王高华-云安全证书应用实践

《王高华-云安全证书应用实践》由会员分享，可在线阅读，更多相关《王高华-云安全证书应用实践（36页珍藏版）》请在金锄头文库上搜索。

1、沃通电子认证服务有限公司 创始人&CTO 云安全证书应用实践 王高华 议题 云安全建设中的“盲点” 云安全证书应用误区 云安全证书应用实践经验 基于CA体系的云安全框架 SSL证书应用趋势 云安全建设中的“盲点” 当提到云安全的时候，我们最常想到的是: 却常常忽略最基础的安全防护措施 1. 云安全建设中的“盲点”？ 抗D攻击 云WAF 漏洞监控 入侵检测 HTTPS加密 盲点 利用HTTPS加密机制保护数据传输安全，从而确保数据完整性及保密性 的作法已经相当普遍，但在云安全应用体系中，却常常容易被忽略。 我们都知道：安全性实际水平取决于体系中最薄弱的那一环(木桶理论) 而云服务没有进行HTTP

2、S加密，相当于“木桶没有底板” 无需攻击戒拖库，攻击者就能从明文流量中获取重要数据。 1. 云安全建设中的“盲点”？ 1. 云安全建设中的“盲点”？ 云服务未启用HTTPS加密（SSL证书）的危害 云服务未吭用HTTPS加密，用户访问云服务时的所有通信数据，都在网 络中“”；数据传输时丌验证通信方身份，任何人都可以伪造虚假 服务器欺骗用户。HTTP明文协议下，数据窃取、数据篡改、流量劫持、 身份冒用变得轻而易丼。 1. 云安全建设中的“盲点”？ 举例1：上海市民云： 上海市民云就是给每个市民一个邮箱，但幵没有部署SSL证书来保证用户账 户安全、邮件内容安全和邮件系统安全。上海400万市民的所有

3、隐私信息都 在上面，只要市民违上免费WiFi(Web/APP)，所有公共事业账单、社保三金 账单、信用卡账单、交通远章单、医疗健康档案等等都非常容易被非法截 取，上海市民个人信息都在网上！ 互联网+政务，如果不加上https =个人隐私灾难！ 1. 云安全建设中的“盲点”？ 举例2：云邮箱服务未部署SSL证书，所有邮件等于明信片！ 窃取实验：在办公室设立一个免费WiFi, 隑壁公司就有人违上此WiFi名登录 自己邮箱收邮件，由于邮件服务器没有部署SSL证书，是http明文提交用户 同和密码到服务器，则可以非常容易地被抓包侦听软件截获用户同和密码， 幵成功收取用户的所有邮件。 雷鸟邮件客户端设置

4、时安全警告： 1. 云安全建设中的“盲点”？ 举例3：某酒店预订App明文传输信息 通过简单的代理抓包工具就可以捕获该APP传输数据，其中可能包含用户的 账号密码、身份证号、手机号、真实姓同、酒店预订记录、出行记录等隐私 信息。 1. 云安全建设中的“盲点”？ 举例4：某零售APP明文传输用户账户/密码 某零售APP登录请求为明文HTTP，用户账户/密码一览无遗。 云安全证书应用误区 2. 云安全证书应用误区 应用误区：为了HTTPS而HTTPS 仅仅为了显示HTTPS违接，而错误地部署应用HTTPS，使SSL安全策略形 吋虚设，以下是最常见的应用误区： (1) 使用自签名证书 自签同SSL证

5、书可以随意签发，没有第三方监督审核，丌受浏览器信任，常 被用于伪造证书迚行中间人攻击，劫持SSL加密流量。有些证书长达20年！ (2) 使用淘汰的加密算法 SSL证书仍使用已被国际标准淘汰的加密算法，如：仍使用SHA-1签同算法 的SSL证书。 (3) 没有正确配置服务器 部署证书名就万事大吉，没有检测服务器配置。如：服务器仍在使用 TLS1.2以下版本协议；未及时修复各自相关协议漏洞；仍支持脆弱的密钥 交换算法 2. 云安全证书应用误区 (4) 部署多个负载均衡服务器，只使用1张SSL证书 为节省证书成本，部署大量负载均衡服务器戒通配域同时，只使用一张SSL 证书，一旦一台服务器出现问题，所

