关于第三方用户使用chinassl在线CSR工具的问题

中国数字证书SSL证书工具对所有用户免费开放使用,但某些用户在生成CSR工具使用过程中直接填写了其代理用户的邮箱,导致很多其所代理用户收到CSR文件后咨询我们如何安装等一系列问题,但该用户并未在我们这里购买任何证书产品,中国数字证书特此声明,我们开发的SSL工具供所有用户免费使用,但对于非中国数字证书的直接用户我们不提供任何形式的技术支持,望所有用户知晓。

 

COMODO领衔全球SSL证书市场份额

在全球范围内,可以看到Comodo 目前占有最大的市场份额(25.2%),其次为GeoTrust(18.4%),紧接着为OpenSSL(14.5%)。而从市场的分布来看,虽然comodo占据着最大的市场份额,但整个市场仍然具有多元化的。

SSL证书,COMODO,通配符证书,https认证

Alexa Top 1M网站中SSL的市场份额

数据来源:Datanyze

我们搜集了从2014年一月到2015年4月之间comodoGeoTrust,OpenSSL以及Godaddy这四家公司的一年内的客户增量变化得到如下图:

SSL证书,COMODO,通配符证书,https认证

2014-2015年comodoGeoTrust、OpenSSL以及Godaddy四家公司的用户增量曲线图

数据来源:Datanyze

 

Comodo 的客户增加量除了2014年的1月和6月为负值以外,即用户减少,全都为正值,即用户数持续的增加,并且2015年的开初有了一个巨大的增加。高达 574,101。总体看起来COMODO 2015年的客户增加量都超过了2014年。OpenSSL在2014年从1月起到6月间持续流失顾客,到到了2014的后半年后形势就发生了逆转,用户 持续的增加,也在2015年的1月达到了一个最大值。相比前两家的大起大落GeoTrust和Godaddy的用户增量就相对更加稳定。

 

SSL证书,COMODO,通配符证书,https认证

2015年3月 中国数字证书SSL市场份额

数据来源:Datanyze

相较于国际市场,中国数字证书的SSL证书市场的份额还是有所区别,中国市场上OpenSSL与COMODO并列第一位,其次为GeoTrust,Godaddy则在第五位。

然而,整个SSL证书市场可以预计增长远远超出目前使用有效的SSL证书的网站的20%。这不仅是因为加密成为不断增长的SaaS市场必不可少的,但也因为谷歌开始在他们的排名有利于HTTPS加密的网站,只要谷歌表示,网站管理员都会听。

为什么要使用HTTPS?

我想要非常明确的告诉你 : 如果你要构建任何什么类型的web应用, 要使用 HTTPS 哦!

你要构建什么类型的应用程序或者服务并不重要,而如果它没有用到HTTPS,你就做错了.

现在,让我们来聊聊HTTPS为什么很棒.

 

https
HTTPS 是安全的

HTTPS 是一个业绩优良的很棒的协议. 虽然这些年来有过几次针对其漏洞的利用事件发生, 但它们一直都是相对较为轻微的问题,而且也很快被修复了.

而诚然,NSA确实在某个阴暗的角落收集着SSL流量, 但他们能够解密即使是很少量SSL流量的可能性都是极小的 — 这会需要快速的,功能齐全的量子计算机,并耗费数量惊人的钞票. 这玩意存在的可能性貌似不存在,因此你可以高枕无忧了,因为你知道你的站点上的SSL确实在为你的用户数据传输保驾护航.

 

HTTPS 速度是快的

上面我曾提到HTTPS“遭罪似的慢” , 但事实则几乎完全相反.

HTTPS 确实需要更多的CPU来中断 SSL 连接 — 这需要的处理能力对于现代计算机而言是小菜一碟了.  你会遇到SSL性能瓶颈的可能性完全为0.

目前你更有可能在你的应用程序或者web服务器性能上遇到瓶颈.

 

HTTPS 是一个重要的保障

虽然 HTTPS 并不放之四海而皆准的web安全方案,但是没有它你就不能以策万全.

所有的web安全都倚赖你拥有了 HTTPS.  如果你没有它, 那么不管你对你的密码做了多强的哈希加密,或者做了多少数据加密,攻击者都可以简单的模拟一个客户端的网络连接,读取它们的安全凭证——然后轰的一声——你的安全小把戏结束了.

