随着Google、Mozilla、Apple等全球领先的浏览器厂商发布的各项抑制HTTP的政策，HTTPS加密协议正在逐步取代HTTP明文协议主流位置，而SSL证书是HTTP升级到HTTPS最常见的解决方式，因此越来越多站长采用SSL证书升级HTTPS。 SSL证书一般分自签证书和全球受信任的CA机构签发。 由于自签证书不受任何的设备信任，并不是安全的服务器证书，只能做自我测试使用，其使用范围十分狭隘，从而大部分用户都不会选择使用自签证书。 为了鼓励更多站长用户转换到HTTPS加密协议，部分的CA机构特推出免费的SSL证书，其中国内CA机构GDCA从去年就开始为国内用户提供免费的SSL证书。GDCA在2014年通过国际WEBTRUST认证，因此GDCA的免费SSL证书也是国际认可的SSL证书。但与收费的SSL证书相对，免费的SSL证书毕竟是免费，0成本的投入，所以在功能上存在比较大的差异。 免费SSL证书与收费SSL证书的对比 不同场景下的证书选择 由于本身特性上的差异，免费的 SSL 证书与付费的 OV SSL、EV SSL 证书适用于不同场景。 免费SSL证书：全球推出的免费SSL证书都是DV SSL证书，仅适用于个人博客、个人站点以及应用测试等简单的https加密需求，为用户节省一笔费用支出。 收费SSL证书：付费的 DV SSL 证书、企业型 OV SSL 证书和增强型 EV SSL 证书三大类。不同的证书类型适用于不同的对象。DV与免费的SSL证书一样，适合个人站点，中小企业。但对于中大型企业网站、金融平台和政府机关等付费的 OV、EV 证书则更加适用。对信息传输过程有更高的加密验证，企业还可以通过 SSL 证书来彰显品牌形象，为消费者塑造更加可靠的形象。 功能、特征的不同 成本支出有所差异，免费的 SSL 证书与付费的DV SSL、 OV SSL、EV SSL 证书的功能、特征也有不同。 免费SSL证书：今年，GDCA免费的SSL证书推出新功能，支持通配符，并且不限制子域名。用户申请免费的SSL证书，CA机构只需验证其域名所有权，可在3-5分钟内快速发证。 收费SSL证书：收费的SSL证书其验证要比免费的SSL证书要严谨。OV SSL 证书、EV SSL 证书证书，申请者需要提供可信身份证明。签发时间一般在３至10个工作日。相比DV SSL证书，OV SSL证书、EV SSL证书需要严格的身份审核，其中涉及的资料包括申请人授权书、营业执照、组织机构代码证等等的重要信息。 免费证书和收费证书的对比 免费证书和收费证书的区别 免费SSL证书 收费SSL证书 共同点 发证机构 都是有全球信任的CA机构发证 支持通配符，且不限子域名 通配符 支持通配符，且不限子域名 加密算法 支持SHA256签名算法 不同点 证书类型 仅为DV SSL证书， DV、OV、EV多种SSL证书选择 多域名 不支持 支持 绿色地址栏 不支持 支持 显示 仅为HTTPS EV SSL证书绿色地址栏、安全锁及组织机构名称的展示 浏览器支持 火狐、IE、360 支持99.9%浏览器 微信 不支持 支持微信小程序、公众平台接口 苹果ATS 不支持 支持 兼容性 设备兼容性一般 兼容性好 加密强度 加密强度一般 加密强度高 服务对象 个人站点和应用，简单的https加密需求 个人站点和应用，中小型企业和电子商务、大型金融平台、大型企业和政府机构站点等安全级别要求较高的网站 审核内容 域名所有权验证 域名或企业身份和域名所有权验证 签发时间 3-5分钟 DV:10分钟-1小时 OV:3-5个工作日 EV:5-7个工作日 安全保险 无 享受低至5万元起的安全保险。 标签：ssl免费与收费, ssl证书 免费 区别, SSL证书免费版跟付费版的区别

