隨著互聯網技術的迅速發展,網絡安全問題也日益凸顯?!毒W絡安全法》已于去年正式實施,加強網站保護網民隱私責任的重要性,同時也要求企業網站在運營過程中做好用戶隱私數據的保護工作。
英美政府網站早已強制要求HTTPS加密;谷歌、百度也將HTTP/SSL給予更多信任,從而有利網站在搜索結果中提升排名,可見,HTTPS加密已成為最有效的信息安全工具之一。
HTTPS 正在成為網站的標配
當前還有大量的網絡流量都是以HTTP明文形式傳輸,任何一個中間環節都可以被截留、監聽并修改。HTTP頁面逐漸被瀏覽器標記為不安全,讓用戶更直接的看到自己瀏覽的網站是否存在安全風險。HTTPS無所不在的網絡并非遙遠的未來,它當下正在普及,HTTPS安全瀏覽將會成為網站的標配。
如今的互聯網時代,對個人、第三方網站和企業來說,數據永遠是最寶貴的信息,然而,每天都在發生的數據泄露事件嚴重程度遠遠超過人們的想像。
數據安全和用戶隱私已經成為時下人們最為關注的問題,加密的重要性也越來越被人們所認知,培育一個“加密無處不在”的互聯網環境的需求也日益高漲。
什么是SSL證書
超文本傳輸安全協議 (Hypertext Transfer Protocol Secure) 是一種通過計算機網絡進行安全通信的傳輸協議。HTTPS經由HTTP進行通信,但利用SSL/TLS來加密數據包,它的信任繼承基于預先安裝在瀏覽器中證書頒發機構。要使一網絡服務器準備好接受HTTPS連接,管理員必須先創建一數字證書,并交由證書頒發機構簽名以使瀏覽器接受。這種由證書頒發機構簽發的,用于網站傳輸安全得證書就是SSL證書(也有人稱HTTPS 證書)。
SSL證書旨在服務器與瀏覽器之間建立一條SSL安全通道。當通道建立完成后,服務器與瀏覽器之間會新建立一種加密方式,用以傳輸數據。也就是說,網站部署SSL證書之后,依然是由HTTP進行明文傳輸,只是這個明文是經過加密過后的字符串,接收端在收到這串字符串后根據相應的規則進行解密還原。如果沒有對應的規則,就算竊取到傳輸的數據也無法得知具體的數據信息,從而實現了服務器與客戶端之間的信息安全傳輸。
證書品牌:Comodo SSL數字證書、賽門鐵克SSL證書、TrustAsia SSL證書 、GeoTrust SSL證書 、Thawte SSL證書 、CFCA SSL證書等等。
證書類型有:DV SSL證書、OV SSL證書、EV SSL證書、通配符SSL證書、多域名SSL證書、單域名SSL證書。
特別注意的是不同品牌/不同類型的SSL證書價格都有所不同,價格從幾百到幾萬不等。
所以不同證書的效果在瀏覽器的展示效果也是所有不同,且支持的域名也分為多種加密形式,如下圖對比:
DV SSL證書
OV SSL證書
EV SSL證書
通配符SSL證書
多域名SSL證書
單域名SSL證書
SSL證書工作原理
從而實現了服務器與客戶端之間的信息安全傳輸。
證書主要作用是在SSL握手中,我們來看一下SSL的握手過程
1. 客戶端提交https請求
2. 服務器響應客戶,并把證書公鑰發給客戶端
3. 客戶端驗證證書公鑰的有效性
4. 有效后,會生成一個會話密鑰
5. 用證書公鑰加密這個會話密鑰后,發送給服務器
6. 服務器收到公鑰加密的會話密鑰后,用私鑰解密,回去會話密鑰
7. 客戶端與服務器雙方利用這個會話密鑰加密要傳輸的數據進行通信
SSL證書作用
HTTPS起到了以下幾個作用:
1.幫助客戶端對服務器身份進行驗證,將SSL安全簽章放置在您的網站中,您的用戶可以通過簽章的鏈接,了解您網站的安全以及可信狀況
2. 讓需要傳輸的數據加密化,讓您的網站杜絕被掛馬等風險
3.驗證傳輸的數據是否完整,RSA、ECC等高強度加密算法,讓網站傳輸安全固若金湯,同時又極大的提高SSL流量承載能力
4.用戶在搜索引擎中搜索您的網站時,您的網站會顯示安全可信的標識,從而讓用戶更加信任您的網站。
5.整個互聯網包括搜索引擎更喜歡安全的網站,各個搜索引擎已經明確宣布有SSL的網站將提高排名。
目前大部分個人網站或者小型企業網站、電商商務網站用的較多的為單域名SSL證書,價格也便宜,同樣可以起到安全加密,防止被惡意攔截篡改網頁等功能。
如圖
而EV證書使用較多的為政府部分等大型的企業機構。