近年來(lái),數(shù)字證書(shū)安全事件頻頻發(fā)生:2016年10月,美國(guó)SSL證書(shū)管理機(jī)構(gòu)及提供商GlobalSign一個(gè)誤操作導(dǎo)致淘寶、京東、天貓等網(wǎng)站無(wú)法訪(fǎng)問(wèn),直接影響我國(guó)6億網(wǎng)購(gòu)用戶(hù);2017年,信息安全服務(wù)廠商賽門(mén)鐵克,違規(guī)頒發(fā)3萬(wàn)張違規(guī)證書(shū);2018年8月,某網(wǎng)站未使用數(shù)字證書(shū)導(dǎo)致全國(guó)96家互聯(lián)網(wǎng)公司,約30億條用戶(hù)數(shù)據(jù)被非法竊取;2018年12月,電信網(wǎng)絡(luò)中的4G交換機(jī)數(shù)字證書(shū)失效,導(dǎo)致英國(guó)、日本數(shù)千萬(wàn)手機(jī)用戶(hù)斷網(wǎng)……

面對(duì)這種情況,巨頭們也坐不住了,2013年谷歌發(fā)起了證書(shū)透明度政策(Certificate Transparency,簡(jiǎn)稱(chēng)CT)。這一政策的目標(biāo)是提供一個(gè)開(kāi)放的審計(jì)和監(jiān)控系統(tǒng),讓任何域名所有者或者CA機(jī)構(gòu)確定證書(shū)是否被錯(cuò)誤簽發(fā),或者被惡意使用,從而提高 HTTPS 網(wǎng)站的安全性。

2017年1月,Google宣布推出自有CA根證書(shū),擺脫對(duì)由第三方簽發(fā)的中級(jí)證書(shū)頒發(fā)機(jī)構(gòu)的依賴(lài)。

而在國(guó)內(nèi),360瀏覽器也緊跟國(guó)際步伐,2018年12月,宣布創(chuàng)建自有根證書(shū)計(jì)劃,全面提升用戶(hù)上網(wǎng)的安全性,成為國(guó)內(nèi)首家創(chuàng)建自有根證書(shū)的瀏覽器廠商。不久前,在2019中國(guó)網(wǎng)絡(luò)安全年會(huì)上,360集團(tuán)高級(jí)總經(jīng)理梁志輝號(hào)召成立國(guó)密根證書(shū)行業(yè)聯(lián)盟,加強(qiáng)我國(guó)數(shù)字證書(shū)應(yīng)急體系建設(shè)。

偽造證書(shū)事件頻發(fā) 我國(guó)數(shù)字證書(shū)問(wèn)題如履薄冰

數(shù)字證書(shū)又稱(chēng)數(shù)字標(biāo)識(shí),它是一種互聯(lián)網(wǎng)中驗(yàn)證身份的方式,是用來(lái)標(biāo)識(shí)和驗(yàn)證通信雙方真實(shí)身份的數(shù)字信息文件,其作用類(lèi)似于現(xiàn)實(shí)生活中的身份證,可以有效保護(hù)網(wǎng)上傳輸信息的安全。

但如此重要的“身份證”,在我國(guó)卻面臨多種問(wèn)題。一方面我國(guó)使用數(shù)字證書(shū)的網(wǎng)站占65%,比起先進(jìn)國(guó)家水平相差甚遠(yuǎn)。目前來(lái)看,我國(guó)大部分網(wǎng)站都存在不同程度的安全漏洞,這些漏洞輕則會(huì)影響網(wǎng)站正常運(yùn)行,重則會(huì)導(dǎo)致網(wǎng)站服務(wù)器淪陷,網(wǎng)站機(jī)密數(shù)據(jù)遭到泄露,例如此前CSDN、天涯等大型網(wǎng)站就是因?yàn)榫W(wǎng)站存在漏洞導(dǎo)致用戶(hù)數(shù)據(jù)信息被黑客盜取。

另一方面,我國(guó)涉及國(guó)計(jì)民生的網(wǎng)站中99%都在使用美國(guó)頒發(fā)的數(shù)字證書(shū),國(guó)外認(rèn)證機(jī)構(gòu)在我國(guó)范圍內(nèi)提供電子認(rèn)證服務(wù)未經(jīng)備案,缺乏監(jiān)管,難以有效評(píng)估證書(shū)對(duì)抗過(guò)程中的安全風(fēng)險(xiǎn)。

試想,爆發(fā)貿(mào)易戰(zhàn)或科技戰(zhàn)時(shí),這些網(wǎng)站被境外吊銷(xiāo)已經(jīng)頒發(fā)的數(shù)字證書(shū),我國(guó)互聯(lián)網(wǎng)甚至是物聯(lián)網(wǎng)將會(huì)進(jìn)入到癱瘓的狀態(tài),很多系統(tǒng)或者相關(guān)設(shè)備將無(wú)法使用。

無(wú)疑,這張網(wǎng)絡(luò)空間的“身份證”極其重要,沒(méi)有“身份證”的話(huà),永遠(yuǎn)無(wú)法為自身安全做出有效的保證,還會(huì)被他人牽著鼻子走。

為了能提高問(wèn)題處理的效率、縮短風(fēng)險(xiǎn)周期,有效識(shí)別出網(wǎng)站證書(shū)是由具體CA機(jī)構(gòu)簽發(fā)的真實(shí)性,進(jìn)一步幫助用戶(hù)識(shí)別可信安全證書(shū),360推出根證書(shū)計(jì)劃,其默認(rèn)信任操作系統(tǒng)信任的根證書(shū),同時(shí)也會(huì)配置自己的根信任庫(kù)作為系統(tǒng)根信任庫(kù)的補(bǔ)充。

