巧选服务器证书三：SSL服务器证书品质篇

安全加密、身份验证缺一不可

经由第三方CA数字认证中心颁发的SSL服务器证书作为一项成熟的安全技术被普遍应用互联网上。为什么数字证书要有第三方CA数字认证中心颁发？这就好比我们的身份证，只有公安局才有资格制作个人身份证，因为它是有公信力的政府部门。在虚拟的互联网上，SSL服务器证书作为一种安全手段，在商业上就需要一个大家公信的第三方组织提供信任服务，承担起发制作和发放数字证书工作。

尤其目前电子商务交易活动的频繁，安全风险问题日益突出。当我们进行在线交易时，仅仅应用加密还远远不够，我们还需要在客户和合作伙伴间建立起彼此互信，因此身份的确认也就必不可少。我们在进行交易时，我们必须回答如下问题：

1、你是谁？（身份信息要求） 2、你属于哪个组织？你是一个可信的合作伙伴吗？（组织是否可以信任） 3、你怎样证实你的身份（经过谁的验证）

在实际操作过程中，一些CA机构认为提供SSL加密就足以确保网站的安全性帮助其建立企业与客户间的信任。但实际情况并非如此，高端服务器证书（经过身份鉴证数字证书）和低端服务器证书（未经身份验证的服务器证书）间在建立客户信心上在巨大差异。国际知名数字的数字证书服务提供商VeriSign从成立以来只提供经由严格身份验证的服务器证书，配备了VeriSign服务器证书的网站，不但得到了安全加密保护，更可以在网站上出示VeriSign安全站点签章标志，客户可以通过点击该标志实时查看数字证书的状态、数字证书颁发机构及网站持有者的详细信息。

这些真实详细网站信息对于网民来说意义重大，它向外部传递了一个一致的信息，那就是该网站身份可信并且交易安全。也正是因为VeriSign一贯严格的身份鉴证策略，只提供高端服务器证书，成就了VeriSign站点签章标志成为了当前互联网上最为可信的安全站点标志。每天超过1.5亿次站点签章标志的浏览次数充分的验证了上述问题。

如何获取一张经过严格身份验证的SSL服务器证书

不同的CA数字证书机构在身份鉴别上有着不同的策略，作为行业的领先者VeriSign一贯严格的身份鉴证，其身份鉴证方式在多年来的实践中经受住了充分的考验，其证书在整个互联网上拥有者极高的认知度。要想获得一张数字证书，申请者至少要提交如下资料：

1、提交组织真实信息已证实组织是合法成立的机构 2、提交信息以证明组织是该域名的合法拥有者，服务器证书有权使用该域名地址 3、验证SSL服务器证书申请者作为企业的正式成员的真实身份并被组织授权申请证书

低端服务器证书（未经身份验证）的安全威胁

中国市场上存在的低端SSL服务器证书与国际上的低端证书稍有差别，或准确地说是不入流的服务器证书，该类证书被作为一项安全技术开发出来，证书可能是网站自行发放的，身份验证及加密强度均无法得到有效保障，我们的浏览器一般会自动感应该类证书，并探出安全警告提示，提醒访问者注意网站安全。

因此，该类证书的市场份额并不太，并在日益萎缩。这里我们就暂不考虑其影响，我们常说的低端服务器证书，指的是依然为可信第三方CA数字证书机构颁发的，只是未经过证书为经过身份验证。在IE7.0以前的版本中，如果数字证书来自可信的第三方数字证书机构，浏览器将不会弹出安全提示告知用户网站存在安全威胁，不管是高端的服务器证书还是低端的服务器证书均会显示“锁型安全标志”，除非我们点击小锁或安全站点标志才可以验证网站的详细身份信息。

如果一个假冒网站申请了一个与仿冒网站相似的域名，并了购买低端服务器证书（只验证域名信息，10分钟完成签发），网站同样会显示安全锁型标志，再加上以假乱真的页面，致使钓鱼网站依然猖獗，一旦输入隐私信息，如账户或密码信息，后果依然严重。