如今，越來(lái)越多的網(wǎng)站開始選擇申請(qǐng)SSL證書對(duì)用戶隱私和數(shù)據(jù)安全加以保護(hù)，而免費(fèi)SSL證書的出現(xiàn)則讓很多網(wǎng)站運(yùn)營(yíng)者偷著樂(lè)了一把。但這樣的“免費(fèi)午餐”是不是真的占到了便宜呢?

[[251657]]

　　近年來(lái)隨著https加密的普及，在我們的潛意識(shí)中早已形成了這樣的認(rèn)知：https可以防止“釣魚”網(wǎng)站，網(wǎng)站有https標(biāo)識(shí)就表明已經(jīng)進(jìn)行了https加密，可以放心地訪問(wèn)，甚至是輸入賬號(hào)密碼等敏感信息了。但看到下面這個(gè)例子，你就會(huì)明白“免費(fèi)午餐”不好吃也不能吃了。

　　上面這個(gè)Google鏈接看似很安全，也有https安全標(biāo)識(shí)，但實(shí)際卻是一個(gè)假冒谷歌Play商店的釣魚網(wǎng)站。仔細(xì)觀察，你會(huì)發(fā)現(xiàn)網(wǎng)址中包含兩個(gè)“.com”，而谷歌Play商店的真實(shí)網(wǎng)址是https://play.google.com/store。為什么“釣魚”網(wǎng)站也能顯示https?

　　權(quán)威CA機(jī)構(gòu)天威誠(chéng)信技術(shù)負(fù)責(zé)人提到，SSL證書是由數(shù)字證書管理機(jī)構(gòu)(簡(jiǎn)稱CA)簽發(fā)的，為了提升SSL證書的普及率和自身產(chǎn)品市場(chǎng)占有率，部分CA機(jī)構(gòu)也對(duì)外提供免費(fèi)的SSL證書。當(dāng)網(wǎng)站申請(qǐng)SSL證書時(shí)，通常會(huì)要求網(wǎng)站提交身份資質(zhì)文件(如企業(yè)營(yíng)業(yè)執(zhí)照、組織機(jī)構(gòu)代碼證等)，經(jīng)過(guò)CA人工審核通過(guò)并支付一定費(fèi)用后才可頒發(fā)。

　　而免費(fèi)SSL證書往往通過(guò)程序自動(dòng)匹配申請(qǐng)人或機(jī)構(gòu)信息和所申請(qǐng)的域名信息，只要匹配一致就能獲得證書，不需要人工審核。這類證書只能驗(yàn)證域名所有權(quán)，無(wú)法對(duì)組織進(jìn)行驗(yàn)證，即無(wú)法驗(yàn)證服務(wù)器身份，因此留下了很大的安全漏洞和隱患。黑客只需驗(yàn)證域名信息就能輕松獲得證書，從而為自己披上看似可信的外衣。而此時(shí)的https仍可起到加密傳輸?shù)淖饔茫畔鬏數(shù)哪康膮s由真實(shí)網(wǎng)站的服務(wù)器變成了黑客的“釣魚”服務(wù)器，信息加密也就如同皇帝的新衣，黑客抓取用戶敏感信息就變得探囊取物般輕而易舉。

　　除了黑客“釣魚”的風(fēng)險(xiǎn)外，免費(fèi)SSL證書在使用時(shí)還有諸多限制。比如：免費(fèi)證書只能綁定單個(gè)域名、不支持通配符域名等。同樣的，這類“免費(fèi)的午餐”相關(guān)服務(wù)也會(huì)大打折扣，大多數(shù)免費(fèi)的SSL證書都由用戶自行安裝，無(wú)法提供后期服務(wù)和技術(shù)支持，在證書遇到問(wèn)題時(shí)，也無(wú)法及時(shí)得到解決。另外，某些品牌的免費(fèi)SSL證書有效期過(guò)短，每三個(gè)月就要更新一次，到期后還要自己申請(qǐng)，很多用戶很容易就會(huì)忘記續(xù)期。

 

　　在目前免費(fèi)證書身份驗(yàn)證機(jī)制還不完善的情況下，出于對(duì)用戶、網(wǎng)站自身安全的考量，管理員應(yīng)避免使用免費(fèi)SSL證書，尤其是大型企業(yè)或機(jī)構(gòu)網(wǎng)站、涉及用戶隱私及金融交易的電商類平臺(tái)更不能選擇“免費(fèi)的午餐”。比如網(wǎng)站安裝了Digicert/Symantec頒發(fā)的OV型SSL證書，當(dāng)你點(diǎn)擊地址欄中的鎖型圖標(biāo)時(shí)，顯示網(wǎng)站身份經(jīng)DigiCert認(rèn)證，說(shuō)明該網(wǎng)站證書、身份真實(shí)可靠。

　　總的來(lái)說(shuō)，免費(fèi)SSL證書雖然申請(qǐng)流程簡(jiǎn)單，但僅支持加密功能，無(wú)法驗(yàn)證服務(wù)器身份，由此引發(fā)的潛在威脅較大，并不建議企業(yè)機(jī)構(gòu)采用。

　　在選購(gòu)付費(fèi)SSL證書時(shí)，應(yīng)盡量選擇天威誠(chéng)信這類權(quán)威的CA機(jī)構(gòu)。這些經(jīng)過(guò)國(guó)家認(rèn)可的CA機(jī)構(gòu)，是負(fù)責(zé)發(fā)放和管理數(shù)字證書的權(quán)威機(jī)構(gòu)，并作為電子商務(wù)交易中受信任的第三方，承擔(dān)公鑰體系中公鑰的合法性檢驗(yàn)的責(zé)任。而選擇免費(fèi)證書的用戶，常常在對(duì)密鑰的保存和后續(xù)的維護(hù)、更新、賠償?shù)确?wù)中遭遇問(wèn)題。因此，選擇一個(gè)具有技術(shù)支持能力、擁有完善服務(wù)體系、具備良好市場(chǎng)信譽(yù)度和口碑的CA機(jī)構(gòu)就顯得尤為重要。需要強(qiáng)調(diào)的是，https網(wǎng)站的整體安全性依然遠(yuǎn)高于非https網(wǎng)站，而大型網(wǎng)站一定不要選擇“免費(fèi)”午餐，用戶在訪問(wèn)網(wǎng)站時(shí)也一定要仔細(xì)辨別SSL證書，這樣才能更有效的保障隱私安全。