SSL證書(shū)百科

常見(jiàn)問(wèn)題

• 問(wèn)：SSL證書(shū)無(wú)效怎么解決？

  答：1、頁(yè)面包含不安全的內(nèi)容目前，每個(gè)頁(yè)面都提倡使用https，因此網(wǎng)站的所有內(nèi)容都必須是https。如果遇到圖片和JS腳本，F(xiàn)LASH插件通過(guò)http調(diào)用，SSL證書(shū)將無(wú)效。解決方法：將調(diào)用元素http改為https，然后刷新測(cè)試SSL問(wèn)題是否已經(jīng)解決。2、使用自簽名或通用性差的SSL證書(shū)自簽名SSL證書(shū)是由個(gè)人或組織自己頒發(fā)的證書(shū)。它們有很大的安全風(fēng)險(xiǎn)，更容易受到攻擊，不受瀏覽器的信任。同樣，使用小型服務(wù)提供商頒發(fā)的通用性差的SSL證書(shū)也不受瀏覽器的信任。因?yàn)樽C書(shū)信任鏈的頂層是CA機(jī)構(gòu)，而這些小服務(wù)提供商缺乏CA機(jī)構(gòu)的信譽(yù)，不受瀏覽器的信任，會(huì)提示SSL證書(shū)無(wú)效。解決方案：選擇通過(guò)國(guó)際Webtrust標(biāo)準(zhǔn)認(rèn)證，具有國(guó)際電子認(rèn)證服務(wù)能力的CA機(jī)構(gòu)。3、SSL證書(shū)中包含的域名與網(wǎng)站不匹配每個(gè)SSL證書(shū)對(duì)應(yīng)的域名都是唯一的，是全域名FQDN。當(dāng)網(wǎng)站出具的證書(shū)中包含的域名與網(wǎng)站域名不一致時(shí)，系統(tǒng)會(huì)自動(dòng)發(fā)出報(bào)告，提示證書(shū)域名不匹配，這也是SSL證書(shū)無(wú)效的常見(jiàn)原因之一。解決方案：需要重新申請(qǐng)SSL證書(shū)。若需要保護(hù)多個(gè)域名，則需要申請(qǐng)多域名SSL證書(shū)或通配符SSL證書(shū)。4、網(wǎng)站證書(shū)已過(guò)期或尚未生效這種情況一般是計(jì)算機(jī)系統(tǒng)日期錯(cuò)誤，另一種是證書(shū)及有效期過(guò)后，需要續(xù)費(fèi)。解決方案：檢查證書(shū)信息的有效起止日期，確定證書(shū)是否在有效期內(nèi)，如果在，檢查計(jì)算機(jī)日期是否正確。否則，第二個(gè)原因是SSL證書(shū)不在有效期內(nèi)，需要更換。更換SSL證書(shū)，您可以找到原SSL證書(shū)申請(qǐng)機(jī)構(gòu)，也可以找到其他SSL證書(shū)發(fā)行機(jī)構(gòu)重新申請(qǐng)新的SSL證書(shū)，使用新的SSL證書(shū)不會(huì)對(duì)您的HTTPS網(wǎng)站產(chǎn)生任何影響。