什么是SSL连接 SSL 的英文全称是 “Secure Sockets Layer” ，中文名为 “ 安全套接层协议层 ” ，它是网景( Netscape )公司提出的基于 WEB 应用的安全协议。 SSL 协议指定了一种在应用程序协议(如 HTTP 、 Telenet 、 NMTP 和 FTP 等)和 TCP/IP 协议之间提供数据安全性分层的机制，它为 TCP/IP 连接提供数据加密、服务器认证、消息完整性以及可选的客户机认证。 SSL是在Web服务器和Web客户机之间建立经过身份验证和加密会话的Web协议。SSI。以首先建立TCP/IP连接的握手例行程序开始。接着，通过验证服务器的公钥为客户机验证服务器。一旦通过验证，服务器即会选择客户机和服务器都支持的并在具体的国家/地区所实施的限制内的最强密码算法。下一步将生成用来对上述客户机和服务器之间的所有数据流进行加密的共享密钥。最终，一个加密的SSL，连接便建立了。 如上所述，在客户机和服务器之间发送的所有信息都经过加密，包括所有的HTTP请求和响应以及客户机请求的URL。该级别的加密可确保信用卡号、访问授权信息(用户名)以及服务器返回的敏感数据等敏感信息的保护。 因为加密需要大量的计算，所以SSL.会话通常仅用于敏感信息的传输。 SSL连接详情 下面主要介绍openssl进行SSL通信的一些函数以及过程，主要是初始化过程，至于数据的接收以及后续处理可以具体问题具体分析。 load所有的SSL算法 OpenSSL_add_ssl_algorithms(); 建立SSL所用的method SSL_METHOD *meth=SSLv23_method(); 初始化上下文情景 SSL_CTX *ctx=SSL_CTX_new(meth); ret->quiet_shutdown=1;默认的是ret->quiet_shutdown=0;他相当于SSL_set_shutdown函数将参数设置为SSL_SENT_SHUTDOWN|SSL_RECEIVED_SHUTDOWN 当设置为1时，假如关闭后，不通知对方，这样不适合TLS标准 SSL_CTX_set_quiet_shutdown(ctx,1); ctx->options|=SSL_OP_ALL，SSL/TLS有几个公认的bug,这样设置会使出错的可能更小 SSL_CTX_set_options(ctx,SSL_OP_ALL); 设置cache的大小，默认的为1024*20=20000，这个也就是可以存多少个session_id，一般都不需要更改的。假如为0的话将是无限 SSL_CTX_sess_set_cache_size(ctx,128); SSL_CTX_load_verify_locations用于加载受信任的CA证书，CAfile如果不为NULL，则他指向的文件包含PEM编码格式的一个或多个证书，可以用e.g.来简要介绍证书内容 CApath如果不为NULL，则它指向一个包含PEM格式的CA证书的目录，目录中每个文件包含一份CA证书，文件名是证书中CA名的HASH值 可以用c-rehash来建立该目录，如cd /some/where/certs（包含了很多可信任的CA证书） c_rehash .。返回一成功，0 失败。SSL_CTX_set_default_verify_paths找寻默认的验证路径，在这里肯定找不到的。 这里主要set cert_store char *CAfile=NULL,*CApath=NULL; SSL_CTX_load_verify_locations(ctx,CAfile,CApath); 当需要客户端验证的时候，服务器把CAfile里面的可信任CA证书发往客户端。 if(CAfile !=NULL )SSL_CTX_set_client_CA_list(ctx,SSL_load_client_CA_file(CAfile)); 设置最大的验证用户证书的上级数。 SSL_CTX_set_verify_depth(ctx,10); 当使用RSA算法鉴别的时候，会有一个临时的DH密钥磋商发生。这样会话数据将用这个临时的密钥加密，而证书中的密钥中做为签名。 