證書安全事件頻發(fā) 360瀏覽器呼吁加強(qiáng)數(shù)字證書應(yīng)急體系建設(shè)

近年來,數(shù)字證書安全事件頻頻發(fā)生:2016年10月,美國SSL證書管理機(jī)構(gòu)及提供商GlobalSign一個(gè)誤操作導(dǎo)致淘寶、京東、天貓等網(wǎng)站無法訪問,直接影響我國6億網(wǎng)購用戶;2017年,信息安全服務(wù)廠商賽門鐵克,違規(guī)頒發(fā)3萬張違規(guī)證書;2018年8月,某網(wǎng)站未使用數(shù)字證書導(dǎo)致全國96家互聯(lián)網(wǎng)公司,約30億條用戶數(shù)據(jù)被非法竊取;2018年12月,電信網(wǎng)絡(luò)中的4G交換機(jī)數(shù)字證書失效,導(dǎo)致英國、日本數(shù)千萬手機(jī)用戶斷網(wǎng)……

面對(duì)這種情況,巨頭們也坐不住了,2013年谷歌發(fā)起了證書透明度政策(Certificate Transparency,簡(jiǎn)稱CT)。這一政策的目標(biāo)是提供一個(gè)開放的審計(jì)和監(jiān)控系統(tǒng),讓任何域名所有者或者CA機(jī)構(gòu)確定證書是否被錯(cuò)誤簽發(fā),或者被惡意使用,從而提高 HTTPS 網(wǎng)站的安全性。

2017年1月,Google宣布推出自有CA根證書,擺脫對(duì)由第三方簽發(fā)的中級(jí)證書頒發(fā)機(jī)構(gòu)的依賴。

而在國內(nèi),360瀏覽器也緊跟國際步伐,2018年12月,宣布創(chuàng)建自有根證書計(jì)劃,全面提升用戶上網(wǎng)的安全性,成為國內(nèi)首家創(chuàng)建自有根證書的瀏覽器廠商。不久前,在2019中國網(wǎng)絡(luò)安全年會(huì)上,360集團(tuán)高級(jí)總經(jīng)理梁志輝號(hào)召成立國密根證書行業(yè)聯(lián)盟,加強(qiáng)我國數(shù)字證書應(yīng)急體系建設(shè)。

偽造證書事件頻發(fā) 我國數(shù)字證書問題如履薄冰

數(shù)字證書又稱數(shù)字標(biāo)識(shí),它是一種互聯(lián)網(wǎng)中驗(yàn)證身份的方式,是用來標(biāo)識(shí)和驗(yàn)證通信雙方真實(shí)身份的數(shù)字信息文件,其作用類似于現(xiàn)實(shí)生活中的身份證,可以有效保護(hù)網(wǎng)上傳輸信息的安全。

但如此重要的“身份證”,在我國卻面臨多種問題。一方面我國使用數(shù)字證書的網(wǎng)站占65%,比起先進(jìn)國家水平相差甚遠(yuǎn)。目前來看,我國大部分網(wǎng)站都存在不同程度的安全漏洞,這些漏洞輕則會(huì)影響網(wǎng)站正常運(yùn)行,重則會(huì)導(dǎo)致網(wǎng)站服務(wù)器淪陷,網(wǎng)站機(jī)密數(shù)據(jù)遭到泄露,例如此前CSDN、天涯等大型網(wǎng)站就是因?yàn)榫W(wǎng)站存在漏洞導(dǎo)致用戶數(shù)據(jù)信息被黑客盜取。

另一方面,我國涉及國計(jì)民生的網(wǎng)站中99%都在使用美國頒發(fā)的數(shù)字證書,國外認(rèn)證機(jī)構(gòu)在我國范圍內(nèi)提供電子認(rèn)證服務(wù)未經(jīng)備案,缺乏監(jiān)管,難以有效評(píng)估證書對(duì)抗過程中的安全風(fēng)險(xiǎn)。

試想,爆發(fā)貿(mào)易戰(zhàn)或科技戰(zhàn)時(shí),這些網(wǎng)站被境外吊銷已經(jīng)頒發(fā)的數(shù)字證書,我國互聯(lián)網(wǎng)甚至是物聯(lián)網(wǎng)將會(huì)進(jìn)入到癱瘓的狀態(tài),很多系統(tǒng)或者相關(guān)設(shè)備將無法使用。

無疑,這張網(wǎng)絡(luò)空間的“身份證”極其重要,沒有“身份證”的話,永遠(yuǎn)無法為自身安全做出有效的保證,還會(huì)被他人牽著鼻子走。

為了能提高問題處理的效率、縮短風(fēng)險(xiǎn)周期,有效識(shí)別出網(wǎng)站證書是由具體CA機(jī)構(gòu)簽發(fā)的真實(shí)性,進(jìn)一步幫助用戶識(shí)別可信安全證書,360推出根證書計(jì)劃,其默認(rèn)信任操作系統(tǒng)信任的根證書,同時(shí)也會(huì)配置自己的根信任庫作為系統(tǒng)根信任庫的補(bǔ)充。

