分类
网络新闻

全网HTTPS已不遥远,如何实现?

用Chrome打开百度发现网址前面多了一个“锁形”图标,查了下,百度在去年年底已启用全站HTTPS。支付宝等涉及交易、安全性极高的网站一直使用HTTPS,搜索引擎为何需要HTTPS呢?在安全问题层出不穷的今天,HTTPS变得非常必要,越来越多的网站都在给自己增加这个“锁”。那么,在互联网采取现行基础架构下,全网HTTPS有无可能?

为什么需要HTTPS

HTTP全名超文本传输协议,它是网络应用广泛使用的协议,客户端据此获取服务器上的超文本内容。客户端包括浏览器、PC软件客户端以及大部分手机App。超文本内容则以HTML为主,客户端拿到HTML内容后可根据规范进行解析呈现。因此,HTTP主要负责的是“内容的请求和获取”。

问题就出在这部分。行监控、劫持、阻挡。一些关键参数比如登录密码开发者会在客户端进行MD5加密,不过互联网所承载的机密信息远不只是密码,搜索内容同样属于敏感信息。

在没有HTTPS时,运营商可在用户发起请求时直接跳转到某个广告,或者直接改变搜索结果插入自家的广告。浏览器和安全软件可以监听用户搜索在结果页植入广告。一些中间人还可把用户数据直接转卖,这样你搜索了“保险”以后你就成了保险公司电话推销的目标。如果劫持代码出现了BUG,则直接让用户无法搜索,出现白屏。

不只是搜索引擎,其他的网络应用同样会面临这些问题:数据泄露、请求劫持、内容篡改等等,核心原因就在于HTTP是全裸式的明文请求,域名、路径和参数都被中间人们看得一清二楚。HTTPS做的就是给请求加密,让其对用户更加安全。对于自身而言除了保障用户利益外,还可避免本属于自己的流量被挟持,以保护自身利益。

尽管HTTPS并非绝对安全,掌握根证书的机构、掌握加密算法的组织同样可以进行中间人形式的攻击。不过HTTPS是现行架构下最安全的解决方案,并且它大幅增加了中间人攻击的成本。

HTTPS的代价是什么?

如果HTTPS更安全,为什么现在只有少部分网站采取了HTTPS呢?答案在于“S”的代价。去年底,卡内基梅隆大学的一份研究量化了“S”的代价:HTTPS会让页面加载时间增加了50%,增加10%到20%的耗电,此外,HTTPS还会影响缓存,增加数据开销和功耗,已有安全措施也会受到影响。

服务器资源、流量资源上付出更多成本。

HTTPS工作原理

开发者向证书管理机构申请证书需要付费,这无可厚非因为证书管理和升级需要成本。但对于中小型网站而言,这会成为障碍。除了证书这一固定成本之外,网页引入的资源如JS、CSS和图片文件均需要采取HTTPS,这些资源可能来自不同部门或者公司,需要进行对应处理。

还有HTTPS会增加服务器的计算和带宽成本。SSL层在TCP协议的握手流程上增加了几次握手,另外每一次请求都需要进行RSA校验计算,这都会给服务器造成更多计算压力。缓存效率的变低,支持HTTPS的CDN(内容发布网络)节点更少,这会增加流量成本。网络规模越大,计算和流量成本越高。

对用户同样会有影响,比如要求浏览器兼容HTTPS,部分情况可能还需要接受某个网站的证书,操作更复杂。HTTPS握手次数增加则会让请求有一定程度的延迟。不过,在光纤宽带普及的今天,这样的延迟基本已经感知不到。目前,网银、支付等安全性要求极高的工具已经普遍采取HTTPS被用户接受,这说明HTTPS普及最大的障碍还是在服务器端,即如何推动更多网站支持HTTPS。

如何推动HTTPS普及?

在海外,有数据统计,HTTPS流量已超过全网50%。相比国外而言,我国的HTTPS普及率还比较低,仅在支付、账号等领域有限的安全保护已无法满足网民需求。能否助力HTTPS在中国的进程,就要看像百度这样起示范作用的大公司的推动效应了。

1、搜索引擎作为内容入口,在HTTPS普及中做好内容引导。

百度已全站启用HTTPS,Google旗下服务包括搜索、日历、GMAIL等同样是全站HTTPS。搜索引擎作为内容入口,可以通过“引导”,推动HTTPS。一种方式是提升HTTPS的搜索排名权重;另一种方式是对没有采取HTTPS的网站进行“不安全”标记,或者对HTTPS网站进行认证标记。区别对待HTTP和HTTPS内容,给予不同的流量激励,引导站长转到HTTPS。

