OpenSSL生成SSL证书,受浏览器信任吗?

OpenSSL是用于传输层安全(TLS)协议的开源工具包,OpenSSL生成SSL证书能受到浏览器信任吗?OpenSSL生成SSL证书能不能用于网站HTTPS加密呢?

OpenSSL是什么?

OpenSSL是基于密码学的用于传输层安全(TLS)协议的开源工具包,可以分成三个主要的功能部分:SSL协议库、应用程序以及密码算法库。OpenSSL实现了ASN.1的证书和密钥相关标准,提供了对证书、公钥、私钥、证书请求以及CRL等数据对象的DER、PEM和BASE64的编解码功能。OpenSSL提供了产生各种公开密钥对和对称密钥的方法、函数和应用程序,同时提供了对公钥和私钥的DER编解码功能。并实现了私钥的PKCS#12和PKCS#8的编解码功能。OpenSSL在标准中提供了对私钥的加密保护功能,使得密钥可以安全地进行存储和分发。

在此基础上,OpenSSL实现了对证书的X.509标准编解码、PKCS#12格式的编解码以及PKCS#7的编解码功能,并提供了一种文本数据库,支持证书的管理功能,包括证书密钥产生、请求产生、证书签发、吊销和验证等功能。也就是说,OpenSSL提供的CA应用程序就是一个小型的证书管理中心(CA),实现了证书签发的整个流程和证书管理的大部分机制。

OpenSSL生成SSL证书,有哪些安全风险?

SSL证书应该由受信任的证书机构颁发,严格验证申请者身份,并在经过审计的系统中签发,可以被浏览器信任。OpenSSL生成的SSL证书能否被浏览器信任,取决于证书的类型和颁发者身份。OpenSSL可以生成自签名证书和CA证书。自签名证书是由自己颁发的证书,不受浏览器信任。如果使用OpenSSL生成的是自签名证书,则访问该网站时会提示“您的连接不是私密连接”,并提示是否继续访问。这是因为自签名证书不被浏览器信任,造成了验证失败。自签名SSL证书可随意签发,不受监管也不会受任何浏览器以及操作系统信任,存在诸多安全隐患及风险。

1.容易被假冒伪造,被欺诈网站利用

自签名SSL证书是可以随意签发的,不受任何监管,黑客也可以伪造一张一模一样的自签名证书,用在钓鱼网站上,伪造出有一样证书的假冒网站!

2、部署自签名SSL证书的网站,浏览器会持续弹出警告

自签名SSL证书是不受浏览器信任的,用户访问部署了自签名SSL证书的网站时,浏览器会持续弹出安全警告,极大影响用户体验。

3、最容易受到SSL中间人攻击

用户访问部署了自签名SSL证书的网站,遇到浏览器警告提示时,网站通常会告知用户点击“继续浏览”,用户逐渐养成了忽略浏览器警告提示的习惯,这就给了中间人攻击可乘之机,使网站更容易受到中间人攻击。

4、没有可访问的吊销列表,无法验证证书状态

这也是所有自签名SSL证书普遍存在的问题,做一个SSL证书并不难,使用OpenSSL几分钟就搞定,但真正让一个SSL证书发挥作用就不是那么轻松的事情了。要保证SSL证书正常工作,其中一个必备功能是要让浏览器能实时查验证书状态是否已过期、已吊销等,证书中必须带有浏览器可访问的证书吊销列表。如果浏览器无法实时查验证书吊销状态,一旦证书丢失或被盗而无法吊销,就极有可能被用于非法用途而让用户蒙受损失。此外,浏览器还会发出“吊销列表不可用,是否继续?”的安全警告,大大延长浏览器的处理时间,影响网页的流量速度。

5、超长有效期,时间越长越容易被破解

目前国际标准要求SSL证书有效期不超过398天。而自签名证书制作无成本、不受监管,证书有效期普遍太长,短则5年,长则20年甚至30年。PKI技术标准限制证书有效期的基本原理是:有效期越长,就越有可能被黑客破解。

本文链接:https://my.lmcjl.com/post/12743.html

展开阅读全文

4 评论

留下您的评论.