如何正確選擇SSL證書——管理層面
SSL安全套結(jié)字層協(xié)議（secure sockets layer），提供了一個(gè)傳輸層安全的應(yīng)用協(xié)議，解決互聯(lián)網(wǎng)服務(wù)網(wǎng)站的身份識(shí)別，機(jī)密、隱私信息的加密傳輸問題。SSL部署的過程中至關(guān)重要的環(huán)節(jié)是SSL網(wǎng)站安全證書（certificate ssl）的申請(qǐng)與配置。決定購買何種SSL網(wǎng)站安全證書，不僅是一個(gè)技術(shù)問題，更涉及到公司的戰(zhàn)略、服務(wù)意識(shí)、管理等一系列問題。本文將從管理層面對(duì)服務(wù)器證書的選擇進(jìn)行討論。
管理層面，是否根內(nèi)置？
根內(nèi)置，是一個(gè)證書領(lǐng)域的專門術(shù)語，指CA機(jī)構(gòu)通過相關(guān)國(guó)際機(jī)構(gòu)審查后，與瀏覽器生產(chǎn)商協(xié)調(diào)后，發(fā)布在瀏覽器內(nèi)。瀏覽器廠商為CA機(jī)構(gòu)根證書的真實(shí)性負(fù)責(zé)。
1、自己簽發(fā)的證書與根內(nèi)置的第三方機(jī)構(gòu)頒發(fā)的證書有什么不同？存在什么風(fēng)險(xiǎn)？
國(guó)內(nèi)有些網(wǎng)站采用自簽名的SSL網(wǎng)站安全證書(certificate ssl）提供公眾服務(wù)，卻并不了解其中蘊(yùn)藏著極大的安全風(fēng)險(xiǎn)。SSL網(wǎng)站安全證書的兩個(gè)關(guān)鍵功能，除了廣為所知的加密通道外，網(wǎng)站身份識(shí)別的作用在釣魚網(wǎng)站泛濫時(shí)尤為重要。CA機(jī)構(gòu)需要極其嚴(yán)格的審核過程，才能把根植入瀏覽器內(nèi)。通過根內(nèi)置的證書才能在對(duì)用戶透明的前提下完成對(duì)服務(wù)其身份的認(rèn)證。自簽名的證書由于需要客戶端下載根證書才能完成SSL網(wǎng)站安全證書的驗(yàn)證過程，而把對(duì)根證書真?zhèn)蔚呐袛鄰?qiáng)加給對(duì)此毫不知情的用戶，顯然存在極大的風(fēng)險(xiǎn)。因?yàn)椋烎~網(wǎng)站可以偽造自簽名的SSL網(wǎng)站安全證書欺騙用戶。
2、根內(nèi)置與非根內(nèi)置的第三方機(jī)購頒發(fā)的證書有什么不同？存在什么風(fēng)險(xiǎn)？由于實(shí)施了《電子簽名法》，國(guó)內(nèi)機(jī)構(gòu)在頒發(fā)合法的客戶端證書的同時(shí)，開展SSL網(wǎng)站安全證書業(yè)務(wù)，如果該類SSL網(wǎng)站安全證書用于內(nèi)部應(yīng)用，可以實(shí)現(xiàn)相應(yīng)的安全應(yīng)用，但對(duì)于互聯(lián)網(wǎng)應(yīng)用服務(wù)，卻存在極大的安全風(fēng)險(xiǎn)和隱患。從本質(zhì)來講，非根內(nèi)置的SSL網(wǎng)站安全證書和自簽名證書有同樣的風(fēng)險(xiǎn)，釣魚網(wǎng)站在偽造SSL服務(wù)器證書的同時(shí)可以偽造第三方機(jī)構(gòu)的根證書。而由于這種偽造造成的損失，服務(wù)提供商和第三方機(jī)構(gòu)間的責(zé)任劃分存在明顯的隱患。
管理方面
即使把SSL服務(wù)器證書選擇限定在根內(nèi)置證書的范圍內(nèi)仍存在太多的選擇。