“HTTPS项目背后有着对众多技术难题的攻克,百度搜索从基础架构调试,到全部主域及子域名的修改,再到速度的优化,很好地解决了困扰多年的中间者劫持问题,”百度方面介绍,现在百度HTTPS安全加密已经覆盖主流浏览器,对用户的安全和隐私将形成一道完整的机制保护。

2、大公司承担更多责任,带头的同时做好各项扶持。

大型互联网公司首先应该自己转向HTTPS、主动付费购买证书,起到带头作用。还可赞助OPENSSL等技术研究机构,不断升级SSL技术,避免出现“心脏出血”这样的漏洞。当然,大公司还可以在SSL及HTTPS技术普及、开发资源、社区宣贯、媒体宣传上做更多努力。

3、免费SSL证书到来,清理掉HTTPS普及最大障碍。

Mozilla、思科、Akamai、IdenTrust、EFF 和密歇根大学研究人员宣布了 Let’s Encrypt CA项目,计划为网站提供免费 SSL 证书,加速将 Web 从 HTTP 过渡到 HTTPS。这个项目将在2015年夏天开始像网站提供和管理免费证书,并且降低证书安装复杂度,安装时间将降低到20-30秒。不过,要想获得更高级的复杂证书,还需要付费,这意味着大公司们依然需要花钱购买证书。这个计划可以帮助中小网站HTTPS普及。

4、浏览器区别对待HTTPS,做好内容处理和引导。

在HTTPS普及过程中,浏览器需要做好兼容性处理,比如更快地解析HTTPS协议、更简单地管理SSL证书,并且最好可以将HTTPS和SSL的复杂性隐藏起来,避免降低用户体验。另外,浏览器可以对HTTP和HTTPS网站进行区别标记和显著提醒,引导用户选择HTTPS内容。如果用户更亲睐选择HTTPS内容,自然会反过来促进站长们转向HTTPS,哪怕会付出一定代价。浏览器跟搜索引擎一样是内容入口,自然可以起到引导作用。

需要一个更安全的网络承载环境,否则安全事件就会此起彼伏。升级HTTPS需要联动,基础设施、网络架构、底层服务提供商都要同步转换,跨过所谓的缓存终结者、性能杀手等潜在矛盾。就百度此次全站实行HTTPS安全加密来说,百度本身就比较技术范儿,做这件事也体现了大公司的社会责任及技术实力。百度全站支持HTTPS,意味着中国大公司对HTTPS的重视。接下来必将有更多大公司转向HTTPS,在中国互联网全网HTTPS中起好带头作用。

分类
知识中心

赛门铁克(VeriSign)SSL证书—企业网站安全第一通道

如今,对大多数年轻网民来说,网络购物已经成为一件稀松平常的事情。人们能够毫不犹豫地在购物网站上完成支付,是因为今天的技术已经能够为网络交易的真实性和安全性提供保障。比如,当我们在网上完成一笔交易时,都会提示安装安全证书,此时安全证书就相当于网站的身份证。浏览器在登录网站时会根据证书中提供的信息,逐级验证证书的真伪,以保证证书的真实性和网站的真实性。

其实所安装的安全证书,就是SSL证书及服务器证书。SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道(Secure socket layer),以SSL安全协议来提供对用户和服务器的认证;对传送的数据进行加密和隐藏;确保数据在传送中不被改变,以及保障数据的完整性。

由于SSL技术建立到所有主要的浏览器和WEB服务器程序中,因此,仅需安装服务器证书就可以激活该功能了。即通过它可以激活SSL协议,实现数据信息在客户端和服务器之间的加密传输,可以防止数据信息的泄露。保证了双方传递信息的安全性,而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。

其次,SSL证书技术通过加密信息和提供鉴权,不仅可以显示网站的真实性,还可以在网站用户输入密码与用户名时对这些信息进行加密,而不被黑客截取,即使截取到也是密文,也看不到真实的用户名与密码。而我们经常遇到的网络攻击,如数据劫持和钓鱼攻击等,都是在没有SSL证书的保护下造成的。这极有可能让用户信息泄露甚至造成严重的经济损失,而通过SSL证书认证就可有效避免,因为只有授权用户才能读取数据。

所以,随着网络的普及,网络安全环境对SSL证书的需求日益加大,目前世界500强企业中93%的公司和世界100家最大的银行中97%的银行以及全球50家大型电子商务网站中的47个网站都安装了赛门铁克(VeriSign)SSL证书。企业只有部署了SSL证书,才真正给了网民一个放心的交易平台。

目前在中国的网络安全市场也早已与世界同步,大部分互联网企业都部署了SSL证书,以期给广大个人网络用户最大极度的安全保障。天威诚信作为国内网络安全服务商经过几年的开拓已经领跑业界,合作伙伴遍及各个行业。近期更是签约了国航、强生等商业巨头。天威诚信提示广大用户重视网络安全、防止财产损失。

