【必知】不少人都不知道的SSL證書八大誤區

自從2月初谷歌旗下Chrome瀏覽器宣佈「封殺」HTTP將全部HTTP標示爲不安全網站之後，愈來愈多的網站用戶開始安裝SSL證書，將網絡傳輸協議從HTTP升級爲HTTPS。但對於HTTPS和SSL證書的功能、使用、性能，其實目前不少用戶並不十分清楚，甚至說在理解上存在很多誤區。

誤區一：HTTPS會使網站訪問速度明顯變慢

單從理論上講能夠這麼說，由於HTTPS比HTTP多出了SSL握手環節。但這個環節耗費的時間通常僅有幾百毫秒，要知道100毫秒才至關於0.1秒，因此咱們很難發覺速度上的變化。

比較典型的是百度、淘寶等網站均實現了HTTPS，但訪問速度並未降低。而有時，HTTPS反倒比HTTP更快一點，這通常發生在一些大公司的內部局域網。由於一般狀況下，公司的網關會截取並分析全部的網絡通訊。但當它遇到HTTPS鏈接時就只能直接放行，由於HTTPS通過加密沒法被解讀。由於少了這個解讀過程，因此HTTPS會更快。

誤區二：HTTPS會大幅增長硬件成本

爲實現HTTPS升級CPU、購買更多服務器已經成爲歷史。隨着硬件性能的日新月異，HTTPS施加在硬件之上的運算壓力已經愈來愈小，再加上合理的優化和部署，硬件成本增長几乎能夠忽略不計。

誤區三：只有涉及資金的網站才須要

HTTPS人們對銀行、電商、金融等網站必須啓用HTTPS已達成共識，但其餘類型的網站是否有這個必要呢？

《紐約時報》認爲頗有必要，由於HTTPS有助於保護讀者的隱私和確保內容的真實性，它表示將讓網站的所有內容都歸入HTTPS的保護下。別忘了，Chrome、火狐已開始對非HTTPS頁面進行警告，谷歌百度均給予HTTPS頁面更高的搜索權重。所以不論從安全仍是發展的角度來說，HTTPS對各個類型的網站都很是必要。

誤區四：在登錄頁面部署HTTPS便可

在登陸頁面部署HTTPS，避免密碼被截取，至於其它頁面就不用了。但這種想法是危險的，由於若是僅登陸頁使用了HTTPS，在登陸之後，其餘頁面就變成了HTTP。這時，頁面緩存數據就暴露了。

也就是說，這些緩存數據是在HTTPS環境下創建的，但卻在HTTP環境下傳輸。若是有人劫持到這些緩存數據，密碼就極可能被盜。正是基於這個緣由，目前不少網站都從單一的登陸頁HTTPS升級爲全站HTTPS。

誤區五：SSL證書很昂貴

既然HTTPS必不可少，咱們就申請一張，但SSL證書是收費的，價格不便宜。其實SSL證書的價格在網絡安全產品中屬於比較親民的。並且在衆多SSL證書提供商中，用戶能夠經過使用服務商推出的促銷活動來減小使用SSL證書的成本。

誤區六：國外的SSL證書更好用

國外品牌的SSL證書因爲起步較早，因此在性能上長期領先國產SSL證書，以至你們造成了國外證書更好用的思惟定式。

但就在去年，中國金融認證中心（CFCA）的國產SSL證書實現了對微軟、谷歌、蘋果、火狐等全部瀏覽器和操做系統的支持，成爲惟一可在性能上與國外證書相媲美的國產證書，同時在證書申請速度、優惠力度等方面較國外證書更有優點，使國外證書再也不是國內網站的惟一選擇。

誤區七：SSL證書能夠隨意申請

SSL證書並非隨意申請的，須要提交真實可靠的資料（如企業營業執照、組織機構代碼證等），通過人工審覈經過後纔可頒發。之因此如此，是由於服務商要保證SSL證書被合法機構使用，防止將證書頒發給不法人員並遭利用。

誤區八：有了HTTPS，網站就完全安全了

這能夠稱爲「HTTPS萬能論」，部分企業也用HTTPS宣傳本身的網站足夠安全。但實際上，HTTPS是利用SSL證書知足網絡通信傳輸加密和服務器身份驗證這兩個安全需求，即防竊取、防篡改、防釣魚，別的安全需求就知足不了了。衆多網站安全問題也不可能僅靠一張SSL證書就所有解決。

但傳輸加密和身份驗證是網站安全的基礎，基礎都打很差，安全就是空談。因此請記住這句話——對網絡安全來講，HTTPS不是萬能的，但沒有HTTPS是萬萬不能的！

原文：http://server.51cto.com/Review-581019.htm