• 問(wèn)：SSL自簽名證書(shū)存在的安全隱患都有什么？

  答：公鑰加密基礎(chǔ)設(shè)施（PKI）中、證書(shū)頒發(fā)機(jī)構(gòu)（CA）必須信任證書(shū)簽名人，以保護(hù)私鑰，并通過(guò)互聯(lián)網(wǎng)在線傳輸信息。然而，在簽署SSL證書(shū)的情況下，CA無(wú)法識(shí)別簽名人或信任它，因此私鑰將不再安全和損壞，這鼓勵(lì)網(wǎng)絡(luò)罪犯攻擊網(wǎng)站并竊取信息。⌈自簽名SSL證書(shū)的缺點(diǎn)⌋：·應(yīng)用/操作系統(tǒng)不信任自簽證證書(shū)，可能導(dǎo)致身份驗(yàn)證錯(cuò)誤等。·低哈希和密碼技術(shù)可用于自簽證。因此，自簽證的安全水平可能不符合當(dāng)前的安全策略。·不支持高級(jí)PKI(公鑰基礎(chǔ)設(shè)施)功能，如網(wǎng)上檢查撤銷(xiāo)列表等。·自簽證的有效期一般為一年，這些證書(shū)每年都需要更新/更換，這是一個(gè)難以維護(hù)的問(wèn)題。⌈在公共場(chǎng)所使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：與自簽名SSL證書(shū)相關(guān)的安全警告將驅(qū)逐潛在客戶，因?yàn)樗麄儞?dān)心該網(wǎng)站無(wú)法保護(hù)其憑證，從而損害品牌聲譽(yù)和客戶信任。⌈在內(nèi)部網(wǎng)站上使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：在公共網(wǎng)站上使用自簽名證書(shū)的風(fēng)險(xiǎn)很明顯，在內(nèi)部使用也有風(fēng)險(xiǎn)。內(nèi)部網(wǎng)站（如員工門(mén)戶）上的自簽名證書(shū)仍然會(huì)導(dǎo)致瀏覽器警告。許多組織建議員工忽略警告，因?yàn)樗麄冎纼?nèi)部網(wǎng)站是安全的，但這可能會(huì)鼓勵(lì)危險(xiǎn)的公共瀏覽行為。習(xí)慣于忽視內(nèi)部網(wǎng)站警告的員工可能會(huì)忽略公共網(wǎng)站上的警告，使他們和你的組織容易受到惡意軟件和其他威脅的攻擊。如果自簽名SSL證書(shū)安裝在電子商務(wù)網(wǎng)站上，用戶會(huì)感受到數(shù)據(jù)和信息被盜的風(fēng)險(xiǎn)，退出購(gòu)物，這也會(huì)影響在線業(yè)務(wù)和所有者的聲譽(yù)。收集用戶敏感信息和個(gè)人信息的網(wǎng)站不得安裝自簽名SSL證書(shū)。銀行、電子商務(wù)、社交媒體、醫(yī)療保健和政府部門(mén)就是其中之一。公鑰加密基礎(chǔ)設(shè)施（PKI）中、證書(shū)頒發(fā)機(jī)構(gòu)（CA）必須信任證書(shū)簽名人，以保護(hù)私鑰，并通過(guò)互聯(lián)網(wǎng)在線傳輸信息。然而，在簽署SSL證書(shū)的情況下，CA無(wú)法識(shí)別簽名人或信任它，因此私鑰將不再安全和損壞，這鼓勵(lì)網(wǎng)絡(luò)罪犯攻擊網(wǎng)站并竊取信息。⌈自簽名SSL證書(shū)的缺點(diǎn)⌋：·應(yīng)用/操作系統(tǒng)不信任自簽證證書(shū)，可能導(dǎo)致身份驗(yàn)證錯(cuò)誤等。·低哈希和密碼技術(shù)可用于自簽證。因此，自簽證的安全水平可能不符合當(dāng)前的安全策略。·不支持高級(jí)PKI(公鑰基礎(chǔ)設(shè)施)功能，如網(wǎng)上檢查撤銷(xiāo)列表等。·自簽證的有效期一般為一年，這些證書(shū)每年都需要更新/更換，這是一個(gè)難以維護(hù)的問(wèn)題。⌈在公共場(chǎng)所使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：與自簽名SSL證書(shū)相關(guān)的安全警告將驅(qū)逐潛在客戶，因?yàn)樗麄儞?dān)心該網(wǎng)站無(wú)法保護(hù)其憑證，從而損害品牌聲譽(yù)和客戶信任。⌈在內(nèi)部網(wǎng)站上使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：在公共網(wǎng)站上使用自簽名證書(shū)的風(fēng)險(xiǎn)很明顯，在內(nèi)部使用也有風(fēng)險(xiǎn)。內(nèi)部網(wǎng)站（如員工門(mén)戶）上的自簽名證書(shū)仍然會(huì)導(dǎo)致瀏覽器警告。許多組織建議員工忽略警告，因?yàn)樗麄冎纼?nèi)部網(wǎng)站是安全的，但這可能會(huì)鼓勵(lì)危險(xiǎn)的公共瀏覽行為。習(xí)慣于忽視內(nèi)部網(wǎng)站警告的員工可能會(huì)忽略公共網(wǎng)站上的警告，使他們和你的組織容易受到惡意軟件和其他威脅的攻擊。如果自簽名SSL證書(shū)安裝在電子商務(wù)網(wǎng)站上，用戶會(huì)感受到數(shù)據(jù)和信息被盜的風(fēng)險(xiǎn)，退出購(gòu)物，這也會(huì)影響在線業(yè)務(wù)和所有者的聲譽(yù)。收集用戶敏感信息和個(gè)人信息的網(wǎng)站不得安裝自簽名SSL證書(shū)。銀行、電子商務(wù)、社交媒體、醫(yī)療保健和政府部門(mén)就是其中之一。