分类
知识中心

赛门铁克(VeriSign)SSL证书保证你的安全性

赛门铁克(VeriSign)SSL证书可以帮助让你得到更安全的保证,一般我们去买东西,一般都会得到提示安装安全证书,此时安全证书就相当于网站的身份证。浏览器在登录网站时会根据证书中提供的信息,逐级验证证书的真伪,以保证证书的真实性和网站的真实性。

我们通常所说的安全证书,就是SSL认证,它是一种国际通用的Web安全标准,主要通过对敏感数据加密来防止各种攻击非法读取重要信息,保证数据的完整性和安全性,包括我们经常遇到的,如数据劫持和钓鱼攻击等,通过SSL,只有授权用户才能读取数据。”

那么何为赛门铁克(VeriSign)SSL证书呢?

赛门铁克(VeriSignSSL证书是数字证书的一种,类似于驾驶证、护照和营业执照的电子副本。

赛门铁克(VeriSign)SSL证书有哪些作用呢?

赛门铁克(VeriSign)SSL证书可以保护你的网站的真实性,还可以对你的用户在输入密码与用户名时对这些信息进行加密,而不被黑客截取,即使截取到也是密文,看不到你的用户名与密码的,现在的网络环境中对与赛门铁克(VeriSign)SSL证书的需求还是很大的,多数电子商务网站与证券,还有银行网上银行以及有信息和资金交互的网站等都有需要。

赛门铁克(VeriSign)SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道(Secure socket layer(SSL)安全协议,该安全协议主要用来提供对用户和服务器的认证;对传送的数据进行加密和隐藏;确保数据在传送中不被改变,即数据的完整性,现已成为该领域中全球化的标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中,因此,仅需安装服务器证书就可以激活该功能了)。即通过它可以激活SSL协议,实现数据信息在客户端和服务器之间的加密传输,可以防止数据信息的泄露。保证了双方传递信息的安全性,而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。

安全套接字层(SSL) 技术通过加密信息和提供鉴权,保护网站安全。一个有效、可信的 SSL 数字证书包括一个公共密钥和一个私用密钥。公共密钥用于加密信息,私用密钥用于解译加密的信息。浏览器指向一个安全域时,SSL 同步确认服务器和客户端,并创建一种加密方式和一个唯一的会话密钥。它们可以启动一个保证消息的隐私性和完整性的安全会话。

分类
安全播报

酒店系统关键页面部署SSL证书 防止顾客信息被泄

顾客酒店开房私密信息被大量泄漏,网民的隐私受到极大侵犯,信息安全再一次被推到风口浪尖,为什么会出现这样的情况?黑客固然首当其冲,但我们需要反思的是酒店系统的安全性,有漏洞才会让黑客有机可乘。

这次卷入泄密风波的有如家、汉庭、咸阳国贸大酒店、杭州维景国际大酒店、驿家365快捷酒店等,大量客户开房信息被泄露,包括客户名(两个人的话都会显示)、身份证号、开房日期、房间号等大量敏感、隐私信息。

据悉这些酒店使用的是浙江慧达驿站网络有限公司开发的酒店Wi-Fi管理、认证管理系统,而慧达驿站在其服务器上实时存储了这些酒店的客户记录,而由于服务器存在安全漏洞,这些信息是可以被黑客拿到的。另外,客户信息的数据同步是通过http协议实现的,需要认证,但是认证用户名、密码竟然是明文传输的,很容易被轻松窃取,用这个信息就可以从他们数据服务器上获得所有酒店上传的客户开房信息。

作为酒店,信息化带来便利和效益的同时,如何保护顾客的信息安全是需要反思的。

要想减少重要数据泄漏的风险,数据加密技术最有效。但只有将数据加密技术整合于企业IT基础设施的安全系统中,才能发挥其最大效果。而现在最成熟并被广泛使用的数据传输加密应用就非属SSL不可了。

存有大量个人隐私信息的网站,系统中信息传输应通过SSL技术达到一定加密强度,确保用户信息安全。通过SSL技术建立高强度加密的信息传输通道,保证用户在线提交的信息在传输过程中不被窃取或篡改。利用这一点,我们就可以将其应用到WEB服务器的安全访问上。

对于网站经营者来说,提升网站知名度,增加网站访问量意味着更多的商机,同时应当承担起保护顾客隐私的责任,真正让顾客安全放心,提升用户的忠诚度,酒店系统应在敏感交易界面,部署高端SSL证书,对于网站来说,并不是说所有的页面均需部署SSL证书。网站只需在一些需要提交关键数据的交互页面提供SSL证书安全保护。但关键页面的SSL证书,一定要选择经过身份验证、拥有良好品牌信誉的SSL证书,如国际第一品牌VeriSign SSL证书

网络安全无小事,顾客隐私不容侵犯,否则你将永远失去他