擁有國內(nèi)超過4億的活躍用戶,市場(chǎng)滲透率達(dá)82%的360瀏覽器,秉持著開放、公開、透明的入根原則,吸引了諸多全球頭部CA公司主動(dòng)入根,走出我國瀏覽器廠商守護(hù)數(shù)字證書安全的第一步。

當(dāng)然,安全并非憑借一己之力可以達(dá)成,在邁出第一步后,360呼吁其他瀏覽器加入根證書計(jì)劃,形成國內(nèi)統(tǒng)一的證書報(bào)備和入根標(biāo)準(zhǔn),方便對(duì)信任的根及時(shí)管理并做出緊急預(yù)案。同時(shí),更需要集結(jié)行業(yè)力量,加強(qiáng)和重視數(shù)字證書應(yīng)急體系建設(shè)。

網(wǎng)絡(luò)戰(zhàn)火硝煙彌漫 建立數(shù)字證書應(yīng)急體系迫在眉睫

如今,網(wǎng)絡(luò)戰(zhàn)火硝煙彌漫,網(wǎng)絡(luò)戰(zhàn)作為繼陸、 海、 空、 及外層空間之后新出現(xiàn)的戰(zhàn)爭(zhēng)維度,模糊了大國與小國、 強(qiáng)國與弱國、 乃至國家與個(gè)人的區(qū)分。在這場(chǎng)超限戰(zhàn)中,我們面臨的對(duì)手或許無所不用其極,數(shù)字證書安全問題在此特殊時(shí)期顯得尤為重要。

具體來說,我國應(yīng)如何建立數(shù)字證書應(yīng)急體系?360提出了自己的三點(diǎn)建議:

第一,構(gòu)建國內(nèi)的類CA/B組織,保障國家證書的安全,該組織參照CA/B標(biāo)準(zhǔn)制定。在審計(jì)方面,也需要一些國際級(jí)別的CA審計(jì)機(jī)構(gòu),對(duì)CA工作運(yùn)營(yíng)進(jìn)行審計(jì)。組織主要成員包括第三方CA機(jī)構(gòu)、瀏覽器廠商。

第二,號(hào)召建立國密根證書行業(yè)聯(lián)盟,聯(lián)盟涉及到的機(jī)構(gòu)有移動(dòng)瀏覽器、應(yīng)用系統(tǒng)、操作系統(tǒng)、PC瀏覽器、CA機(jī)構(gòu)。360希望該聯(lián)盟能產(chǎn)出一些符合國家標(biāo)準(zhǔn)的技術(shù)規(guī)范,比如像密碼強(qiáng)度,或者是密鑰的管理辦法。同時(shí)所有軟件可以第一時(shí)間把違規(guī)的CA廠商或證書進(jìn)行吊銷。另外聯(lián)盟還將定期進(jìn)行會(huì)議討論和標(biāo)準(zhǔn)發(fā)布,形成行業(yè)統(tǒng)一的標(biāo)準(zhǔn)。

第三,建立一個(gè)證書透明計(jì)劃,目前證書的數(shù)量超過33億張,靠人發(fā)現(xiàn)證書是否有違規(guī)頒發(fā)的產(chǎn)品是不現(xiàn)實(shí)的。基于證書透明計(jì)劃,搜集國際CA機(jī)構(gòu)一些證書頒發(fā)的透明日志,建立證書透明度查詢服務(wù)器,讓所有瀏覽器可以在國內(nèi)快速地查詢到對(duì)應(yīng)證書的透明度認(rèn)知。如此一來,當(dāng)用戶訪問網(wǎng)站或者使用APP時(shí),可以及時(shí)攔截違規(guī)證書。

誠然,360在建立數(shù)字證書應(yīng)急體系上仍處于剛起步階段,究竟這是條光明大道還是個(gè)死胡同,沒有人能準(zhǔn)確的回答,只能靠360自己摸索。成功的秘訣在于,永不改變既定的目標(biāo),開始總比呆在原地要好。

如今網(wǎng)絡(luò)戰(zhàn)愈演愈烈,看不懂網(wǎng)絡(luò)空間,就看不懂未來戰(zhàn)爭(zhēng),不具備戰(zhàn)爭(zhēng)思維,就搞不好網(wǎng)絡(luò)對(duì)抗。網(wǎng)絡(luò)信息安全問題逐漸突出,保證網(wǎng)絡(luò)信息安全,一定意義上就是保證人的基本安全。

可以說360積極構(gòu)建的根證書計(jì)劃,也正是為應(yīng)對(duì)未來的網(wǎng)絡(luò)安全問題埋下伏筆。相信在今后,會(huì)有越來越多的企業(yè)參與到數(shù)字證書應(yīng)急體系建設(shè)當(dāng)中。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。