如何选择SSL证书,它们之间的区别是什么?

图片[1] - 如何选择SSL证书,它们之间的区别是什么? - 聚问天空网
如何选择SSL证书

对于网站来说,从安全的角度出发,使用HTTPS协议是必须的。也就是意味着需要SSL证书,而很多新手被五花八门的SSL证书难住了,这里将介绍如何选择SSL证书以及它们有什么区别。

TLS服务器证书

开始本文内容之前,首先要弄明白TLS是什么。

传输层安全性协议 (Transport Layer Security,缩写:TLS),它是使两个联网应用程序或设备能够安全可靠地交换信息的标准。也就是说,从服务器到浏览器之前,如果都使用TLS协议才能安全连接。

现在所有浏览器都支持TLS协议(已完全淘汰的除外),它们都要求服务器提供一个有效的digital certificate(数字证书) 来确认身份以建立安全连接。

服务器通常以域名形式在互联网上提供服务,服务器证书上主体的通用名称就会是相应的域名,相关机构名称则写在组织或单位一栏上。服务器证书(包括公钥)和私钥会安装于服务器(例如Apache、Nginx),等待客户端连接时协议加密细节。

通俗的理解,就是浏览器和服务器通过TLS协议安全连接时,需要一个证书来进行协议加密。

如何选择SSL证书种类

SSL证书分为DV、OV、EV,它们分别是域名型、企业型和增强型。

除了DV(域名型)之外,另外两种证书在申请的时候,除了要对域名所有权进行验证之外,还需要对企业身份进行验证。

EV(增强型)证书还会在浏览器上显示完整的单位名称,例如:xx有限责任公司。

从建设网站的角度来讲,如果仅仅是为了TLS协议需要,也就是实现HTTPS连接的话,DV、OV、EV三种证书是一样的,没有什么区别。

这三种证书中,DV证书是最便宜的,甚至是免费的,如果没有特殊要求,使用DV证书就可以了。除非是一些大型企业或金融等机构平台,需要增强用户对网站的可信度而使用OV或EV证书。

扩展阅读:一文读懂DV SSL、OV SSL、EV SSL三种SSL证书

如何选择SSL证书的域名类型

以上介绍的三种SSL证书,均包含单域名、多域名、泛域名三种域名类型。这个就很好理解了,就是一个证书可绑定的域名限制。

单域名证书仅支持绑定一个二级域名或者子域名,例如:www.jwsky.com、cdn.jwsky.com、a.jwsky.com,仅能绑定其中一个。

多域名证书则支持绑定多个二级域名或者子域名,例如:jwsky.com、www.jwsky.com、abc.com,共计为3个域名,可以使用同一个多域名证书。

泛域名证书支持带通配符的域名,例如:*.jwsky.com,同时包含jwsky.com。

在Apache、Nginx或IIS等WEB服务器中,一个站点只能配置一个SSL证书,所以在选择证书的时候,要根据站点绑定的域名来决定SSL证书的域名类型。

如何选择SSL证书的国密标准或国际标准

国密标准使用SM2 国产密码算法和国密安全协议,这是一种新标准,暂时还未得到所有浏览器的兼容,一般网站不推荐使用,适合对国密合规性有要求的网站。

国际标准支持 RSA 或 ECC 算法,兼容性好、速度快。推荐所有网站使用。

如何选择SSL证书的品牌

在国内市场比较常见的SSL证书品牌有:亚洲诚信(TrustAsia)、GlobalSign、沃通电子(WoTrus)、GeoTrust、SecureSite、腾讯云 DNSPod、Baidu Trust等。

不同品牌的证书价格从免费到几万甚至上十万都有,无论是哪一种品牌,对于网站安全来说,主要是浏览器的兼容情况。其它的价值都是可选的附加价值,例如赔付保额等。

那些大品牌证书之所以值钱,大致有两个原因,其一是根证书得到最广泛的浏览器支持。因为一个新的根证书发布,要得到所有主流浏览器/操作系统支持是一个漫长的过程,就算这些主流浏览器/操作系统都支持了,但以前的旧版本依然不能支持,要等旧版本用户全部升级到新版本又是一个漫长的过程。

另一个原因是证书品牌本身的公信力。假设使用了一个很小众的EV(增强型)证书,在浏览器地址栏上有标识企业完整名称,用户依然会产生怀疑。

这里推荐两个能得到所有主流浏览器支持的免费SSL证书(DV):Let’s Encrypt、亚洲诚信(TrustAsia)。

  • Let’s Encrypt的优缺点:免费支持泛域名,但证书有效期只有90天,到期后需续期或重新申请。
  • 亚洲诚信(TrustAsia)的优缺点:有效期1年,但免费版不支持泛域名。
© 版权声明
THE END
喜欢就支持一下吧
点赞8 分享
评论 抢沙发

请登录后发表评论