什么是RSA国产数字证书?

一位朋友向我打听什么是RSA国产证书?

我们用的较多说法是,国际算法的RSA证书,国密算法的SM2证书,那么有没有RSA国产证书呢?

RSA国产证书的提法并不标准,它来源一个安全通告,2019年11月30日 首都网警《关于OPENSSL加密组件存在重大风险隐患的预警通报》。全文如下:

近日,据国家网络与信息安全信息通报中心监测发现,互联网SSL协议实现组件OPENSSL部分版本存在重大安全隐患,可能导致信息泄露等风险。SSL(Secure Socket Layer)协议是一种为网络通信提供安全以及数据完整性的安全协议,该协议在传输层对网络进行加密。OPENSSL是实现SSL协议的一款开源软件,其提供了多种密码算法、常用密钥以及数字证书封装管理等功能。

一、基本情况

此次事件发现:一是众多RSA数字证书密钥存在被破解的可能性,二是部分低版本的OPENSSL组件存在内存泄露漏洞。

二、影响范围

以上问题涉及电信、金融、能源、医疗等多个重要行业部门,以及部分高校、企业邮件系统和多款网络设备。在通信数据被截获的情况下,攻击者可利用上述漏洞获取用户账号口令、业务系统数据、邮件内容等敏感信息。

三、安全提示

针对该情况,请大家做好防范。一是将原有RSA数字证书替换为RSA2048国产数字证书。二是及时提示本部门、本行业、本辖区重点单位,排查OPENSSL组件使用情况,督促相关单位及时将OPENSSL升级至最新版本。三是加强网络安全意识,开展隐患排查和安全加固,提高防范能力。

目前,大部分浏览器像IE、chrome、以及大部分基于chrome开发的浏览器,仅支持RSA算法的HTTPS协议。

HTTPS协议是基于安全套接字SSL协议,封装的HTTP服务。原始的http协议,数据是明文传输的,用户和服务器之间的传输可能会被监听者截获。但是HTTPS协议,实现了HTTP数据加密,即使截获了HTTPS的报文数据,也不清楚报文的内容。

为什么要对HTTP加密?

局域网嗅探就是一种最简单的数据截取协议,通信信息很容易被他人截获,传输重要信息如口令、个人隐私等也就泄露给别人。HTTPS是一种HTTP加密协议。

HTTPS协议是否安全?

这里仅介绍一下加密算法的安全性。例如,服务端的证书算法采用RSA算法,密钥钥长度1024位,HTTPS协议中客户端会用服务端1024位的公钥加密会话密钥,发送给服务器,服务端用自己的私钥解密,此时客户端和服务端用共享的会话密钥,之后客户端和服务端会采用对称加密算法加密通信数据。

安全性问题出在,密钥长度是1024RSA算法目前已经被证实是不安全的,黑客截取密文数据,暴力破解了加密会话密钥,就可以恢复用会话密钥加密的通信数据。

而RSA算法安全性,目前和密钥的长度相关的,密钥越长越不容易被破解。

服务器证书是什么?

服务器证书是权威认证机构颁发给站点的数字证书,包含了服务器的公钥。证书对应的私钥只有服务器可读取。在HTTPS协议中,客户端即浏览器,会要求服务器向客户端发送的服务器证书,浏览器会先比较证书的主题项和服务器的ip地址或域名是否一致。如果不一致,浏览器就会弹出报警。客户端还会校验证书的合法性,校验服务器证书的签名确实由权威认证机构CA签发。

因此,服务器证书是可以替换的,可以选择一家CA签署服务证书,并配置在中间件里,如Nginx、Apche、Tomcat等。

什么是不安全的连接?

client会用权威机构的证书,验证服务器的证书是否有效。这个原理是,信任了权威机构CA的证书,权威机构签发了服务器证书,我只需要验证证书是不是真的,不是伪造的,我就可以信任服务器的域名或名字了,是针对钓鱼网站的情况。

权威机构的证书需要预置在客户端的系统中,在操作系统的证书管理中,或者浏览器自身的证书库中。

还有可以通过系统管理员权限,将CA证书加入信任区。

回到第一个问题,有没有RSA国产数字证书?

我国对认证服务机构实行认证机制,CA的根必须由国家密码管理局的根(root)签发。

访问www.rootca.gov.cn,有4个国密局管理的国家根,第一个即社会服务应用根(RSA),密钥长度2048。

什么是RSA国产数字证书?_第1张图片

目前,国密RSA根签发的二级运行CA大部分已失效,这些CA也没有提供SSL证书的服务。

什么是RSA国产数字证书?_第2张图片

解决服务器证书问题,还要继续推进基于国密SM2算法的HTTPS 和支持国密SM2算法的浏览器,早日实现国密算法的普及。

 

 

 

你可能感兴趣的:(数字证书,认证服务)