数字化时代网络安全防线

《中华人民共和国网络安全法》（以下简称“《网络安全法》”）于2017年6月1日施行，至2023年6月1日已正式实施六周年。

过去的六年间，国家相继颁布了《数据安全法》《关键信息基础设施安全保护条例》《个人信息保护法》等网络安全领域的法律法规，对于网络安全建设和发展起到了重要的引领作用，让“没有网络安全就没有国家安全”的理念深入人心。

从全球范围看，网络安全牵一发而动全身。随着技术和安全威胁的不断更新，各领域对网络基础设施、个人信息的保护措施也在逐步增强，对广大国内企业而言，通过为服务器部署SSL证书构建网络安全体系，是对《网络安全法》的有效践行。

SSL证书为数据传输建立加密通道

《网络安全法》第二十一条规定：网络运营者应当按照网络安全等级保护制度的要求，履行数据安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

在网络安全建设和企业数字化转型过程中，依托SSL证书对传输信息加密是网络安全非常基础且重要的一环。SSL证书具有网站身份验证和信息加密传输双重功能，可防止网络数据泄露或被窃取、篡改，有效防范网络攻击、非法侵入等风险。

SSL证书由受信任的CA机构在验证服务器身份后颁发。天威诚信是工信部许可设立的全国性CA机构，早在2000年便将DigiCert认证业务引入中国，开启为中国用户提供网络认证服务的先河。多年来，天威诚信依托服务于全行业95%以上大客户的经验，持续为广大企业提供全球信任CA机构的全类型SSL证书及认证服务，为企业网站信息安全保驾护航。

可靠的双向验证与用户信息保护

《网络安全法》第二十四条规定：国家实施网络可信身份战略，网络运营者在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。用户使用服务器不提供真实身份信息的，网络运营者不得为其提供相关服务。

SSL证书可通过双向验证的方式确保服务端和客户端的通信安全。作为一种高效的身份验证方式，SSL双向验证通过一个客户端证书和一个服务器证书来实现，可以让数据在传输过程中实现完全加密以及通信双方的身份可信。

SSL双向验证虽然需要付出额外的成本，但对于特定的应用场景，如涉及金融业务、医疗信息等敏感数据的处理，SSL双向验证仍然是一种非常有效的安全措施。

《网络安全法》第四十二条规定：网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。

任何一个网络运营者，都必须为其用户信息的完整性负责。在保护网站用户信息不被泄露、篡改或窃取方面，为网站服务器部署SSL证书开启HTTPS加密协议十分重要。天威诚信提供的全球可信SSL证书，可为各网络运营者开启HTTPS加密绿色通道，防止信息泄露，保障用户敏感信息安全。

伴随《网络安全法》等法律法规的深入实施，加强网络信息安全保护已成为广大企业和用户的共识，天威诚信将立足SSL证书和网络可信认证服务循序构建网络信任体系，持续提升网络安全保障能力，积极践行“数字世界秩序守护者”的使命，护航全行业数字化转型。

分类
知识中心

SSL证书，网站信息安全基础保障措施

在数字化、全球化的时代，网络攻击可能来自世界任何地方，可能导致企业机密信息和个人敏感信息被盗、经济和声誉受损，尤其对以线上交易为主的企业而言，网络攻击往往是致命的。

事实上，不仅仅是跨国大公司，中小企业和个人用户同样面临着网络攻击的风险，而且由于中小企业对网络安全建设投入较少，往往容易成为网络攻击者的首选目标，不仅会产生重大的财务影响，还可能因此失去客户和合作伙伴的信任。

网络安全对于保护企业财务数据、用户敏感信息、知识产权和机密商业信息等至关重要，对中小企业而言，如果想通过既简单又省钱的方式来保护网站信息安全，那自然非SSL证书莫属了。

在如今谷歌、百度等互联网巨头强制性要求网站HTTPS化的情况下，网站部署SSL证书已然成为互联网的发展趋势。部署SSL证书除了给网站的地址栏加一把小绿锁以外，还会带来其他许多好处，主要表现在以下几个方面。

提供身份验证

‍‍‍涉及到网络安全，身份验证是必不可少的。而安装SSL证书，网站就必须通过身份验证。通过后由权威第三方认证机构为用户颁发“网络身份证”，实现实体的物理身份与网络的虚拟身份绑定，确保网站所有者在虚拟网络世界的真实身份。

保护数据传输安全

SSL证书通过SSL协议对传入和传出站点的数据进行加密，可以保护数据不被任何试图访问它的恶意人员读取。即使发生数据泄露并且某些数据被截获，由于其涉及的加密级别，也几乎不可能被破解，可使访问者放心浏览。

