数字证书与网络安全

数字证书与网络安全

数字证书是互联网的“电子身份证”

根据中国互联网络信息中心（CNNIC）第35次中国互联网络发展状况统计报告，截至2014年12月，中国网民规模达6.49亿，互联网普及率为47.9%。 中国已成为互联网强国。

随着互联网的普及，电子邮件、网上购物等许多互联网应用迅速发展，它们都离不开一项重要的安全认证措施——数字证书。 数字证书就像互联网上的电子身份证，用于识别信息单位的个人信息。 当网站服务器安装数字证书时，它可以向网站访问者证明服务器的真实身份，因为数字证书是由受信任的第三方机构——证书颁发机构（CA）生成、分发和管理的。 它与公民个人身份证一样具有唯一性，不可篡改、不可伪造。

数字证书主要应用于以下五个方面：安全电子邮件、安全终端保护、可信网站、代码签名保护、授权身份管理，确保电子邮件安全、保护用户终端和数据、识别钓鱼和假冒网站、验证身份软件供应商的授权用于保护移动APP安全并管理实体（用户、程序）的授权。

可见，数字证书的关键作用在于信息传输的保密性、数据交换的完整性、发送信息的不可否认性以及交易者身份的确定性。 经过权威第三方机构CA的认证后，就可以在互联网上建立信任机制。 信息交换双方可以确认对方/自己具有合法身份，并可以通过互联网上的数字证书进行有效、准确的验证。

数字证书面临的最常见的安全威胁是中间人攻击

数字证书在确保互联网安全方面发挥着极其重要的作用，确保用户与其访问的网站有安全、加密的直接连接。 然而，从数字证书诞生之日起，针对其的攻击就从未停止过。 数字证书领域主要存在三种攻击和威胁：

1、数字证书私钥泄露、被破解

如果不采取足够的安全措施保护私​​钥，可能会导致私钥泄露或被破解，让不法分子有机会伪造合法证书，冒充目标，骗取用户的信任。 因此，私钥保护通常会实行最严格的安全管理措施和技术手段。

2.有效数字证书被误发给伪造者

这是由于证书认证机构的疏忽和流程不完善而导致证书颁发错误的情况。 主要原因是证书认证机构未能对证书申请者提交的身份信息的真实性进行识别，并向造假者颁发了合法有效的证书。 造假者可以利用用户对服务器证书的信任，进行网站钓鱼、网络钓鱼等一系列网络诈骗活动。

3、最常用的是使用受信任的SSL服务器证书进行中间人攻击

中间人攻击是最典型的攻击方式。 假设攻击者通过某种手段获得了与网站域名一模一样的SSL证书（即适合https网页浏览协议的数字证书），并且该证书被用户的浏览器使用。 如果服务器是可信的，即从证书验证的角度来看，是“合法有效”的证书，那么攻击者就可能冒充用户和网站之间的网络路径上的中间人来攻击并盗取证书。用户的私人信息。 。

中国在数字证书领域没有足够的话语权

目前，我国的PKI体系建设从一开始就采取了“自下而上”的方式，即每个地区、每个行业建立自己的CA认证机构。 一方面，行业和区域CA快速发展，行业型电子认证服务机构快速发展。 在金融、税务等领域，国内证书行业发展迅速，本土化程度较高。 这些行业的行业特点是，基本上是一个封闭的环境，只需要行业内特定的客户端和服务器主动配置和使用。 相同的算法和信任链就足够了，而且范围也比较窄，从而给了国内证书更大的发挥空间。

但另一方面，由于我国尚未建立全国统一的PKI体系，在面向公众的互联网数字证书应用领域，如SSL证书、并且没有统一的协作机制来共同推进国际化，导致国内使用的SSL服务器证书仍然依赖于国外成熟的证书行业。 SSL数字证书的认可需要互联网领域各相关方的相互支持和协助，包括浏览器、网络服务器、操作系统对根证书的信任、公钥密码算法等环节的标准化和相互支持，而这些链接通常都有话语权。 在国外厂商手中，这种现象与中国在互联网世界的地位不相符。

目前，已有国际组织对SSL证书颁发机构进行审核和认证。 只有通过国际安全审核认证的根证书才能预装在主流浏览器中。 在中国，只有CNNIC CA、沃通CA、上海CA和中国金融。 认证中心CFCA已通过认证，并已完成根证书在IE、.

关于数字证书系统发展的建议

上述现象都反映出我国在CA证书体系中严重缺乏话语权。 可以考虑从以下几个方面来打破这种局面。

1、积极推动国产密码算法成为国际标准

目前，国家商用密码管理办公室正在推动我国第三方电子认证服务机构全力支持我国自主研发的具有自主知识产权的SM2密码算法。 具有安全性高、存储空间小、签名速度快等特点。 然而我们常用的操作系统、浏览器、Web服务器等一般都是国外生产的，这些软件产品并没有内置对SM2算法的支持。 因此，迫切的要求是推动SM2算法成为国际标准，从而获得操作系统、网络服务器、浏览器的全面支持，使我们的数字证书应用更加安全。

2、积极参与根证书信任标准规范的制定

默认情况下操作系统和浏览器信任哪些CA的根证书对于用户来说意义重大——用户会自动信任这些根证书颁发的从属证书。 这可以理解为操作系统和浏览器代表用户对CA中心进行过滤。

当然，操作系统和浏览器在行使这一权力时也会遵守一定的规则，而这些标准和规范基本上都是由国外组织制定的，形成国际标准。 目前，国内数字证书行业缺乏统一的总体规划和顶层设计。 它没有积极参与这些标准的制定，更没有寻求领导。 因此，建议政府或行业组织推动并协调业界或学术界对此问题的关注，就像中国在IETF、IEEE等组织中所做的那样，积极参与标准的制定，让中国的声音被听到，体现中国意志。

3、提高国产浏览器在根证书信任和密码算法支持方面的自主性

要建立国内互联网基础设施领域的产业联盟，有序推进浏览器、网络服务器应用、公钥密码算法等国内相关产业链的标准化和国际化，促进各行业的自主创新和相互协同支持。各个领域的产品。

目前，中国拥有全球最多的互联网用户，国产浏览器占国内浏览器市场的30%-40%。 但目前国内各浏览器尚未确定信任哪些根证书以及支持哪些加密算法。 相反，他们直接使用国外的浏览器内核，并继续使用他们的可信对象和加密算法。 这种情况与我国国产浏览器所占据的市场不符。 状态不一致。 国内浏览器应加强在根证书信任和密码算法支持方面的自主权，根据规则决定默认信任哪些CA中心根证书。 基于此，中国可以逐步在整个数字证书领域获得一定的话语权，以确保我们在互联网上使用数字证书时不会出现安全状况完全失控的情况。

数字证书是互联网重要的安全基础设施，但数字证书本身也面临着多种安全威胁。 完善数字证书和证书认证体系，协调国内数字证书发展和更多参与国际标准制定，提升我国数字证书产业竞争力和话语权，促进发展，任重而道远。国内数字证书。 （中国互联网络信息中心 李晓东）