安全加密、身份驗證缺一不可

經由第三方CA數字認證中心頒發的SSL服務器證書作為一項成熟的安全技術被普遍應用互聯網上。為什么數字證書要有第三方CA數字認證中心頒發？這就好比我們的身份證，只有公安局才有資格制作個人身份證，因為它是有公信力的政府部門。在虛擬的互聯網上，SSL服務器證書作為一種安全手段，在商業上就需要一個大家公信的第三方組織提供信任服務，承擔起發制作和發放數字證書工作。

尤其目前電子商務交易活動的頻繁，安全風險問題日益突出。當我們進行在線交易時，僅僅應用加密還遠遠不夠，我們還需要在客戶和合作伙伴間建立起彼此互信，因此身份的確認也就必不可少。我們在進行交易時，我們必須回答如下問題：

1、 你是誰？（身份信息要求）
2、 你屬于哪個組織？你是一個可信的合作伙伴嗎？（組織是否可以信任）
3、 你怎樣證實你的身份（經過誰的驗證）

在實際操作過程中，一些CA機構認為提供SSL加密就足以確保網站的安全性幫助其建立企業與客戶間的信任。但實際情況并非如此，高端服務器證書（經過身份鑒證數字證書）和低端服務器證書（未經身份驗證的服務器證書）間在建立客戶信心上在巨大差異。國際知名數字的數字證書服務提供商VeriSign從成立以來只提供經由嚴格身份驗證的服務器證書，配備了VeriSign服務器證書的網站，不但得到了安全加密保護，更可以在網站上出示VeriSign安全站點簽章標志，客戶可以通過點擊該標志實時查看數字證書的狀態、數字證書頒發機構及網站持有者的詳細信息。

這些真實詳細網站信息對于網民來說意義重大，它向外部傳遞了一個一致的信息，那就是該網站身份可信并且交易安全。也正是因為VeriSign一貫嚴格的身份鑒證策略，只提供高端服務器證書，成就了VeriSign站點簽章標志成為了當前互聯網上最為可信的安全站點標志。每天超過1.5億次站點簽章標志的瀏覽次數充分的驗證了上述問題。

如何獲取一張經過嚴格身份驗證的SSL服務器證書

不同的CA數字證書機構在身份鑒別上有著不同的策略，作為行業的領先者VeriSign一貫嚴格的身份鑒證，其身份鑒證方式在多年來的實踐中經受住了充分的考驗，其證書在整個互聯網上擁有者極高的認知度。要想獲得一張數字證書，申請者至少要提交如下資料：

1、 提交組織真實信息已證實組織是合法成立的機構
2、 提交信息以證明組織是該域名的合法擁有者，服務器證書有權使用該域名地址
3、 驗證SSL服務器證書申請者作為企業的正式成員的真實身份并被組織授權申請證書

低端服務器證書（未經身份驗證）的安全威脅

中國市場上存在的低端SSL服務器證書與國際上的低端證書稍有差別，或準確地說是不入流的服務器證書，該類證書被作為一項安全技術開發出來，證書可能是網站自行發放的，身份驗證及加密強度均無法得到有效保障，我們的瀏覽器一般會自動感應該類證書，并探出安全警告提示，提醒訪問者注意網站安全。

因此，該類證書的市場份額并不太，并在日益萎縮。這里我們就暫不考慮其影響，我們常說的低端服務器證書，指的是依然為可信第三方CA數字證書機構頒發的，只是未經過證書為經過身份驗證。在IE7.0以前的版本中，如果數字證書來自可信的第三方數字證書機構，瀏覽器將不會彈出安全提示告知用戶網站存在安全威脅，不管是高端的服務器證書還是低端的服務器證書均會顯示“鎖型安全標志”，除非我們點擊小鎖或安全站點標志才可以驗證網站的詳細身份信息。

如果一個假冒網站申請了一個與仿冒網站相似的域名，并了購買低端服務器證書（只驗證域名信息，10分鐘完成簽發），網站同樣會顯示安全鎖型標志，再加上以假亂真的頁面，致使釣魚網站依然猖獗，一旦輸入隱私信息，如賬戶或密碼信息，后果依然嚴重。