防范网络钓鱼

钓鱼网站是由想要窃取用户信息的人创建的虚假网站，创建者很难获得有效的SSL证书。当用户在网站上看不到安全标志时，他们可能不会输入任何个人账户信息，而是直接离开此网站。所以有效的SSL证书可以防止对访问者的网络钓鱼攻击。

防止流量劫持

SSL证书可通过SSL协议为网络通信提供安全及数据完整性保护。在SSL握手阶段，客户端浏览器会验证服务器身份，防止信息被冒用。因此，如果攻击者发起DNS劫持会导致连接错误，服务器将被发现并终止连接，最终导致DNS劫持流量攻击无法实现。

提高网站SEO排名

部署SSL证书后，网站实现了真实性验证，有助于进行网站优化，提高搜索排名顺序，为SEO的目标和网站增强了安全系数，同时可吸引更多的用户进行访问，提升网站的价值，增加企业营收。
总的来说，SSL证书可有效保护企业以及用户的信息安全，提升企业网站竞争力。那么，如何获得SSL证书呢？

常规SSL证书申请颁发过程按照证书安全等级不同，需要进行一系列的安全认证，企业在通过认证后支付相应费用便可获得证书。但这一过程比较繁琐，所以建议企业选择权威CA机构提供的一站式服务，以节省申请、部署和维护SSL证书的时间和人力成本。

天威诚信是由工信部许可设立的国内权威CA机构，深耕SSL证书服务23年，产品类型众多，运营机制可靠，且具有服务于全行业95%以上的大客户经验，可为广大企业客户提供专业完善的SSL证书及认证服务，为网站开启HTTPS防护。

分类
知识中心

网络钓鱼攻击常见类型与应对方法

进入2023年，网络钓鱼仍然像往年一样活跃在互联网的各个角落，而且变得越发诡计多端。虽然有包括安装SSL证书、电子邮件证书等方法可以保护我们免受网络钓鱼攻击，但更有效的方法是能够及时识破它们。有鉴于此，本文整理了几种常见的网络钓鱼类型及其应对方法，帮助你识别钓鱼攻击，保护个人信息和财产安全。

域名欺骗

域名欺骗是一种最常见的网络钓鱼形式，攻击者使用与企业非常相近的域名来仿冒企业本身或企业员工进行欺诈。通常攻击者会注册一个与企业域名非常相似的域名，并搭建一个欺诈网站，欺诈网站会使用企业商标或视觉设计风格来进行仿冒。

应对方法：对于不确定的网站，应第一时间查验网站SSL证书，检查该网站的域名是否与证书中的域名一致，同时检查SSL证书是否由受信任信任的根证书机构颁发。

WiFi网络钓鱼

攻击者伪装公众场所常用的WiFi热点，诱导受害者连接使用公共WiFi，接管受害者网络，窃取网络流量数据，捕获受害者手机号、用户账号等相关信息后实施攻击或欺诈。

应对方法：谨防不需要认证的无线WiFi。公共无线WiFi分两种，第一种是店家设置的，需要向店家询问密码，第二种是商场提供的，需要进行网页二次认证。如果一个无线WiFi不需要密码也不需要认证，那么要小心了。如果你连接了公共无线WiFi，一定要杜绝和钱财有关的一切操作，尤其是输入密码这种行为。

DNS劫持

通过入侵DNS服务器的方式，将受害者导引到伪造的网站上，因此又被称为DNS服务器投毒（DNSPoisoning）。攻击者通过攻击DNS服务器，将流量重定向到钓鱼网站。一旦受害者访问这个假冒网站并进行用户照常登录，不知不觉就泄漏了个人敏感信息。

应对方法：及时部署SSL证书。SSL证书具备服务器身份认证功能，可以使DNS劫持导致的连接错误情况及时被发现和终止，同时HTTPS协议可以在数据传输中对数据进行加密传输，保护数据不被窃取和修改。

未知号码打来的电话

如果你接到一个未知号码打来的电话，而打电话的人声称来自你熟知的银行或其他机构，要非常小心，这是一种典型的网络钓鱼策略。打电话的人会通过让你输入密码、接受验证码等方式获取你的个人账户信息，非法挪用你的资金甚至注销你的账户。

应对方法：如果有陌生号码打电话给你，不要透露任何个人信息，挂断电话，使用你知道正规的号码打给陌生人声称的那家组织。

非个性化邮件

如果你收到的电子邮件没有尊称你的大名，或者只是称呼你为“尊敬的用户”或“尊敬的客户”，就要警惕了。网络钓鱼邮件常常使用通用的问候语，这是由大规模自动化钓鱼活动批量发出的，他们的目的是诱导用户点击邮件中的链接。

应对方法：不要点击不明链接，直接删除邮件，同时企业应及时部署电子邮件证书，通过HTTPS安全通道帮助企业阻挡诈骗、钓鱼和勒索病毒的攻击，确保用户Web邮件收发过程中的信息安全。