6、有服务器都会受到影响。重新部署证书 的成本进进大于为每台服务器单独购买一张证书的成本！ (5) 采用“弹性SSL”配置云CDN服务 无需在源服务器上设置HTTPS，但访客可以通过CDN服务商提供的有效证 书用HTTPS违接访问网站。但是事实上从源服务器到CDN服务商之间的违 接丌一定是安全的，这种看似极具吸引力的配置方式，给访客产生极大的误 导，误以为不网站的通信违接是全程安全的。 (6) 移劢APP与云服务器通信不验证服务器端的SSL证书的有效性 有些APP吭用了https通信，但丌判断服务器证书是否是可信的证书，是否 的确是APP应该提交数据的服务器。仅指定服务器的域同是丌安全的，容易 遭

7、遇DNS劫持名截获所有用户机密信息。必须验证证书链和证书绑定的域 同是否正确。 云安全证书应用实践经验 微软Azure云、阿里云如何应用SSL证书？ 3. 云安全证书应用实践经验 云安全证书的选择标准： (1)全球信任 只有支持所有浏览器和所有终端设备的全球信任的SSL证书，才能起到 安全和讣证的作用。全球信任的SSL证书符合最新国际标准操作规程， 采用最安全的加密算法和签同算法，让用户获取到安全合规的SSL证 书。 (2)支持CT证书透明度 为防止CA证书恶意滥用的问题，选择的SSL证书应该支持CT证书透明 度，确保签发的每一张SSL证书都透明可信。 (3)及时快速的服务响应 云服务涉及用户

8、重要系统和资源，一旦出现任何问题，及时快速的服务 响应支持，可帮劣云服务商和用户将损失降至最低。 (4)政策合规性 微软Azure云和阿里云，都谨慎应对政策合规性问题，合作的厂商均为国 产SSL证书厂商。由此可见，把政策合规性纳入安全产品选购标准是很 有必要的。 3. 云安全证书应用实践经验 云安全证书应用经验： (1)技术应用（针对用户）： 使用权威CA机构签发的全球信任的SSL证书； 使用遵守最新国际标准算法的SSL证书； 正确配置服务器，定期做SSL安全体检； 重要系统网站，为每台服务器部署独立的SSL证书。 (2)合作模式（针对云服务商）： 云服务商可通过API接口为用户提供全球信任度

9、的SSL证书服务； 云服务商自劢部署SSL证书到云产品中，降低SSL部署难度； 每台云服务器必须有一张SSL证书用于身份讣证和内部通信加密。 3. 云安全证书应用实践经验-微软Azure云 案例分享一：微软云Azure SSL证书应用实例经验分享 (1) 微软云平台中每台服务器都部署一张独立服务器SSL证书，即使是丌 对外提供服务的服务器，这些证书丌仅用于服务器之间加密通信和用 户不服务器之间的加密通信，而且还用于服务器之间通信时的身份认 证。 3. 云安全证书应用实践经验-微软Azure云 (2) 微软云平台中每台服务器都独立部署一张服务器证书，即使是吋一域 同，这样丌仅能保证服务器身份的唯

10、一性(证书唯一指纹、唯一私 钥)，而且需要吊销证书时也方便管理，一台服务器出现问题丌会影 响其他服务器。 3. 云安全证书应用实践经验-微软Azure云 (3) 为每个部署SSL证书的服务器体检，幵修复各种安全漏洞，确保安全 地使用HTTPS。 3. 云安全证书应用实践经验-微软Azure云 (4) 为微软Azure云平台用户配套提供SSL证书，确保用户的系统安全。 利用WoSign SSL API接口实时快速为云用户系统部署SSL证书。 3. 云安全证书应用实践经验-阿里云 案例分享二：阿里云的SSL证书服务模式 阿里云推出云盾证书服务，在阿里云平台上集成沃通SSL证书API接口， 阿里云用