所以这样增强了安全性，临时密钥是在会话结束消失的，所以就是获取了全部信息也无法把通信内容给解密出来。 static unsigned char dh512_p[]={ 0xDA,0x58,0x3C,0x16,0xD9,0x85,0x22,0x89,0xD0,0xE4,0xAF,0x75, 0x6F,0x4C,0xCA,0x92,0xDD,0x4B,0xE5,0x33,0xB8,0x04,0xFB,0x0F, 0xED,0x94,0xEF,0x9C,0x8A,0x44,0x03,0xED,0x57,0x46,0x50,0xD3, 0x69,0x99,0xDB,0x29,0xD7,0x76,0x27,0x6B,0xA2,0xD3,0xD4,0x12, 0xE2,0x18,0xF4,0xDD,0x1E,0x08,0x4C,0xF6,0xD8,0x00,0x3E,0x7C, 0x47,0x74,0xE8,0x33, }; static unsigned char dh512_g[]={0x02,}; DH *dh=DH_new(); dh->p=BN_bin2bn(dh512_p,sizeof(dh512_p),NULL); dh->g=BN_bin2bn(dh512_g,sizeof(dh512_g),NULL); SSL_CTX_set_tmp_dh(ctx,dh); 下面加载服务器的证书和私钥，私钥可以和证书在一个文件之中。判断私钥和证书是否匹配。 char *s_cert_file=”server.pem”; char *s_key_file=NULL; SSL_CTX_use_certificate_file(ctx,s_cert_file,SSL_FILETYPE_PEM); 获取私钥之前先把私钥的密码给写上 char *pKeyPasswd=”serve”; SSL_CTX_set_default_passwd_cb_userdata(ctx, ... 更多

随着每年网络攻击的大幅度增加，网络安全已成为了不可缺失的网络组成部分。因此，在网站开发的时候必须把网络安全也要考虑在内。越来越多人通过WordPress建站，而多样化的功能则通过各种的插件来完成，包括网络安全的性能。下面通过通过网络整理了多款WordPress关于网络安全的插件。 All In One WP Security All in One WP Security and Firewall具有高级安全特性与功能，利用锁定登录功能保护网络财产，使你能够在IP地址被屏蔽之前判断用户可尝试登录的次数(以及所需要的时间)。一个好用的网站安全分级工具能让你快速确认网站的安全程度，安全插件为你提供加强防御的技巧和建议。 该插件还能检测到相同的登录账户，显示登录名(双重身份使黑客更容易侵入你的数据，因为他们不需要花费时间找出用户名)。 Wordfence Security 是一个安全性的外挂，简单而且又好用，所以，可以在每安装一个插件或是佈景主题后就扫瞄一下自已的WordPress看看是否安全，同时也让上你网站的人可以安心的来访。利人又利己的一个插件，因此，请第一个安装它。 它具备以下功能： 文件防篡改：可检测核心文件、主题文件、插件文件是否被篡改、挂马、插后门。 后门检测：可检测网站文件中是否包含已知的恶意脚本。 防火牆：可通过防火牆规则自动屏蔽正在从事危险行为的访客。具备一定的防DDOS能力。 防爆破：可防止黑客对后台密码进行暴力破解 防入侵：可检测当前站点是否含有已知漏洞。 （收费功能） 访客统计：可列出当前访客的IP及地理位置（支持中国，可精确到市）， 可查看访客的来路及当前访问页面，若有可疑，可直接屏蔽之。 评论安全：可检测评论中是否包含钓鱼网站等危险URL 隐藏wordpress版本号：当指定版本出现漏洞时，此功能可防止黑客批量搜索到你并进行入侵。 密码安全：可检测用户的密码强度。 