中科三方:关于SSL证书的几个常见误区 – 作者:SFN2020

误区1:HTTPS会使网站访问速度变慢

单纯从理论上来说,HTTPS比HTTP多了SSL握手环节,所以相应地访问时间要更长一些。但SSL握手环节一般只有几百毫秒,所以在整个网站访问过程中所占比例较小,我们很难感受到明显的时间变化。反而在某些情况下,HTTPS比HTTP更快一点,因为有的公司网关会截取并分析所有的网络通信,而当它遇到HTTPS连接时会直接放行,因为HTTPS传输经过加密无法被解读。因此少了中间这个解读过程,HTTPS访问有时显得更快更流畅。

误区2:HTTPS对硬件要求较高会额外增加硬件成本

在较早以前,很多公司为了实现HTTPS会刻意升级CPU、购买更多服务器,但随着硬件性能的快速发展,现在CPU、带宽、服务器等性能已经能够轻松满足HTTPS的压力,再加上进行合理的优化和部署,硬件成本的增加几乎可以忽略不计。

误区3:只有涉及支付的网站才需要安装SSL证书

在初期为了保障信息传输的加密性,避免用户敏感信息如银行卡号、账号、密码等信息被泄露,很多电商、金融、银行等与支付相关的网站率先安装了SSL证书,以保障用户的隐私和利益。但随着互联网的快速发展,如今人们的日常生活、工作、学习都离不开网络,人们通过网络进行购物、社交、学习、娱乐等各种日常操作,每天有大量的用户数据在网络之间流通,随时面临着敏感信息被泄露、被窃取的风险,因此除了支付网站之外,其他企业及政府网站也需要加装SSL证书,对信息的传输过程进行加密,来保障访问用户的数据安全,这既是对用户负责也是对企业形象的负责。

误区4:SSL证书可以随便申请

很多人看到网上可以申请免费的SSL证书,就认为申请SSL证书很容易,这种观点是错误的。目前网上确实有一些自签名的证书或免费的DV证书,然而这些证书要么不受浏览器信任,要么加密程度不高,无法满足网站的需求。至于较高级的SSL证书,因为防护等级较高,既要对传输过程进行加密,同时还要验证申请者的身份,所以审核过程相对来说比较严格。

SSL证书根据可信强度,大概可以分为:域名型证书(DV SSL)、企业型证书(OV SSL)、增强型证书(EV SSL)三种。最低级的DV证书,只验证域名,不对申请者的身份进行验证,所以审核相对较宽松,成本也较低,所以很多小微型企业或个人网站、博客为了节省成本往往采用这种证书。OV证书和EV证书,则需要提交真实可靠的资料(如营业执照、组织机构代码、律师意见书等),并且经过CA人工审核后才能颁发,很多企业因为提交资质不全或与申请组织不匹配而导致申请失败。

误区5:安装了SSL证书网站就100%安全了

很多人以为SSL证书是万能的,有了SSL证书网站所有安全问题都能解决了。实际上SSL证书只是实现了HTTPS协议传输,满足了网络通讯传输加密和服务器身份验证这两个安全需求,以达到防窃取、防篡改、防钓鱼的安全目的,并不能完全保证网站的绝对安全。实际上没有绝对安全的网站,也没有绝对安全的技术手段,不能指望仅靠一张SSL证书就解决所有的安全问题。但SSL证书的安全作用也不可忽视,传输加密和身份验证是网站安全的基础,基础打不牢,其他都免谈。因此对网站安全来说,HTTPS不是万能的,但没有HTTPS是万万不能的。

来源:freebuf.com 2021-07-02 11:28:05 by: SFN2020

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论