部署SSL证书选择性部署可不够,全站HTTPS才是最佳方案

发布时间:2016-12-29 09:24:00
  很多网站所有者认为,只有登录页面和交易页面才需要HTTPS保护,而事实上,全站HTTPS化才是确保所有用户数据安全可靠加密传输的最佳方案。局部部署HTTPS,在HTTP跳转或重定向到HTTPS的过程中,仍然存在受到劫持的风险。

情况一:从HTTP页面跳转访问HTTPS页面

  事实上,在 PC 端上网很少有直接进入 HTTPS 网站的。例如:支付宝网站大多是从淘宝跳转过来,如果淘宝使用不安全的 HTTP 协议,通过在淘宝网的页面里注入 XSS,屏蔽跳转到 HTTPS 的页面访问,那么用户也就永远无法进入安全站点了。


  尽管地址栏里没有出现 HTTPS 的字样,但域名看起来也是正确的,大多用户都会认为不是钓鱼网站,因此也就忽视了。也就是说,只要入口页是不安全的,那么之后的页面再安全也无济于事。

情况二:HTTP页面重定向到HTTPS页面

  有一些用户通过输入网址访问网站,他们输入了一个网址就敲回车进入了。然而,浏览器并不知道这是一个 HTTPS 的站点,于是使用默认的 HTTP 去访问。不过这个 HTTP 版的支付宝的确也存在,其唯一功能就是重定向到自己 HTTPS 站点上。劫持流量的中间人一旦发现有重定向到 HTTPS 站点的,于是拦下重定向的命令,自己去获取重定向后的站点内容,然后再回复给用户。于是,用户始终都是在 HTTP 站点上访问,自然就可以无限劫持了。


  而全站HTTPS化可以确保用户在访问网站时全程HTTPS加密,不给中间人跳转劫持的机会。国外各大知名网站(PayPal,Twitter,Facebook,Gmail,Hotmail等)都通过Always on SSL(全站https)技术措施来保证用户机密信息和交易安全,防止会话劫持和中间人攻击。


关于天威诚信

  北京天威诚信电子商务服务有限公司是国家授牌CA认证机构;专业从事数字证书等技术和产品服务,极具业内影响力。

      2000年将Symantec认证业务引入中国,开启为中国用户提供Symantec认证方案的先河。

      目前,天威诚信公司是中国唯一一家由Symantec直接授权且由中国工信部批准的CA认证机构,拥有最高的行业准入标准。天威诚信公司与Symantec在中国积累了长达16年的战略合作经验,是赛门铁克认证业务全球最大的合作伙伴。

      我们服务于全行业超过95%的大客户,拥有丰富的应对和解决各种复杂及突发情况的专业服务支持团队,可以为用户提供最优质的本地化服务与技术支持。

      天威诚信公司作为合法的CA认证机构,以全面的安全解决方案、领先的证书管理平台、专业的技术支持团队及可靠的CA运营机制为中国用户提供最权威的认证服务和最安全的认证保障。

最新发布
1
天威21周年庆大促来袭|SSL证书限时特惠,给礼更给利!
2
SSL证书过期?后果很严重!
3
疫情防控常态化,企业信息安全将同步迎来“大考”
4
SM2算法对比RSA算法,到底强在哪?
5
免费or付费?人类高质量SSL证书怎么选!
6
国务院颁发信息安全条例 国密SM2算法势在必行
7
东京奥运会被钓鱼网站攻击,如何破局?
8
Google再次发声,浏览器安全措施再度升级
9
天威诚信小课堂:SSL 证书使用过程中的常见问题及解决方法
10
打开网站显示您与此网站建立的连接不安全怎么办?
相关推荐
央企信息化,需要来点安全保障
年中大促来袭|SSL证书618盛惠热浪即将开启
东京奥运会被钓鱼网站攻击,如何破局?
打开网站显示您与此网站建立的连接不安全怎么办?
OpenSSL项目发布1.1.1k版本来修复两个高严重性缺陷
天威诚信提醒您注意防范互联网流量劫持!
天威21周年庆大促来袭|SSL证书限时特惠,给礼更给利!
美国燃油管道竟被黑客封锁,吓!到底怎么才能确保数据安全?
免费or付费?人类高质量SSL证书怎么选!
“私钥”应该如何正确应用