建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
在密鑰從1024位升級(jí)到2048位的過(guò)程中，部分SSL證書(shū)存在著極大的安全隱患。
微軟于2009年11月在其網(wǎng)站上公布：鑒于被廣泛應(yīng)用于數(shù)字證書(shū)的1024位RSA非對(duì)稱(chēng)密鑰算法有可能會(huì)被攻破，根據(jù)美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)研究院(NIST)的要求，2010年12月31日之前，全球所有受信任的根證書(shū)頒發(fā)機(jī)構(gòu)(CA機(jī)構(gòu))必須停止使用1024位RSA算法的根證書(shū)，向2048位遷移，并且，2010年12月31日，微軟將把所有IE瀏覽器系統(tǒng)中的1024位根證書(shū)從受信任的根證書(shū)中刪除。
NIST的要求是強(qiáng)制性的，所以全球各大Windows受信任的CA機(jī)構(gòu)紛紛升級(jí)證書(shū)頒發(fā)系統(tǒng)和啟用新的2048位根證書(shū)，其中包括過(guò)去一直使用1024位RSA算法的VeriSign、Thawte和GeoTrust等。雖然一些廠(chǎng)商也宣布了向2048位根證書(shū)遷移的方案，但是，依然存在安全缺陷?？梢哉f(shuō)，這是一個(gè)無(wú)法解開(kāi)的死結(jié)。
以VeriSign采取的解決方案為例：VeriSign宣布其頂級(jí)根證書(shū)、中級(jí)根證書(shū)和用戶(hù)證書(shū)都將替換為2048位的，但卻只能支持高版本的IE瀏覽器(IE7.0版本以上)。因?yàn)?，只有在高版本的IE瀏覽器中，其預(yù)埋的VeriSign根證書(shū)才是2048位的，而在低版本的IE系統(tǒng)(IE6.0以下版本)中，預(yù)埋的VeriSign根證書(shū)只有1024位的，并且無(wú)法自動(dòng)升級(jí)。這樣，為了讓各種版本的瀏覽器都能支持新服務(wù)器根證書(shū)，VeriSign不得不使用老根證書(shū)來(lái)帶新根證書(shū)的方案，即還是使用1024位IE瀏覽器根證書(shū)(Class 3 Public Primary CA)來(lái)交叉簽名其新根證書(shū)。同樣道理，VeriSign 用于簽發(fā)EV SSL證書(shū)(顯示綠色地址欄)的根證書(shū)雖然是2048位，但其交叉簽名仍然是使用1024位老根證書(shū)。
這意味著目前廣泛用于網(wǎng)上銀行、網(wǎng)上證券(基金)、各大電子商務(wù)網(wǎng)站的VeriSign SSL證書(shū)，對(duì)于目前中國(guó)60%～70%的低版本IE瀏覽器用戶(hù)來(lái)講，訪(fǎng)問(wèn)其頂級(jí)服務(wù)器根證書(shū)依然是1024位的，網(wǎng)上交易依然是不安全的。而且由于老版本IE瀏覽器無(wú)法識(shí)別新服務(wù)器根證書(shū)而會(huì)出現(xiàn)不信任的安全警告，效果如同自簽的證書(shū)，讓用戶(hù)心里很不踏實(shí)。
這次VeriSign可是大傷元?dú)饬?，原先以為幾百年也破不了的算法，沒(méi)想到14年后就不安全了，怪只怪CPU處理能力發(fā)展太快了！筆者在此呼喚廣大SSL證書(shū)用戶(hù)，一定要為您的系統(tǒng)部署根證書(shū)是2048位的證書(shū)頒發(fā)機(jī)構(gòu)頒發(fā)的SSL證書(shū)，這樣才能確保您的系統(tǒng)安全。
鏈接一
SSL證書(shū)起什么作用？
SSL證書(shū)確保從用戶(hù)瀏覽器到服務(wù)器之間的信息傳輸是加密的，保證用戶(hù)機(jī)密信息的安全，被廣泛應(yīng)用于我國(guó)的網(wǎng)上銀行、網(wǎng)上證券(基金)、網(wǎng)上購(gòu)物等各種重要的網(wǎng)上應(yīng)用系統(tǒng)，我國(guó)90%以上的網(wǎng)銀都部署了SSL證書(shū)。
鏈接二
密鑰加密長(zhǎng)度的基本概念
(1) 一定要把非對(duì)稱(chēng)密鑰加密的公鑰長(zhǎng)度與對(duì)稱(chēng)密鑰加密的密鑰長(zhǎng)度區(qū)分開(kāi)，非對(duì)稱(chēng)加密公鑰位數(shù)一般分 512 位、 1024 位、 2048 位、 4096 位等，而對(duì)稱(chēng)加密是用一個(gè)密鑰，一般分 40 位、 56 位、 128 位、 256 位等。兩者是不同的加密體系，沒(méi)有直接關(guān)聯(lián)關(guān)系。
(2)瀏覽器與服務(wù)器之間是使用對(duì)稱(chēng)加密算法，使用多少位的加密強(qiáng)度是由瀏覽器與 Web 服務(wù)器自動(dòng)協(xié)商，取決于雙方支持的加密算法和加密強(qiáng)度，如：瀏覽器只支持 56 位，服務(wù)器支持128位，如果服務(wù)器沒(méi)有部署支持強(qiáng)制 128 位加密的 SSL 證書(shū)，則加密強(qiáng)度為 56 位；而如果服務(wù)器已經(jīng)部署支持強(qiáng)制 128 位加密的 SSL 證書(shū)，則加密強(qiáng)度為 128 位。
(3) 如果非對(duì)稱(chēng)加密公鑰長(zhǎng)度不夠長(zhǎng)，如為512位、1024位，則密鑰有可能會(huì)被破解。所以，為了系統(tǒng)安全，一定要確保頒發(fā)SSL證書(shū)的根證書(shū)、中級(jí)根證書(shū)和用戶(hù)證書(shū)都是使用2048位的公鑰！
【編輯推薦】
- IPTV會(huì)否是分眾傳媒下一個(gè)收購(gòu)對(duì)象？
- 密鑰或?qū)ΨQ(chēng)密鑰加密術(shù)
名稱(chēng)欄目：密鑰升級(jí)部分SSL證書(shū)存在安全缺陷
鏈接URL：http://www.5511xx.com/article/dhjgoss.html