1、品牌是重要的嗎？SSL網(wǎng)站安全證書(certificate ssl）本身也具有品牌性的，要考慮提供互聯(lián)網(wǎng)服務(wù)的品牌是否與服務(wù)器品牌相適應(yīng)，例如，從VeriSign來說，VeriSign本身也提供三種品牌的服務(wù)，VerSign的高端產(chǎn)品，以及服務(wù)于非洲、或國(guó)際市場(chǎng)的中低品牌thawte、geotrust。而從VeriSign的品牌來說占據(jù)世界500強(qiáng)的94%，可見，SSL網(wǎng)站安全證書品牌是和互聯(lián)網(wǎng)業(yè)務(wù)相輔相成的。采用高端的SSL網(wǎng)站安全證書品牌對(duì)提高服務(wù)的互聯(lián)網(wǎng)應(yīng)用的品牌價(jià)值具有重要的意義。
2、品牌的服務(wù)質(zhì)量如何？SSL網(wǎng)站安全證書之所以具有品牌性，和其提供的服務(wù)價(jià)值密不可分，服務(wù)質(zhì)量可以分為三個(gè)方面服務(wù)的可延續(xù)性，SSL服務(wù)器證書作為持續(xù)服務(wù)的產(chǎn)品，其延續(xù)性和互聯(lián)網(wǎng)應(yīng)用的可持續(xù)性密切相關(guān)，而作為商業(yè)機(jī)構(gòu)的SSL服務(wù)器證書頒發(fā)機(jī)構(gòu)，處于底層的第三方機(jī)構(gòu)由于自身業(yè)務(wù)能力，公司實(shí)力卻存在破產(chǎn)或者停業(yè)的風(fēng)險(xiǎn)。從而，影響所提供的互聯(lián)網(wǎng)應(yīng)用服務(wù)自身的品牌價(jià)值。服務(wù)的嚴(yán)謹(jǐn)性，SSL服務(wù)器證書要證明所代表互聯(lián)網(wǎng)服務(wù)的網(wǎng)站身份，因此需要嚴(yán)格的鑒證審批流程，而嚴(yán)謹(jǐn)?shù)蔫b證流程是保障互聯(lián)網(wǎng)服務(wù)提供商和最終用戶權(quán)益的必要條件。因此，所謂的快速發(fā)證和無鑒證流程在提供便利性的同時(shí)，是以犧牲客戶利益和帶來風(fēng)險(xiǎn)為前提的。服務(wù)的本地化，目前SSL服務(wù)器證書一般均是國(guó)外機(jī)構(gòu)在中國(guó)的戰(zhàn)略合作伙伴或代理頒發(fā)，戰(zhàn)略合作伙伴一般可以提供良好的本地化服務(wù)，而代理商魚龍混雜，需要通過對(duì)公司實(shí)力、服務(wù)時(shí)間等仔細(xì)甄別，判斷是否能提供適當(dāng)?shù)谋镜鼗?wù)。
3、證書的價(jià)值如何體現(xiàn)？證書的價(jià)值在于SSL網(wǎng)站安全證書品牌帶來的良性促進(jìn)，以及合法的本地利益保障，由于國(guó)內(nèi)外企業(yè)制度，企業(yè)身份的認(rèn)證過程不同，因此，需要符合本地法律的鑒證流程保障合法利益。本地鑒證是根據(jù)國(guó)情制定的鑒證策略，互聯(lián)網(wǎng)服務(wù)上合法利益受到損害時(shí)可以得到中國(guó)法律支持的利益保障。因此，能提供本地見證服務(wù)，也是SSL網(wǎng)站安全證書選擇中關(guān)鍵的一環(huán)。本文討論了SSL網(wǎng)站安全證書選擇時(shí)需要關(guān)注的環(huán)節(jié)，以及一些選擇的風(fēng)險(xiǎn)和安全隱患。當(dāng)然，技術(shù)在不斷進(jìn)步，管理和服務(wù)模式不斷更新，需要根據(jù)實(shí)際情況和背景調(diào)整思路，以便做出有利于互聯(lián)網(wǎng)服務(wù)發(fā)展的更好選擇。
