行业资讯 ev-ssl-news2

您现在所在的位置 首页 > 行业资讯 > ssl中间人攻击频发,ssl 证书还有用吗?

ssl中间人攻击频发,ssl 证书还有用吗?

近期,微软账号系统、苹果iCloud、yahoo等都遭遇了ssl中间人攻击,ssl中间人攻击事件的不断发生动摇了人们对ssl加密安全的信心,不禁有人要问“既然ssl频繁被攻击,ssl 证书还有用吗?”网络安全专家指出“ssl被攻击不等同于ssl加密没有作用!没有ssl加密的网络,会更加不安全!!”

当您访问受ssl 证书保护的网站时,如果有中间人攻击或其他不安全因素,浏览器会自动警告,提示告知您可能面临的风险;而没有ssl 证书保护的网站,采用不安全的http明文传输协议,根本无需中间人攻击,隐私信息直接明文“裸奔”了,不是专业黑客,也能截获隐私数据。此外,http没有一种签名机制,来验证内容的真实性,即使页面被篡改了,浏览器也完全无法得知,更无法预警告知用户。

我们所能做的,不是排斥ssl 证书的应用,而是要真正了解ssl工作原理,正确利用ssl 证书的防护机制,保障自己的隐私安全!

沃通CA以IE浏览器为例,教您如何判断网站有没有ssl 证书保护、如何通过ssl 证书状态判断网站是否存在安全隐患,进而保障自己的数据安全!

【如何判断网站有没有ssl 证书保护】

1、可使用https://正常访问;

2、浏览器显示醒目安全锁;点击安全锁,可查看网站证书信息;

3、使用了EV SSL证书的网站,显示绿色地址栏!

如果您访问的网站呈现以上特征,说明该网站已受到ssl 证书保护。
ssl中间人攻击,ssl 证书
ssl中间人攻击,ssl 证书
ssl中间人攻击,ssl 证书

【如何通过ssl 证书检查网站是否存在安全隐患】

访问受ssl 证书保护的网站时,浏览器会自动查验ssl 证书状态,确认无误,浏览器才会正常显示安全锁标志。而一旦发现问题,浏览器会报各种不同的安全警告,提示网站的安全证书有问题。

1.网页有不安全因素,浏览器会警告

部署了ssl 证书的网站正常情况下,浏览器地址栏会自动显示安全锁标志。但如果部署了ssl 证书的网站有不安全因素,浏览器就会有警告“此页中包含其他的不安全资源”,表明此页面中含有指向其他没有部署ssl 证书的页面。为了安全起见,建议您选择 “ 否 ” ,浏览器就不显示不安全的内容,这些内容可能是Flash动画或 Java Script;如果选择 “是” ,则浏览器不会显示安全锁标志。
ssl中间人攻击,ssl 证书
2. ssl 证书不是由“受信任的根证书颁发机构”颁发的,浏览器会安全警告

所有浏览器都内置了“受信任的根证书颁发机构”的列表,记录了所有通过WebTrust国际认证,并预置到浏览器中的所有受信任CA机构。以 IE 浏览器为例,您可以在浏览器的“工具—internet选项—内容—证书”,就能看到“受信任的根证书颁发机构”,如下图所示,表明 IE 浏览器能正常识别出这些证书颁发机构颁发的数字证书:

ssl中间人攻击,ssl 证书
如果ssl 证书不是由浏览器中“受信任的根证书颁发机构”颁发的,则浏览器会有安全警告。如图所示,浏览器的警告信息为 “ 此网站出具的安全证书不是受信任的证书颁发机构颁发的,安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据,建议关闭此网页,并且不要继续浏览该网站”。(此网站安全证书存在问题

ssl中间人攻击,ssl 证书
3. 如果ssl 证书可信,则接着检查此 ssl 证书是否已经被吊销

如果是浏览器能识别的ssl 证书,则接着就要检查此ssl 证书中的证书吊销列表,如果此证书已经被证书颁发机构吊销,则会显示警告信息:“此组织的证书已被吊销(什么是证书吊销列表)。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页,并且不要继续浏览该网站。”如下图所示:
ssl中间人攻击,ssl 证书
4. 如果此证书没有被吊销,则接着会检查此证书是否过期

如果此证书没有被吊销,则接着会检查此 ssl 证书是否过期,如果证书已经过了有效期,则一样会显示警告信息:“ 此网站出具的安全证书已过期或还未生效。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页,并且不要继续浏览该网站。”如下图所示:
ssl中间人攻击,ssl 证书
5. 如果此 ssl 证书是在有效期内,则检查部署此 ssl 证书的网站的域名是否与证书中的域名一致

如果此 ssl 证书是在有效期内,则检查部署此 ssl 证书的网站的域名是否与证书中的域名一致,如果不一致,则浏览器也会显示警告信息:“此网站出具的安全证书是为其他网站地址颁发的。安全证书问题可能显示试图欺骗您或截获您向服务器发送的数据。建议关闭此网页,并且不要继续浏览该网站。”如下图所示:
ssl中间人攻击,ssl 证书
6. 新版浏览器还要验证此证书是否是EV SSL证书

如果以上都没有问题,新版浏览器(IE7以上版本)还要验证此证书是否是EV SSL证书,如果不是,则显示一般ssl 证书的安全锁标志;如果是,则需要按照EV SSL证书标准,显示绿色地址栏、单位名称和安全锁标志等。如下图所示:
ssl中间人攻击,ssl 证书
ssl中间人攻击,ssl 证书
以上就是浏览器查验网站ssl 证书状态的整个过程,查验过程只需几毫秒,用户几乎无感。经过查验没有任何问题,浏览器就会正常显示安全锁和绿色地址栏。如何浏览器出现证书错误的网页安全警告,用户绝对不能忽略继续。苹果iCloud服务器在中国被中间人劫持造成信息泄漏,正是因为用户忽视了网页安全警告,继续登录使用,让ssl中间人有了可乘之机。