Stealth Login Stealth Login 可以让您自定义一个登录后台的页面来取代默认的 wp-login.php 页面，这样即使您的密码泄露了，黑客也未必能进入您的系统，因为他们还需要找到正确的登录页面地址。这款插件可用以防止恶意的爬虫机器人强制进入您的 wp-login.php 文件。 Login Lockdown Login Lockdown 对于防止暴力解密的攻击十分凑效。它能够记录下每一次错误登入的 IP 地址和时间标记，如果探测到一个 IP 段在一时间段内登录失败的次数超过了某一数目，就会自动锁定其登录功能，并禁止此 IP 段的使用者登入系统。 iThemes Security iThemes安全使用Sucuri SiteCheck来驱动插件中的恶意软件扫描功能。 Sucuri SiteCheck采用了10点网站检查扫描您的站点为已知的恶意软件、黑名单状态、网站错误、过期的软件。 强力保护您的WordPress站点，限制每个用户登录失败的次数，超过次数自动锁定。 可以检测文件的更改，会邮件警告显示任何文件的更改。 如果有人恶意扫描您的网站的漏洞，它会产生大量的404错误，iThemes安全将在达到你设置的限制后锁定该IP。 设置网站角色（管理员，作者，投稿者等）需要设置复杂的密码。 锁定不良用户。 可以设置离开模式。 改变你的WordPress登录区的默认网址。 数据库备份功能。 邮件提醒各种安全警告。 仪表板小工具中可以显示安全统计数据快速视图。 在线文件比对核心文件，查看是否被恶意更改 Admin SSL 这个插件能强制所有需要输入密码才能访问的页面使用 SSL 安全协定，这样全部信息就会进行加密传送了。 因此站长需要在服务器安装SSL证书，而且现在全球浏览器都提倡使用HTTPS。据了解，安信是一家提供信息安全证书的运营企业，已通过WEBTRUST国际认证，具备了国际化的电子认证服务能力，拥有国内自主品牌的SSL证书以及是国际多家知名品牌：GlobalSign、Symantec、GeoTrust SSL证书指定的国内代理商。为了让国内更多的网站升级到安全的https加密传输协议，目前，GDCA推出多种国际知名SSL证书优惠活动。广大站长可根据需求自行前往了解。

常使用Chrome浏览器的用户或者从事Web开发的开发人员，相信已经留意到近两年对于“安全UI”的频繁改动。（改动的标识都是为了清晰告诉用户他们访问的页面是否安全的。） 过去的十年里，HTTPS经历了起死回生，因为网络数据大量丢失、隐私数据被窃取等事件近年来不断上升，严重影响全球网络安全。在网络传输协议中，HTTPS的加密功能要比HTTP安全。因此为了进一步推动HTTPS的发展，而Chrome的安全UI根据HTTPS的采用阶段而采取不同的更改。 这种渐进式的变动是为了帮助用户适应不断发展的互联网环境。2014年，Chrome加载的页面大部分仍旧使用HTTP，至今已有75%的页面是通过HTTPS访问的，用户界面正在发生天翻地覆的变化。 Chrome的“安全UI”目前仍未尘埃落定，未来仍会有所变化。尚未部署HTTPS的网站、或仅保护登陆页面的HTTPS网站都必须密切关注。Chrome对HTTP页面发出持续不安全警告，并会做进一步限制其他功能，为了不影响网站的品牌形象，建议尽早完成网站的HTTPS部署。因为其他的主流浏览器也会跟最Chrome的政策，对HTTP进一步的限制。 Chrome68发布最新警告 随着HTTPS的普及，大部分的网站是安全。而Chrome希望将促进HTTPS的安全指标转向对HTTP的不安全指标，向用户强烈标识HTTPS的不安全性。 7月份即将发布Chrome 68就会展现这一功能，将所有的HTTP发出不安全警告。 对于仍在使用HTTP的网站，在Chrome 68的左侧地址栏将会一个“不安全”警告，明确告诉终端用户，这个一个“不安全”的网站。为了避免这个情况，建议广大站长尽快使用SSL证书，为全站正确部署HTTPS。 