《政府网站发展指引》发布，SSL证书保障政府网站安全

2015年6月8日，美国政府也曾针对政府公共服务网站安全问题，发布了HTTPS-Only标准，使HTTPS成为其美国公共网站联邦安全标准，极大推动了美国政府网站从HTTP迁移到HTTPS的安全进程。我国《指引》也同样对网站加密传输提出了明确要求，有望推动政府网站安全建设快步前进。

《指引》对政府网站的安全要求

《指引》对政府网站明确提出了以下几项安全要求：

Ÿ    · 利用对称、非对称的加密技术，对网站数据进行双重加密

Ÿ    · 防范并及时处理假冒政府网站

Ÿ    · 使用符合国家密码管理政策和标准规范的密码算法和产品，



通过HTTP明文协议传输的数据，相当于在网络中“裸奔”，随时处在被拦截、篡改、冒充的风险中，而SSL/TLS协议就是为了解决这三大风险而设计的。



SSL/TLS协议是一种实现网络通信加密的安全协议，可在客户端和服务器端之间建立一条加密通道，对网站数据进行加密传输，防止数据被窃取或篡改，提升政府网站防篡改、防劫持、防泄密的能力。


[img]http://dl2.iteye.com/upload/attachment/0125/4548/8e254849-c4cd-3106-92ad-8434486ba2c5.png" alt="[/img]


SSL证书是由第三方可信证书颁发机构（沃通CA），认证网站服务器身份后颁发的数字证书。网站部署全球信任的SSL证书后，所有浏览器都会自动向用户展示网站身份认证信息，让用户轻松识别政府网站真实身份，防范假冒政府网站。

如下图，工业和信息化部信息中心的邮件系统，使用了沃通超真SSL Pre证书，可通过证书详细信息确认网站真实身份。

[img]http://dl2.iteye.com/upload/attachment/0125/4550/689f30bc-dfb1-3942-9c00-2bacba8d4b96.png" alt="[/img]


Ÿ 3)  双向认证控制访问权限


[img]http://dl2.iteye.com/upload/attachment/0125/4552/f31545a2-f121-3337-adc4-76b242dcf404.png" alt="[/img]


沃通CA针对政府推出的 PKI/CA 产品外包托管服务，让政府无需投入昂贵的 PKI 系统，也无需配备专业的 PKI技术人才，通过证书管理平台管理政府机构所需的各种数字证书，实现创建、生成、分发、部署、撤销等全生命周期管理。



SSL证书可有效解决假冒网站、流量劫持、数据泄露和数据篡改等安全问题，已成为全球网站安全建设的基本配置，但目前我国政府网站的SSL证书部署情况仍然堪忧。截至2017年4月，沃通CA针对已解析到gov.cn的68931个政府网站进行分析统计，结果显示88%的政府网站未部署SSL证书，5%的政府网站证书已过期或无效，4%的政府网站部署非常不安全的自签名证书，仅3%的政府网站部署了有效的SSL证书。而部署了有效SSL证书的网站中，仍存在一些部署问题，例如证书绑定域名与使用证书的网站域名不符等情况。

[img]http://dl2.iteye.com/upload/attachment/0125/4554/8c5dadbe-caeb-34f2-bd53-aca120eb106e.png" alt="[/img]



[/b]