因此 — 虽然你不能有赖于HTTPS解决所有的安全问题,你绝对100%需要将其应用于你构建的所有服务上 — 否则完全没有任何办法保证你的应用程序的安全.

此外,虽然证书签名很显然不是一个完美的实践,但每一种浏览器厂商针对认证机构都有相当严格和严谨的规则. 要成为一个受到信任的认证机构是非常难的,而且要保持自己良好的信誉也同样是困难的.

Mozilla (以及其其他厂商) 在将不良根认证机构踢出局这项工作方面表现相当出色,而且一般也真正是互联网安全的好管家.

 

HTTPS 流量拦截是可以避免的

先前我提到过,可以很容易的通过创建属于你自己的SSL证书、信任它们,从而在SSL通讯的中途拦截到流量.

虽然这绝对有可能,但也很容易可以通过 SSL 证书来避免 .

本质上讲,依照上面链接的文章中给出的准则, 你可以是的你的客户只去信任真正可用的SSL证书,有效的阻挡所有类型的SSL MITM攻击,甚至在它们开始之前 =)

如果你是要把SSL服务部署到一个不受信任的位置(像是一个移动或者桌面应用), 你最应该考虑使用SSL证书钢钉.

 

HTTP 在私有网络上并不是安全的

早些时候,我谈到HTTP的安全性怎么是不重要的,特别是如果你的网络被锁上(这里的意思是切断了同公共网络的联系) — 我是在骗你。而网络安全是重要的,传输的加密也是!

如果一个攻击者获得了对你的任何内部服务的访问权限,所有的HTTP流量都将会被拦截和解读, 不管你的网络可能会有多“安全”. 这很不妙哦。

这就是为什么 HTTPS 不管是在公共网络还是私有网络都极其重要的原因。

额外的信息: 如果你是吧服务部署在AWS上面,就不要想让你的网络流量是私有的了!  AWS 网络就是公共的,这意味着其它的AWS用户都潜在的能够嗅探到你的网络流量 — 要非常小心了。

 

总结

如果你正在做网页服务,毫无疑问,你应该使用HTTPS

 

SSL证书在线自助申请-CHINASSL

1.登录中国证书CHINASSL官方网站https://www.chinassl.net,选择您需要的SSL证书产品

中国证书CHINASSL网站

2.下面以comodo Positive SSL 证书为例,演示整个SSL证书够买流程。点击立刻够买

Comodo Positive SSL 证书

3.把您生成好的CSR文件粘贴到CSR文本框里面,输入您的域名管理员邮箱,点击添加到购物车

SSL证书在线够买流程

如果您还没有生成CSR文件,请点击CSR在线生成工具,生成CSR文件

注意:用户注意到在CHINASSL.NET够买证书会跳转到亚狐空间YAHUHOST,这里请不要担心,中国证书CHINASSL.NET是亚狐信息科技有限公司旗下网站,为了方便管理,所以使用了统一的客户管理系统,够买全程使用SSL加密,请放心够买。

4.信息确认无误后,点击结账

SSL证书在线够买流程

5.新客户填写用户资料,选择支付方式,点击完成订购;已有亚狐空间YAHUHOST帐号的用户,输入您的帐号密码后,点击完成订购

SSL证书在线够买流程

6.支付账单,关于支付方式详情见 在线支付 | 转账汇款

SSL证书在线够买流程

7.返回用户中心,点击导航菜单我的服务我的服务选项

SSL证书在线够买流程

8.点击证书后面的查看详情

SSL证书在线够买流程

9.点击进入SSL证书配置向导

SSL证书在线够买流程

10.填写完成所有信息,点击点此继续>>

SSL证书在线够买流程

11.确认系统识别出来的CSR信息与您申请证书的信息一致,并选择系统列出的有效证书审批者邮箱,点击点此继续>>

SSL证书在线够买流程

12.配置完成,看到此页面表明您的证书已经配置完成,稍后你的验证邮箱会收到一封来自证书颁发机构的邮件。

SSL证书在线够买流程

13.登录您的验证邮箱,检查是否收到来自证书颁发机构的邮件,收到后打开邮件,按说明点击邮件里面的链接即可完成验证。

SSL证书在线够买流程

14.复制验证代码,点击验证链接

SSL证书在线够买流程

15.粘贴验证代码,点击NEXT

SSL证书在线够买流程

16.出现Thank you页面表明已经完成验证,点击Close Window关闭该页面

SSL证书在线够买流程

至此证书已经成功够买并完成验证,域名型证书一般很快就可以签发。

查询证书

证书签发后去哪里可以查询到证书呢,这里有2种方式:

第一种

登录到你的够买邮箱(用于亚狐空间YAHUHOST登录用的邮箱)查询证书

SSL证书在线够买流程

第二种

1.登录亚狐空间YAHUHOST用户中心,点击导航菜单我的服务我的服务选项

SSL证书在线够买流程

2.点击证书后面的查看详情

SSL证书在线够买流程

3.把SSL证书与中级证书CA文件复制粘贴到文本编辑器里面,保存成后缀为.crt的文件即可使用了

SSL证书在线够买流程

其它在线工具

如果使用SHA1生成CSR文件,那么签发SHA2的SSL证书,这样使用是否有问题呢?

如果使用SHA1生成CSR文件,那么签发SHA2的SSL证书,签发的是SHA2也就是SHA-256的 SSL证书,这样SHA1算法的KEY 和SHA2算法的证书一起使用起来是否有问题呢? 还是说如果使用SHA1算法生成的CSR,那么必须签发SHA1算法的证书, 使用SHA2 生成CSR文件必须签发SHA2算法的SSL证书呢? 希望资深有实战经验的专家给个答案!修改

Apache用.htaccess来实现强制https访问

必须安装好SSL证书 不然转成http会访问不了 我们可以用Apache的.htaccess来实现http强制跳转到https访问网站。

 

代码如下

RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteRule ^(.*)$ https://www.chinassl.com/$1 [R,L]

 

如果是在子目录,可以用

RewriteEngine On
RewriteCond %{SERVER_PORT} 80
RewriteCond %{REQUEST_URI} subfolder
RewriteRule ^(.*)$ https://www.chinassl.com/subfolder [R,L]

SSL证书是如何工作的?

SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道(Secure socket layer(SSL)安
全协议是由Netscape Communication公司设计开发。该安全协议主要用来提供对用户和服务器的认证;对传送的数据进行加密和隐藏;确保数据在传送中不被改变,即数据的完整性,现已成为该领域中全球化的标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中,因此,仅需安装服务器证书就可以激活该功能了)。即通过它可以激活SSL协议,实现数据信息在客户端和服务器之间的加密传输,可以防止数据信息的泄露。保证了双方传递信息的安全性,而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。
数位签名又名数字标识、签章 (即 Digital Certificate,Digital ID ),提供了一种在网上进行身份验证的方法,是用来标志和证明网路通信双方身份的数字信息文件,概念类似日常生活中的司机驾照或身份证相似。 数字签名主要用于发送安全电子邮件、访问安全站点、网上招标与投标、网上签约、网上订购、安全网上公文传送、网上办公、网上缴费、网上缴税以及网上购物等安全的网上电子交易活动。
一般说来,在网上进行电子商务交易时,交易双方需要使用数字签名来表明自己的身份,并使用数字签名来进行有关的交易操作。随着电子商务的盛行,数位签章的颁发机构 CA 中心将为为电子商务的发展提供可靠的安全保障。
一个有效、可信的 SSL 数字证书包括一个公共密钥和一个私用密钥。公共密钥用于加密信息,私用密钥用于解译加密的信息。因此,浏览器指向一个安全域时,SSL 将同步确认服务器和客户端,并创建一种加密方式和一个唯一的会话密钥。一般而言,由 CA 业者发出的数字证书,有别于国内浏览器业者比对域名信息等方式,采取更为严格的企业及所有权验证,为电商环境树立更为可信的运作环境。

SSL证书是如何工作的?下面我们用一张图来详细说明SSL证书的工作状态!