擁有國(guó)內(nèi)超過(guò)4億的活躍用戶(hù),市場(chǎng)滲透率達(dá)82%的360瀏覽器,秉持著開(kāi)放、公開(kāi)、透明的入根原則,吸引了諸多全球頭部CA公司主動(dòng)入根,走出我國(guó)瀏覽器廠商守護(hù)數(shù)字證書(shū)安全的第一步。

當(dāng)然,安全并非憑借一己之力可以達(dá)成,在邁出第一步后,360呼吁其他瀏覽器加入根證書(shū)計(jì)劃,形成國(guó)內(nèi)統(tǒng)一的證書(shū)報(bào)備和入根標(biāo)準(zhǔn),方便對(duì)信任的根及時(shí)管理并做出緊急預(yù)案。同時(shí),更需要集結(jié)行業(yè)力量,加強(qiáng)和重視數(shù)字證書(shū)應(yīng)急體系建設(shè)。

網(wǎng)絡(luò)戰(zhàn)火硝煙彌漫 建立數(shù)字證書(shū)應(yīng)急體系迫在眉睫

如今,網(wǎng)絡(luò)戰(zhàn)火硝煙彌漫,網(wǎng)絡(luò)戰(zhàn)作為繼陸、 海、 空、 及外層空間之后新出現(xiàn)的戰(zhàn)爭(zhēng)維度,模糊了大國(guó)與小國(guó)、 強(qiáng)國(guó)與弱國(guó)、 乃至國(guó)家與個(gè)人的區(qū)分。在這場(chǎng)超限戰(zhàn)中,我們面臨的對(duì)手或許無(wú)所不用其極,數(shù)字證書(shū)安全問(wèn)題在此特殊時(shí)期顯得尤為重要。

具體來(lái)說(shuō),我國(guó)應(yīng)如何建立數(shù)字證書(shū)應(yīng)急體系?360提出了自己的三點(diǎn)建議:

第一,構(gòu)建國(guó)內(nèi)的類(lèi)CA/B組織,保障國(guó)家證書(shū)的安全,該組織參照CA/B標(biāo)準(zhǔn)制定。在審計(jì)方面,也需要一些國(guó)際級(jí)別的CA審計(jì)機(jī)構(gòu),對(duì)CA工作運(yùn)營(yíng)進(jìn)行審計(jì)。組織主要成員包括第三方CA機(jī)構(gòu)、瀏覽器廠商。

第二,號(hào)召建立國(guó)密根證書(shū)行業(yè)聯(lián)盟,聯(lián)盟涉及到的機(jī)構(gòu)有移動(dòng)瀏覽器、應(yīng)用系統(tǒng)、操作系統(tǒng)、PC瀏覽器、CA機(jī)構(gòu)。360希望該聯(lián)盟能產(chǎn)出一些符合國(guó)家標(biāo)準(zhǔn)的技術(shù)規(guī)范,比如像密碼強(qiáng)度,或者是密鑰的管理辦法。同時(shí)所有軟件可以第一時(shí)間把違規(guī)的CA廠商或證書(shū)進(jìn)行吊銷(xiāo)。另外聯(lián)盟還將定期進(jìn)行會(huì)議討論和標(biāo)準(zhǔn)發(fā)布,形成行業(yè)統(tǒng)一的標(biāo)準(zhǔn)。

第三,建立一個(gè)證書(shū)透明計(jì)劃,目前證書(shū)的數(shù)量超過(guò)33億張,靠人發(fā)現(xiàn)證書(shū)是否有違規(guī)頒發(fā)的產(chǎn)品是不現(xiàn)實(shí)的?；谧C書(shū)透明計(jì)劃,搜集國(guó)際CA機(jī)構(gòu)一些證書(shū)頒發(fā)的透明日志,建立證書(shū)透明度查詢(xún)服務(wù)器,讓所有瀏覽器可以在國(guó)內(nèi)快速地查詢(xún)到對(duì)應(yīng)證書(shū)的透明度認(rèn)知。如此一來(lái),當(dāng)用戶(hù)訪(fǎng)問(wèn)網(wǎng)站或者使用APP時(shí),可以及時(shí)攔截違規(guī)證書(shū)。

誠(chéng)然,360在建立數(shù)字證書(shū)應(yīng)急體系上仍處于剛起步階段,究竟這是條光明大道還是個(gè)死胡同,沒(méi)有人能準(zhǔn)確的回答,只能靠360自己摸索。成功的秘訣在于,永不改變既定的目標(biāo),開(kāi)始總比呆在原地要好。

如今網(wǎng)絡(luò)戰(zhàn)愈演愈烈,看不懂網(wǎng)絡(luò)空間,就看不懂未來(lái)戰(zhàn)爭(zhēng),不具備戰(zhàn)爭(zhēng)思維,就搞不好網(wǎng)絡(luò)對(duì)抗。網(wǎng)絡(luò)信息安全問(wèn)題逐漸突出,保證網(wǎng)絡(luò)信息安全,一定意義上就是保證人的基本安全。

可以說(shuō)360積極構(gòu)建的根證書(shū)計(jì)劃,也正是為應(yīng)對(duì)未來(lái)的網(wǎng)絡(luò)安全問(wèn)題埋下伏筆。相信在今后,會(huì)有越來(lái)越多的企業(yè)參與到數(shù)字證書(shū)應(yīng)急體系建設(shè)當(dāng)中。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。