Question

为什么“部署自签SSL证书非常不安全”

Answer 1

目前，有许多重要的公网可以访问的网站系统(如网银系统)都在使用自签SSL证书，即自建PKI系统颁发的SSL证书，而不是部署支持浏览器的SSL证书，这绝对是得不偿失的重大决策失误，自签证书普遍存在严重的安全漏洞，极易受到攻击。主要问题有：1.自签证书最容易被假冒和伪造，而被欺诈网站所利用。2. 自签证书最容易受到SSL中间人攻击。3. 自签证书支持不安全的SSL通信重新协商机制。4. 自签证书支持非常不安全的SSL V2.0协议。5. 自签证书没有可访问的吊销列表。6. 自签证书使用不安全的1024位非对称密钥对。7. 自签证书证书有效期太长。也许你会问，为何所有Windows受信任的根证书有效期都是20年或30年？好问题！因为：一是根证书密钥生成后是离线锁保险柜的，并不像用户证书一样一直挂在网上；其二是根证书采用更高的密钥长度和更安全的专用硬件加密模块。总之，为了您的重要系统安全，请千万不要使用自签的SSL证书，从而带来巨大的安全隐患和安全风险，特别是重要的网银系统、网上证券系统和电子商务系统。欢迎选购景安WoSign品牌全线支持4096-2048位加密长度的SSL证书！

Answer 2

SSL 证书就是遵守 SSL协议，由受信任的数字证书颁发机构CA，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。
自签的SSL证书，是个人的行为，就如同您自己做了一张身份证一样，国家不会认同您这个身份证，所以是无效的。

Answer 3

自签名SSL证书缺点如下：
1、自签SSL证书最容易被假冒和伪造，被欺诈网站利用
自签SSL证书是可以随意签发的，不受任何监管，您可以自己签发，别人也可以自己签发。如果您的网站使用自签SSL证书，那黑客也可以伪造一张一模一样的自签证书，用在钓鱼网站上，伪造出有一样证书的假冒网银网站！
2、部署自签SSL证书的网站，浏览器会持续弹出警告
自签SSL证书是不受浏览器信任的，用户访问部署了自签SSL证书的网站时，浏览器会持续弹出安全警告，极大影响用户体验。
3、自签SSL证书最容易受到SSL中间人攻击
用户访问部署了自签SSL证书的网站，遇到浏览器警告提示时，网站通常会告知用户点击“继续浏览”，用户逐渐养成了忽略浏览器警告提示的习惯，这就给了中间人攻击可乘之机，使网站更容易受到中间人攻击。
4、自签SSL证书没有可访问的吊销列表
这也是所有自签SSL证书普遍存在的问题，做一个SSL证书并不难，使用OpenSSL几分钟就搞定，但真正让一个SSL证书发挥作用就不是那么轻松的事情了。要保证SSL证书正常工作，其中一个必备功能是要让浏览器能实时查验证书状态是否已过期、已吊销等，证书中必须带有浏览器可访问的证书吊销列表。如果浏览器无法实时查验证书吊销状态，一旦证书丢失或被盗而无法吊销，就极有可能被用于非法用途而让用户蒙受损失。此外，浏览器还会发出“吊销列表不可用，是否继续？”的安全警告，大大延长浏览器的处理时间，影响网页的流量速度。
5、自签SSL证书支持超长有效期，时间越长越容易被破解
自签证书中还有一个普遍的问题是证书有效期太长，短则5年，长则20年甚至30年。因为自签证书制作无成本无监管，想签发几年就签发几年，而根本不知道PKI技术标准限制证书有效期的基本原理是：有效期越长，就越有可能被黑客破解，因为他有足够长的时间(20年)来破解你的加密。