综上可知，在应对网络钓鱼攻击方面，为网站、电子邮件系统部署SSL证书实现HTTPS加密是较为有效的解决方案，通过SSL证书可以确认网站和电子邮件发送者的真实身份，避免用户点击假冒网站和不明链接而上当受骗。

在没有万无一失的方法可以避免网络钓鱼诈骗或恶意攻击的情况下，部署SSL证书可以尽量降低网络钓鱼攻击带来的风险，帮助用户实现放心浏览，安全交易。

分类
知识中心

SSL剥离攻击

在SSL剥离中，攻击者将自己建立为路由器，并与互联网服务器建立HTTPS连接。通常，最终用户通过不安全的HTTPS连接与攻击者连接，认为它是经过身份验证的路由器。然后，攻击者能够读取通信，将请求转发到服务器，并将响应传递回用户。此类攻击的目的是读取用户名、密码等数据以及攻击者以后可以利用的任何支付相关数据。

分类
知识中心

SSL/TLS降级攻击

SSL/TLS降级攻击诱使Web服务器与以前版本的TLS协商连接，这些版本早已因不安全而被放弃。然后，攻击者试图通过利用旧协议版本或加密算法中的缺陷来拦截和/或更改信息。

以下是历史上最臭名昭著的降级攻击：

贵宾犬攻击：
在POODLE（降级传统加密上的填充Oracle）攻击中，利用漏洞（CVE-2014-3566）窃听使用SSLv3加密的通信。在这种攻击中，攻击者可以窃取机密数据，如密码、会话cookie等，以模仿合法用户。最近的Acunetix2020Web应用程序漏洞报告显示，多达3.9%的Web服务器仍然容易受到POODLE的攻击，因为它们仍在使用SSLv3来加密其通信。要修复Web服务器上的POODLE攻击，请将Web服务器配置为支持TLS1.2或更高版本的协议。

怪异攻击：
FREAK（分解RSA导出密钥）攻击通过利用为遵守美国加密出口监管机构而引入的故意弱的导出密码套件来工作。FREAK诱使服务器使用使用512位或更少RSA模数的导出密码套件。最早的意图是允许密码套件仅由国家安全局破解，但是，今天的计算能力可以轻松破解此密钥。若要为您的网站解决此问题，必须在使用SSL/TLS的软件中禁用对任何导出级密码套件的支持。

Logjam攻击：
2015年512月发现的Logjam攻击允许攻击者通过将连接降级到512位导出级Diffie-Hellman组来拦截HTTPS连接。这类似于FREAK攻击，除了Logjam攻击Diffie-Hellman密钥交换而不是RSA密钥交换，就像Freak攻击一样。要解决此问题，您必须禁用对服务器上所有导出级Diffie-Hellman密码套件的支持。这不允许攻击者将连接降级到<>位DH导出密钥。

分类
知识中心

SSL 重新协商攻击

SSL重新协商攻击旨在利用在SSL重新协商过程中发现的漏洞，该漏洞允许攻击者将明文注入受害者的请求中。可以劫持HTTPS连接的攻击者可以将自己的请求添加到客户端和服务器之间的对话中。攻击者无法解密客户端-服务器通信，因此它不同于典型的中间人攻击。要修复SSLv3的重新协商漏洞，您必须停止允许在服务器端重新协商。为TLS提出了修复此漏洞的重新协商指示扩展，该扩展要求客户端和服务器在任何重新协商握手中包含并验证有关以前握手的信息。

分类
知识中心

HTTPS协议是如何防中间人窃听的

HTTPS协议是在HTTP协议的基础上，通过添加SSL加密协议而成的，其载体就是SSL证书。SSL协议是一种用于网络通信安全的加密协议，可以将数据在传输过程中进行加密，防止中间人窃听，保证数据的机密性和完整性。

