基本介紹
網站安全證書（即SSL證書，以下統稱SSL證書）通過在客戶端瀏覽器和Web伺服器之間建立一條SSL安全通道（Securesocketlayer(SSL)安SSL證書
全協定是由NetscapeCommunication公司設計開發。該安全協定主要用來提供對用戶和伺服器的認證；對傳送的數據進行加密和隱藏；確保數據在傳送中不被改變，即數據的完整性，現已成為該領域中全球化的標準。由於SSL技術已建立到所有主要的瀏覽器和WEB伺服器程式中，因此，僅需安裝伺服器證書就可以激活該功能了）。即通過它可以激活SSL協定，實現數據信息在客戶端和伺服器之間的加密傳輸，可以防止數據信息的泄露。保證了雙方傳遞信息的安全性，而且用戶可以通過伺服器證書驗證他所訪問的網站是否是真實可靠。
數位簽名又名數字標識、簽章(即DigitalCertificate，DigitalID)，提供了一種在網上進行身份驗證的方法，是用來標誌和證明網路通信雙方身份的數字信息檔案，概念類似日常生活中的司機駕照或身份證相似。數字簽名主要用於傳送安全電子郵件、訪問安全站點、網上招標與投標、網上籤約、網上訂購、安全網上公文傳送、網上辦公、網上繳費、網上繳稅以及網上購物等安全的網上電子交易活動。
一般說來，在網上進行電子商務交易時，交易雙方需要使用數字簽名來表明自己的身份，並使用數字簽名來進行有關的交易操作。隨著電子商務的盛行，數位簽章的頒發機構CA（如GlobalSign）中心將為為電子商務的發展提供可靠的安全保障。
一個有效、可信的SSL數字證書包括一個公共密鑰和一個私用密鑰。公共密鑰用於加密信息，私用密鑰用於解譯加密的信息。因此，瀏覽器指向一個安全域時，SSL將同步確認伺服器和客戶端，並創建一種加密方式和一個唯一的會話密鑰。一般而言，由CA業者發出的數字證書，有別於國內瀏覽器業者比對域名信息等方式，採取更為嚴格的企業及所有權驗證，為電商環境樹立更為可信的運作環境。
認證原理
安全套接字層(SSL)技術通過加密信息和提供鑒權，保護您的網站安全。一份SSL證書包括一個公共密鑰和一個私用密鑰。公共密鑰用於加密信息，私用密鑰用於解譯加密的信息。瀏覽器指向一個安全域時，SSL同步確認伺服器和客戶端，並創建一種加密方式和一個唯一的會話密鑰。它們可以啟動一個保證訊息的隱私性和完整性的安全會話。
證書功能
a確認網站真實性（網站身份認證）：用戶需要登錄正確的網站進行線上購物或其它交易活動，但由於網際網路的廣泛性和開放性，使得網際網路上存在著許多假冒、釣魚網站，用戶如何來判斷網站的真實性，如何信任自己正在訪問的網站，可信網站將幫你確認網站的身份。
b保證信息傳輸的機密性：用戶在登錄網站線上購物或進行各種交易時，需要多次向伺服器端傳送信息，而這些信息很多是用戶的隱私和機密信息，直接涉及經濟利益或私密，如何來確保這些信息的安全呢？可信網站將幫您建立一條安全的信息傳輸加密通道。
其實現原理圖如下圖1所示：
在SSL會話產生時，伺服器會傳送它的證書，用戶端瀏覽器會自動的分析伺服器證書，並根據不同版本的瀏覽器，從而產生40位或128位的會話密鑰，用於對交易的信息進行加密。所有的過程都會自動完成，對用戶是透明的，因而，伺服器證書可分為兩種：最低40位和最低128位（這裡指的是SSL會話時生成加密密鑰的長度，密鑰越長越不容易破解）證書。
最低40位的伺服器證書在建立會話時，根據瀏覽器版本不同，可產生40位或128位的SSL會話密鑰用來建立用戶瀏覽器與伺服器之間的安全通道。而最低128位的伺服器證書不受瀏覽器版本的限制可以產生128位以上的會話密鑰，實現高級別的加密強度，無論是IE或Netscape瀏覽器，即使使用強行攻擊的辦法破譯密碼，也需要10年。
證書分類
SSL證書依據功能和品牌不同分類有所不同，但SSL證書作為國際通用的產品，最為重要的便是產品兼容性（即證書根預埋技術），因為他解決了網民登錄網站的信任問題，網民可以通過SSL證書輕鬆識別網站的真實身份。目前國際上，常見的證書品牌如VeriSign、GeoTrust等均可以實現該技術。我們以VeriSign證書為例，該類證書分為如下品類：
1、VeriSign128位SSL支持型證書(VeriSignSecureSite)
2、VeriSign128位SSL強制型證書(VeriSignSecureSitePro)
3、VeriSign128位EVSSL支持型證書(VeriSignSecureSitewithEV)：支持綠色地址欄技術
4、VeriSign128位EVSSL強制型證書(VeriSignSecureSiteProwithEV)：支持綠色地址欄技術VeriSign伺服器證書除有以上幾種常見類型外，還包括有多域名證書Multi-domaincertificate，通配符證書VeriSignwildcardcertificate。
數據結構
Certificate證書
--Version版本
--SerialNumber序列號
--AlgorithmID算法標識
--Issuer頒發者
--Validity有效期
>NotBefore有效起始日期
>NotAfter有效終止日期
--Subject使用者
--SubjectPublicKeyInfo使用者公鑰信息
--PublicKeyAlgorithm公鑰算法
--SubjectPublicKey公鑰
--IssuerUniqueIdentifier(Optional)頒發者唯一標識
--SubjectUniqueIdentifier(Optional)使用者唯一標識
--Extensions(Optional)擴展
...