• 問(wèn)：SSL證書(shū)加密算法有哪些？

  答：1.DES對(duì)稱(chēng)加密算法DES加密算法于1976年推出，是最古老的加密方法之一。DES將64個(gè)純文本數(shù)據(jù)塊分為兩個(gè)單獨(dú)的32個(gè)塊，并對(duì)每個(gè)塊進(jìn)行加密，從而將明文數(shù)據(jù)的64個(gè)塊轉(zhuǎn)換為密文。由于DES已經(jīng)被許多安全人員破解，它不再被使用，并于2005年正式被廢棄。DES最大的缺點(diǎn)是加密鑰長(zhǎng)度短，易于暴力破解。2.3DES加密算法3DES是DES算法的升級(jí)版本，在20世紀(jì)90年代末投入使用。3DSE算法在每個(gè)數(shù)據(jù)塊中三次使用，比DES更難破解。但與DES一樣，研究人員也在3DES算法中發(fā)現(xiàn)了嚴(yán)重的安全漏洞，這使得美國(guó)標(biāo)準(zhǔn)技術(shù)研究所在2023年后宣布廢除3DES算法。3.AES對(duì)稱(chēng)加密算法AES是DES算法的替代品，也是最常用的加密算法之一。與DES不同，AES是由不同密鑰長(zhǎng)度和組大小的密碼組成的一組分組密碼。AES算法首先將明文數(shù)據(jù)轉(zhuǎn)換為塊，然后用密鑰加密，AES密鑰長(zhǎng)度為128、192或256位，數(shù)據(jù)分組加密解密128位，安全性要高得多，目前廣泛應(yīng)用于金融、在線交易、無(wú)線通信、數(shù)字存儲(chǔ)等領(lǐng)域。4.RSA非對(duì)稱(chēng)算法RSA是在1977年發(fā)明的，是目前使用最廣泛的非對(duì)稱(chēng)算法，其安全性是基于它所依賴(lài)的素?cái)?shù)分解。根據(jù)數(shù)論，尋找兩個(gè)素?cái)?shù)相對(duì)簡(jiǎn)單，但將其乘積因式分解極其困難，因此乘積公開(kāi)可以作為加密密鑰。事實(shí)證明，今天的超級(jí)計(jì)算機(jī)很難破解RSA算法。2010年，一組研究人員模擬破解768位RSA算法，發(fā)現(xiàn)使用超級(jí)計(jì)算機(jī)至少需要1500年才能破解。目前，RSA普遍使用2048位密鑰，因此破解難度可想而知。因此，RSA算法從提出到現(xiàn)在已經(jīng)近30年了，經(jīng)歷了各種攻擊的考驗(yàn)，逐漸被人們接受，普遍認(rèn)為是目前最好的公鑰方案之一。5.ECC非對(duì)稱(chēng)加密算法ECC又稱(chēng)橢圓曲線加密算法，是一種基于橢圓曲線數(shù)學(xué)理論的非對(duì)稱(chēng)加密算法。與RSA相比，ECC可以使用較短的密鑰來(lái)實(shí)現(xiàn)與RSA相同甚至更高的安全性。根據(jù)目前的研究，160位ECC加密安全性相當(dāng)于1024位RSA加密，210位ECC加密安全性相當(dāng)于2048位RSA加密。較短的密鑰只需要較少的網(wǎng)絡(luò)負(fù)載和計(jì)算能力，因此在SSL證書(shū)中使用ECC算法可以大大降低SSL握手時(shí)間，縮短網(wǎng)站響應(yīng)時(shí)間。6.SM2加密算法SM2是中國(guó)國(guó)家密碼管理局于2010年發(fā)布的基于橢圓曲線密碼的公鑰密碼算法標(biāo)準(zhǔn)。SM2是ECC256位的一種，其密鑰長(zhǎng)度為256bit，包括數(shù)字簽名、密鑰交換和公鑰加密，用于替換RSA/DH/ECDSA/ECDH等國(guó)際算法。SM2的安全強(qiáng)度高于RSA2048位，而且運(yùn)算速度更快，因此廣泛應(yīng)用于CFCA等國(guó)密證書(shū)中。

熱門(mén)SSL證書(shū)產(chǎn)品推薦

證書(shū)等級(jí)	DV（域名級(jí)）SSL證書(shū)	OV（企業(yè)級(jí)）SSL證書(shū)
適用場(chǎng)景	個(gè)人網(wǎng)站、企業(yè)測(cè)試	中小企業(yè)的網(wǎng)站、App、小程序等
驗(yàn)證級(jí)別	驗(yàn)證域名所有權(quán)	驗(yàn)證企業(yè)/組織真實(shí)性和域名所有權(quán)
HTTPS數(shù)據(jù)加密
瀏覽器掛鎖
搜索排名提升
單域名證書(shū)	¥ 150 /年   ¥ 400 /3年 立即購(gòu)買(mǎi)	¥ 720 /年   ¥ 2000 /3年 立即購(gòu)買(mǎi)
通配符證書(shū)	¥ 550 /年   ¥ 1500 /3年 立即購(gòu)買(mǎi)	¥ 1500 /年   ¥ 4200 /3年 立即購(gòu)買(mǎi)