HTTPS协议是如何防中间人窃听的

那么，HTTP协议具体是如何防止中间人窃听的呢？要回答这个问题，我们就要明白HTTPS协议双方（客户端和服务器）的通信过程。

客户端发送请求

当用户在浏览器中输入一个HTTPS网址时，客户端会向服务器发送一个请求，请求将它支持的SSL版本、加密算法、密钥交换算法、MAC算法等信息发送给SSL服务器。

服务器回应

服务器确定本次通信采用的SSL版本和加密套件，并将携带自己公钥信息的数字证书发送给客户端，通知客户端版本和加密套件协商结束，开始进行密钥交换。

客户端验证证书并生成密钥

客户端验证服务器的证书合法后，利用证书中的公钥加密客户端随机生成密钥，并通知SSL服务器。

客户端发送密钥

客户端使用已交互的握手消息的Hash值，利用协商好的密钥和加密套件处理Hash值（计算并添加MAC值、加密等），发送给SSL服务器。

服务器解密密钥

服务器利用同样的方法计算已交互的握手消息的Hash值，并与Finished消息的解密结果比较，如果二者相同，且MAC值验证成功，则证明密钥和加密套件协商成功。

经过以上的验证和加密，HTTPS通信就建立了起来。此时，客户端和服务器之间的数据传输都是通过对称密钥进行加密的，通信过程非常安全。

理解了以上内容就会明白，客户端和服务器实现加密通讯最重要的过程就是验证SSL证书，只要证书是合规的，服务器是安全的，就可以防止中间人窃听和攻击。

SSL证书由专业的CA机构颁发和管理，所以是可信的。最后，要注意的是，当您浏览网页时遇到浏览器或手机端弹出安全警告时，一定不要随意信任和继续浏览，因为，黑客可能正在暗处等待着，窥探您的隐私并窃取数据。

分类
知识中心

什么是证书颁发机构？

每次访问以 HTTPS 开头的网站时，您都会使用证书颁发机构。但问题是，什么是证书颁发机构，它如何通过保护互联网使我们的生活更轻松？让我们深入了解 CA 是什么。

证书颁发机构是维护现代数字世界中安全性的最关键组成部分之一。证书颁发机构 （CA） 是高度受信任的实体，负责签名和生成数字证书。CA 是 PKI 最重要的支柱之一。证书颁发机构专门颁发数字证书，这些证书随后用于确认网站、设备、个人等的合法性。

公共证书颁发机构本质上是一个公共可靠的机构，用于向个人、公司和其他实体颁发数字证书。这些颁发的证书是简短的数据文件，其中包含经过验证的组织标识信息。因此，通过为您提供值得信赖的第三方担保，CA 是一种在那些不直接了解您（或您的组织）的人中建立信誉的技术。

但问题是，在所有这些中，网站安全性如何？
因此，证书颁发机构会经历一组规则来确保证书的完整性。认证机构在颁发证书之前对申请实体进行调查。他们检查来自官方来源的记录和文件，以确保业务的真实性。之后，CA 颁发数字证书，公司可以使用该证书对其软件、网站和电子邮件通信进行加密和数字签名。

因此，如果您是需要公司证书的人，证书颁发机构会帮助您实现以下目标：

  • 验证组织的身份
  • 验证组织的合法性
分类
知识中心

数字时代，SSL证书如何保证信息和数据的安全？

数字技术不仅是一种生产力工具，而且极大地改变着人们的工作和生活方式。然而，在各领域数字化进程不断深入的同时，网络诈骗、信息泄露、钓鱼攻击等违法犯罪活动仍然严重影响着互联网经济的正常发展。企业网站，尤其是涉及用户敏感信息和金融交易的网站，时常面临数据泄露和网络威胁。潜在的攻击风险。

用户信息和数据安全关系到企业未来的发展。同时，维护网站信息安全也是企业获得客户信任进而达成交易合作的必要条件之一。 《中华人民共和国网络安全法》第二十一条规定，企业需要制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。

保护网站信息和数据的方法有很多，其中为网站安装SSL证书仍然是目前世界上最有效的网络数据安全保护措施之一。

SSL 代表安全套接字协议层。它位于HTTP协议层和TCP协议层之间。它用于在用户和服务器之间建立加密通信。除向指定服务器发送信息外，任何其他第三方均无法读取该信息，从而保证了传输信息的安全性。

部署SSL证书后，网站地址栏会显示HTTPS开头和一个绿色的锁符号。用户可以通过查看证书信息来确认网站的真实性，避免个人信息被钓鱼网站窃取甚至诈骗。在安全和用户体验方面，HTTPS站点更安全优质，更有利于用户识别。

值得一提的是，网站采用安全高速的HTTPS协议，可以提高网页的加载速度，使文本、图片、多媒体等加载速度更快，实现低延迟和高吞吐量，优化用户体验，并且能够提高网站的SEO排名，也有利于提高企业的获客率和销售业绩，这对于处于数字化转型过程中的企业尤为重要。

在数字时代，社交沟通、工作办公、休闲购物、娱乐游戏、投资理财、医疗保健等领域都需要深度连接互联网，通过互联网进行交易和数据分析。这已经成为一种习惯。 SSL证书通过加密算法和严格的认证机制帮助企业网站保护用户隐私和敏感数据，构筑网络安全防线，为企业数字化转型和安全合规发展保驾护航。

天威诚信是国内具有公信力的网络安全认证服务商。凭借服务全行业95%以上大客户的经验，长期为国内企业提供DigiCert、Entrust、GlobalSign、vTrus、Geotrust等全球可信的SSL证书及证书全生命周期管理服务，以完善的安全解决方案和可靠的CA运行机制保护网站信息安全，维护数字世界秩序。