SSL证书工作过程

SHA1

安全哈希算法(Secure Hash Algorithm)主要适用于数字签名标准(Digital Signature Standard DSS)里面定义的数字签名算法(Digital Signature Algorithm DSA)。对于长度小于2^64位的消息,SHA1会产生一个160位的消息摘要。当接收到消息的时候,这个消息摘要可以用来验证数据的完整性。在传输的过程中,数据很可能会发生变化,那么这时候就会产生不同的消息摘要。 SHA1有如下特性:不可以从消息摘要中复原信息;两个不同的消息不会产生同样的消息摘要。

术语和概念
2.1位(Bit),字节(Byte)和字(Word)

SHA1 始终把消息当成一个位(bit)字符串来处理。本文中,一个字(Word)是32位,而一个字节(Byte)是8位。比如,字符串“abc”可以被转换成 一个位字符串:01100001 01100010 01100011。它也可以被表示成16进制字符串: 0x616263.

2.2 运算符和符号

下面的逻辑运算符都被运用于“字”(Word)

X & Y = X, Y逻辑与

X | Y = X, Y逻辑或

X ^ Y= X, Y逻辑异或

~X = X逻辑取反

X+Y定义如下:

字 X 和 Y 代表两个整数 x 和y, 其中 0 <= x < 2^32 且 0 <= y < 2^32. 令整数z = (x + y) mod 2^32. 这时候 0 <= z < 2^32. 将z转换成字Z, 那么就是 Z = X + Y.

逻辑左移位操作符Sn(X)。X是一个字,n是一个整数,0<=n<=32。Sn(X) = (X<>32-n)</N)OR(X>

X<>n是抛弃右边的n位,将各个位依次向右移动n位,然后在左边的n位填0。因此可以叫Sn(X)位循环移位运算</N定义如下:抛弃最左边的N位数字,将各个位依次向左移动N位,然后用0填补右边的N位(最后结果还是32位)。X>

SHA1算法描述

在SHA1算法中,我们必须把原始消息(字符串,文件等)转换成位字符串。SHA1算法只接受位作为输入。假设我们对字符串“abc”产生消息摘要。首先,我们将它转换成位字符串如下:

01100001 01100010 01100011

―――――――――――――

‘a’=97 ‘b’=98 ‘c’=99

这个位字符串的长度为24。下面我们需要5个步骤来计算消息摘要MAC。

3.1 补位

消息必须进行补位,以使其长度在对512取模以后的余数是448。也就是说,(补位后的消息长度)%512 = 448。即使长度已经满足对512取模后余数是448,补位也必须要进行。

补位是这样进行的:先补一个1,然后再补0,直到长度满足对512取模后余数是448。总而言之,补位是至少补一位,最多补512位。还是以前面的“abc”为例显示补位的过程。

原始信息: 01100001 01100010 01100011

补位第一步:01100001 01100010 01100011 1

首先补一个“1”

补位第二步:01100001 01100010 01100011 10…..0

然后补423个“0”

我们可以把最后补位完成后的数据用16进制写成下面的样子

61626380 00000000 00000000 00000000

00000000 00000000 00000000 00000000

00000000 00000000 00000000 00000000

00000000 00000000

现在,数据的长度是448了,我们可以进行下一步操作。

3.2 补长度

所谓的补长度是将原始数据的长度补到已经进行了补位操作的消息后面。通常用一个64位的数据来表示原始消息的长度。如果消息长度不大于2^64,那么第一个字就是0。在进行了补长度的操作以后,整个消息就变成下面这样了(16进制格式)

61626380 00000000 00000000 00000000

00000000 00000000 00000000 00000000

00000000 00000000 00000000 00000000

00000000 00000000 00000000 00000018

如果原始的消息长度超过了512,我们需要将它补成512的倍数。然后我们把整个消息分成一个一个512位的数据块,分别处理每一个数据块,从而得到消息摘要。

3.3 使用的常量

一系列的常量字K(0), K(1), … , K(79),如果以16进制给出。它们如下:

Kt = 0x5A827999 (0 <= t <= 19)

Kt = 0x6ED9EBA1 (20 <= t <= 39)

Kt = 0x8F1BBCDC (40 <= t <= 59)

Kt = 0xCA62C1D6 (60 <= t <= 79).