CertificateSignatureAlgorithm證書籤名算法
CertificateSignature證書籤名
工作流程
證書如何操作
--用戶連線到你的Web站點，該Web站點受伺服器證書所保護。（可由查看URL的開頭是否為"https:"來進行辯識，或瀏覽器會提供你相關的信息）。
--你的伺服器進行回響，並自動傳送你網站的數字證書給用戶，用於鑑別你的網站。
--用戶的網頁瀏覽器程式產生一把唯一的"會話鑰匙碼"，用以跟網站之間所有的通訊過程進行加密。
--使用者的瀏覽器以網站的公鑰對交談鑰匙碼進行加密，以便只有讓你的網站得以閱讀此交談鑰匙碼。
--現在，具有安全性的通訊過程已經建立。這個過程僅需幾秒中時間，且使用者不需進行任何動作。依不同的瀏覽器程式而定，使用者會看到一個鑰匙的圖示變得完整，或一個門栓的圖示變成上鎖的樣子，用於表示目前的工作階段具有安全性。
如何申請SSL證書
申請SSL證書主要需要經過以下3個步驟：
1、製作CSR檔案。SSL證書CSR就是CertificateSecureRequest證書請求檔案。這個檔案是由申請人製作，在製作的同時，系統會產生2個密鑰，一個是公鑰就是這個CSR檔案，另外一個是私鑰，存放在伺服器上。要製作CSR檔案，申請人可以參考WEBSERVER的文檔，一般APACHE等，使用OPENSSL命令行來生成KEY+CSR2個檔案，Tomcat，JBoss，Resin等使用KEYTOOL來生成JKS和CSR檔案，IIS通過嚮導建立一個掛起的請求和一個CSR檔案。
2、CA認證。
將CSR提交給CA，CA一般有2種認證方式：1、域名認證，一般通過對管理員信箱認證的方式，這種方式認證速度快，但是簽發的證書中沒有企業的名稱；2、企業文檔認證，需要提供企業的營業執照。一般需要3-5個工作日。也有需要同時認證以上2種方式的證書，叫EV證書，這種證書可以使IE7以上的瀏覽器地址欄變成綠色，所以認證也最嚴格。
3、證書的安裝。
在收到CA的證書後，可以將證書部署上伺服器，一般APACHE檔案直接將KEY+CER複製到檔案上，然後修改HTTPD.CONF檔案；TOMCAT等，需要將CA簽發的證書CER檔案導入JKS檔案後，複製上伺服器，然後修改SERVER.XML；IIS需要處理掛起的請求，將CER檔案導入。
證書套用
全球備受信任的網路基礎架構供應商——威瑞信（VeriSign）公司宣布，電子付款方案供應商聯款通（AsiaPay）採用威瑞信（VeriSign）擴展驗證SSL（EVSSL）證書，進一步確保電子商務收付款機制安全，並提高消費者對網上交易的信心。
證書介紹
extendedvalidationsslcertificates翻譯為中文即擴展驗證（EV）SSL證書，該證書經過最徹底的身份驗證，確保證書持有組織的真實性。獨有的綠色地址欄技術將循環顯示組織名稱和作為CA的VeriSign名稱，從而最大限度上確保網站的安全性，樹立網站可信形象，不給欺詐釣魚網站以可乘之機。
對線上購物者來說，綠色地址欄是驗證網站身份及安全性的最簡便可靠的方式。在IE7.0、FireFox3.0、Opera9.5等新一代高安全瀏覽器下，使用擴展驗證（EV）SSL證書的網站的瀏覽器地址欄會自動呈現綠色，從而清晰地告訴用戶正在訪問的網站是經過嚴格認證的。此外綠色地址欄臨近的區域還會顯示網站所有者的名稱和頒發證書CA機構名稱，例如VeriSign。所有的一切，均向客戶傳遞同一信息，該網站身份可信，信息傳遞安全可靠，而非釣魚網站。
通過使用由業界最嚴格的鑒權方式和信息基礎架構提供支持的證書，向網站訪問者表明您格外重視安全性。其中值得關注的便是VeriSignSecured簽章，擁有SSL伺服器證書的網站均可以在頁面上展示該標誌，該簽章通過技術手段保障非法假冒網站無法複製，最值得信任的網際網路安全標誌。目前VeriSign（威瑞信）在國內通過其合作夥伴天威誠信提供該項服務。