Chrome69版本以及未来的展示 Chrome 68对HTTP页面添加“不安全”警告，而Chrome 69（预计9月发布）将会开始删除HTTPS页面安全指示标识。 HTTPS中的“Secure”（安全）文本将会在Chrome 69消失。“Secure”标签是2016年增加的安全标识，因为当时HTTPS的使用率远低于HTTP，为了鼓励更多的站点添加HTTPS，Chrome通过“Secure”的友好标签来表达支持HTTPS站点。但最新的用户研究表明，负面标签比正面的强化更有效果，所以Chrome团队希望通过对HTTP的“不安全”标识带替换HTTP的“安全”，警示用户不要在HTTP页面分享任何敏感信息。 未来，Chrome将会对新版本的指标进行调整，下面是接下来的版本变化参考： 即将推出的Chrome UI更改:

近两年，每一次Chrome最新版本发布都会对“安全”的指示标识有所改变，极力鼓励各大站长用户放弃HTTP明文协议，配置更安全的HTTPS。据最新统计，通过Chrome加载的HTTPS页面已达75%，而这75%的HTTPS页面大部分绝大部分都是采用SSL证书进行升级。 随着HTTPS的普及，越多越多站长对SSL证书的认识也越来越深。 在选择SSL证书时，不少用户遇到这种问题，面对SSL证书的128位加密强度和256位加密强度应该怎样选择？ 下面我们认识一下关于SSL证书的加密强度。 背景 大约在1990年，互联网主要是以明文的形式进行通信。但随着电子商务的兴起，通讯加密就显的尤为重要，研究人员开始着手研究加密。 最开始的加密通讯是通过数据加密标准或DES发送，参数为56位密钥进行对称加密。（对称加密是指两个密钥相同，可进行加密和解密） 由于设计过于简单，DES加密很快就被黑客破解。此时，又有另一种更强大的加密出现：AES或高级加密标准。 256位加密强度 在128位和256位加密强度的SSL证书之间，很多人都会认为256位的SSL证书要比128位的SSL证书更好、更安全。其实这是一种错误的认识。 实际上，SSL证书与加密的实际强度是无关的，而具体达到的加密强度是与操作系统、浏览器版本、服务器配置、所采用的证书等因素相关。 256位SSL证书并不意味着您的网站将为每个连接使用256位对称加密。很多服务器系统不支持256位强度的加密链接，即便服务器证书可以支持256位，客户端也会自动降低加密强度。技术根据目前的加密技术，40位的加密强度就可以保护网站。 因此，我们日常所有的加密强度，主要是指用于加密操作的密钥长度。密钥本身可能是256位，但是由于各方面的原因，实际的强度可能会小很多。 需要多长时间来破解密钥？ 应该怎样选择？ 在实际应用中，使用低的加密强度证书，安全性会稍微差一点，但仍是安全的，毕竟目前仍未被破解。但是在AES加密算法中，考虑到破解难度，最好使用256位密钥。 最后，再次提醒密钥长度不是实际应用的加密强度。

前两天，A站收到黑客攻击，近千万条用户数据外泄，其中包含用户ID、用户昵称、加密存储的密码等信息。事件发生后，A站第一时间做出回应并证实了数据泄露事件，同时也透露的事件的原因是由于没有把网站做得足够安全。在事发后，已在第一时间联合内部和外部的技术专家成立了安全专项组，排查问题并升级了系统安全等级。 数据泄露事件近年来不断上升，而这些数据泄露原因大部分都是因为网站安全防护不到位而导致的。如芬兰通信管理局一网站遭遇了匿名黑客的攻击，大约有13万用户的账户用户名和密码被窃取；美国功能性运动品牌 Under Armour （安德玛）旗下饮食和营养管理应用程式及网站MyFitnessPal 遭遇大规模的数据泄露，多达1.5亿用户的信息被盗。；年初一加官方网站遭到恶意攻击，支付页面被植入脚本，4 万消费者的信用卡信息被窃取…… 为了保护用户的信息安全，各大网络平台应该要提升安全防护，尤其是需要与用户进行信息交换的平台，更需要加强网站的安全防护。 企业如何提升网站平台的安全防护？