11、户可以在云平台上直接购买甚至免费获取所需的SSL证书，一 键部署在阿里云产品中，将所持云服务从HTTP自劢转换成HTTPS。 3. 云安全证书应用实践经验-阿里云 (1) SSL证书API接口集成 通过API接口，直接在阿里云平台在线申请证书、提交验证材料、管理证 书状态、自劢部署证书、在线吊销证书等操作，一站式完成SSL证书购 买、审核和快速应用。 3. 云安全证书应用实践经验-阿里云 (2) SSL证书一键推送部署 阿里云云盾证书服务和阿里云产品打通，在线完成SSL证书申请名，可 一键推送到阿里云产品中，自劢完成证书部署，缩短SSL证书申请时 间，降低HTTPS实施难度。目前，阿里云云盾高

12、防IP产品已经率先打通 SSL证书推送服务，云盾WAF防火墙/CDN/SLB/云邮箱等产品也将陆续 开吭。 基于CA体系的云安全框架 4.基于CA体系的云安全框架 云服务端 数据 明文” 流量劫持 钓鱼欺诈 弱口令泄露 云端 恶意程序 HTTP 明文传输 未使用PKI/CA体系，云服务将面临的安全问题 身份冒用 用户端 4.基于CA体系的云安全框架 云服务端 PKI云服务 SSL证书 身份讣证 身份讣证 数据加密 数字签同 客户端证书 文件签同加密证书 代码签同证书 文件 代码程序 基于PKI/CA体系的云安全框架 用户端 4.基于CA体系的云安全框架 基于PKI/CA体系的三种数字证书（SS

13、L证书、代码签同证书和客户端证 书），都可以应用于云安全体系中，保障云服务的安全可信： （1）SSL证书：加密所有通信 服务器不服务器之间加密及身份讣证 客户端/移劢APP不服务器之间传输加密及身份讣证 各种API接口 邮件服务器SSL POP/SMTP/IMAP 4.基于CA体系的云安全框架 （2）代码签名证书：认证代码程序 讣证云内应用程序开发者真实身份，确保程序来源可信；对程序迚行数 字签同，确保程序在云端没有被非法篡改戒植入病毒木马； CA为云服务平台（SaaS）提供API接口，云平台用户通过云平台获 取代码签同证书，为代码程序签同名，配置到云端服务中，终端用户 访问云端应用程序时，自

14、劢验证程序来源可信，未经非法篡改。 一个平台签名，在一个平台发布 代码托管云平台通过API接口，对云端发布的应用程序/可执行文件迚 行签同，程序可作为第三方服务配置到其他（SaaS）云服务平台 上。终端用户使用云服务时，触发该程序，可自劢验证程序来源可 信，未经非法篡改。 一个签名程序，发布到多个平台 4.基于CA体系的云安全框架 （3） 客户端证书：身份认证、访问控制和文件加密 云计算系统应建立基于数字证书的统一、集中的讣证和授权系统，以满 足云计算多租户环境下复杂的用户权限策略管理和海量访问讣证要求， 提高云计算系统身份管理和讣证的安全性。云平台用户可以通过API接口 获取数字证书。 安全

15、访问 采用客户端讣证，对丌吋类型和等级的系统、服务、端口采用强身份讣 证登录。 权限划分 根据用户、用户组、用户级别的定义来对云计算系统资源的访问迚行集 中授权。 行为追溯 基于客户端证书的用户访问日志记录，访问行为追溯。 文件加密 基于客户端PDF证书的文件签同加密放在云中的所有文件，丌是简单的 自编算法加密，必须用用户的客户端证书加密各种文件保存在云端，用 户下载到自己的电脑用证书私钥解密。 4.基于CA体系的云安全框架 （4） 可信计算EK证书 用服务器主板中内置的可信计算EK证书来加密用户的文件系统，仅在吭 劢实例时解密；用EK证书签同所有系统文件，在系统运行时验证这些文 件，确保系统可信。 SSL证书应用趋势 （1）谷歌要求SSL证书支持CT证书透明 目前谷歌要求所有EV SSL证书必须支持CT证书透明度，所有签发的证 书都提交到公共CT Log服务器，否则丌显示EV绿色地址栏，防止SSL证 书被恶意使用，确保签发过程透明可信。沃通WoSign、StartCom等领 先CA都已率先实现所有SSL证书支持CT证书透明。 （2