3.4 需要使用的函数

在SHA1中我们需要一系列的函数。每个函数ft (0 <= t <= 79)都操作32位字B,C,D并且产生32位字作为输出。ft(B,C,D)可以如下定义

ft(B,C,D) = (B AND C) or ((NOT B) AND D) ( 0 <= t <= 19)

ft(B,C,D) = B XOR C XOR D (20 <= t <= 39)

ft(B,C,D) = (B AND C) or (B AND D) or (C AND D) (40 <= t <= 59)

ft(B,C,D) = B XOR C XOR D (60 <= t <= 79).

3.5 计算消息摘要

必须使用进行了补位和补长度后的消息来计算消息摘要。计算需要两个缓冲区,每个都由5个32位的字组成,还需要一个80个32位字的缓冲区。第一个5个字的缓冲区被标识为A,B,C,D,E。第二个5个字的缓冲区被标识为H0, H1, h3, H3, H4

。80个字的缓冲区被标识为W0, W1,…, W79

另外还需要一个一个字的TEMP缓冲区。

为了产生消息摘要,在第4部分中定义的16个字的数据块M1, M2,…, Mn

会依次进行处理,处理每个数据块Mi 包含80个步骤。

在处理每个数据块之前,缓冲区{Hi} 被初始化为下面的值(16进制)

H0 = 0x67452301

H1 = 0xEFCDAB89

h3 = 0x98BADCFE

H3 = 0x10325476

H4 = 0xC3D2E1F0.

现在开始处理M1, M2, … , Mn。为了处理 Mi,需要进行下面的步骤

(1). 将 Mi 分成 16 个字 W0, W1, … , W15, W0 是最左边的字

(2). 对于 t = 16 到 79 令 Wt = S1(Wt-3 XOR Wt-8 XOR Wt- 14 XOR Wt-16).

(3). 令 A = H0, B = H1, C = h3, D = H3, E = H4.

(4) 对于 t = 0 到 79,执行下面的循环

TEMP = S5(A) + ft(B,C,D) + E + Wt + Kt;

E = D; D = C; C = S30(B); B = A; A = TEMP;

(5). 令 H0 = H0 + A, H1 = H1 + B, h3 = h3 + C, H3 = H3 + D, H4 = H4 + E.

在处理完所有的 Mn, 后,消息摘要是一个160位的字符串,以下面的顺序标识

H0 H1 h3 H3 H4.

对于SHA256,SHA384,SHA512。你也可以用相似的办法来计算消息摘要。对消息进行补位的算法完全是一样的。

Thawte SSL123 SSL证书-中国证书.com

ssl123

Thawte SSL123 SSL证书是域名验证型证书,也是Thawte最便宜的一款证书,该证书签发方便,只需要验证域名所有权即可签发,无需提交认证文件,通常签发时间只需要1-2个小时,SSL123证书还免费提供动态Thawte网站签章,可以快速完成部署,同时该款证书是国际知名品牌,安全有保证,99%以上浏览器兼容性,同时中国证书CHINASSL还提供该SSL123证书在有效期内损坏、丢失、更换服务器等免费提供重新签发服务,无需额外付费。美中不足的是SSL123 SSL证书不支持多服务器安装,如果需要安装在多台服务器需要够买多个授权,不过大多数用户一般也只需要安装到1台服务器上,所以应该无关紧要。建议需要快速部署安装SSL证书的用户选择,大品牌,安全有保障!有任何关于够买该款SSL123证书的问题都可以咨询中国证书.com在线客服,或直接致电我们,为您提供专业高效的SSL证书服务!

关于Thawte:

Thawte 公司为 VeriSign 全资子公司,是全球第三大数字证书颁发机构,成立于1995年,自1996年正式提供数字证书产品到1999年占领全球市场的40%。VeriSign于 2000年2月1日以5.75亿美元换股完成收购,收购后thawte仍然独立运作,但同时得到了VeriSign的大力支持,可以颁发VeriSign 独家拥有的SGC技术的SSL证书,让全球用户可以以较低的价格购买到VeriSign的支持SGC技术的SSL证书。Thawte数字证书产品的另一个优势是其根证书已经预置到IE4.0以上的所有浏览器和操作系统中,并且无需升级Windows根证书直接支持代码签名应用。同时,thawte SSL证书全球独家支持IDN国际语言域名(包括中文域名),使得使用中文域名的中国用户也可以为其中文域名网站部署SSL 证书来确保信息安全。

SSL123 证书http://www.chinassl.net/ssl123/