下面为您支招： 负载均衡及负载保护机制 系统面临着巨大的服务量，服务器端的设备基本上都需要有多台服务器进行业务分担，这样才能提高性能，避免处理瓶颈的出现，因此，需要采用合理的负载均衡和负载保护机制： 备份及恢复 任何系统都不能说100%的安全，都需要考虑在遭受攻击或者是经受自然灾害后的备份恢复工作，需要着重考虑如下几点： 选择合适的备份策略，做好提前备份，包括全备份、差分备份、增量备份等等； 选择合适的备份介质，包括磁带、光盘、RAID磁盘阵列等； 选择合适的备份地点，包括本地备份、远程备份等等； 选择合适的备份技术，包括NAS、SAN、DAS等等； 作好备份的后期维护和安全审计跟踪； 用户账号使用行为的日志记录及其审计。 数据加密传输 目前，HTTPS正在逐步取代HTTP的主流位置。因为互联网的安全越来越关注，而加密传输协议HTTPS要比明文协议HTTP更加安全，更加有包保障。HTTPS可保证通信数据的加密传输，同时也保证了用户端对服务器端的认证，避免用户被冒充合法网站的“钓鱼网站”欺骗。 如何建立HTTPS网站? SSL证书是HTTPS加密设置的常见方法，SSL证书就是遵守 SSL协议，由受信任的数字证书颁发机构CA(如GDCA)，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。 恶意用户流量的检测、过滤及阻断 系统服务器侧应部署IDS入侵检测系统、IPS入侵防护系统、防火墙等设备，或者部署目前高效、流行的UTM（统一威胁管理）设备，对恶意用户采用的各种攻击手段进行检测和防护，重点过滤恶意流量、突发流量等。 管理规范化 系统功能复杂，业务数据敏感，保密级别比较高，并且对不同管理人员的权限、角色要求都不尽相同，为了保证安全管理，避免内部管理中出现安全问题，建议作如下要求： 严格划分管理人员的角色及其对应的权限，避免一权独揽，引起安全隐患。 近年来，黑客攻击的次数日益增长，而网站安全是互联网构成的重要部分，各大企业应提前为自主平台提升安全防范，保护用户隐私，避免发生信息泄露事件。

昨日，长达20天的年中大促终于落下了帷幕。但在大家买买买的同时，有部分网友在访问HTTPS站点时，发现部分站点被提示“此网站的安全证书有问题””以及”此网站出具的安全证书已过期或还未生效”，网站无法访问的情况。这是一种什么情况呢？ 据行业统计，年中以及年底是更换SSL证书的高峰期。当部分站长没有及时更新HTTPS站点的SSL证书，就会出现安全证书问题提示。面对这种情况，作为国内CA机构GDCA建议各大站长必须要提前做好证书续费准备，避免出现网站无法访问，给客户端用户留下不良印象。 如何为SSL证书续费? SSL证书的更新跟其他例如域名的续费不一样，需要用新的证书文件来替换即将过期的SSL证书文件。 今年3月起，SSL证书的最长有效期由原来的3年变更为825天（即2年零3个月），站点用户需要提前注意安全证书的有效期。SSL证书更新的过程与购买新证书的过程相同。服务器用户可按照以下步骤更新网站的SSL证书： 1：生成证书签名请求（CSR） 2：选择目标SSL证书 3：选择有效期（1年，2年） 4：填写所有必要的细节 5：应用优惠券/折扣（如果有的话） 6：点击继续按钮。 7：联系销售人员 8：查看SSL订单 9：付款 10：在服务器上安装SSL证书 除了SSL证书到期外，以下情况也会导致HTTPS网站出现证书问题而无法安全访问： 1、电脑系统时间不在证书有效时间的区间内，客户端访问就会被浏览器提示网站https安全证书已过期或还未生效。 2、站点引用其它部署了https安全证书的外链，如果这个外链的证书过期了也会提示相应的错误。 3、如果网站的HTTPS证书没有正确的部署，在访问网站的时候也会被浏览器提示风险。 最后 站长用户在申请SSL证书时必须要向已通过Webtrust国际认证的证书，否则证书会因为其不良的通用性被浏览器拒绝，视为不安全站点。同时，要正确部署SSL证书，不然也会被浏览器提示存在安全风险。