正   文

CFCA入根苹果 国产SSL证书NO.1诞生!

  

  北京时间2016年10月25日凌晨,苹果公司对外发布了iOS10.1正式版,与旧版相比,新版IOS有了很多新变化。尤其值得关注的是,自该版本起,苹果系统根证书库接纳了CFCA(中国金融认证中心)全球信任体系SSL证书的根证书。这意味着IOS和Mac OS已开始信任由这家中国CA颁发的SSL证书、意味着我国也拥有了支持全浏览器平台的SSL证书产品、意味着信息安全产品国产化的又一重大突破。

CFCA入根苹果 国产SSL证书NO.1诞生!

CFCA EV SSL证书在苹果IOS系统Safari浏览器中的展示效果

  SSL证书(亦称服务器证书)是网络信息安全重要的基础性产品,通过部署SSL证书,网站可以实现HTTPS流量加密和安全身份认证。目前,欧美地区过半的网络流量都经过HTTPS加密,英美等国家更是强制要求本国的政务类网站安装SSL证书。我国网站的SSL证书普及率虽然较低,但随着各大企业、机构对网络安全的愈发重视,国内SSL证书的需求量近年来出现大幅增长。一直以来,企业通常会选择国外CA颁发的SSL证书,主要原因是国外证书的功能更完善。而SSL证书功能完善的核心就是根证书植入全球四大根证书库,即支持以微软IE、Mozilla火狐、谷歌安卓、苹果IOS为代表的所有主流PC端及移动端浏览器平台。而这,恰恰是国产SSL证书的最大短板。

  如果让国产SSL证书比肩国外证书,国内CA机构需要完成以下工作:

  (1)根据国际标准,建立根证书体系,一个系统一般要同时满足2~3个国际标准;

  (2)由专门的国际审计公司(比如普华永道,毕马威)审计根证书系统是否达标,如通过审计,CA就可以取得国际Webtrust认证;

  (3)入根。CA必须将根证书植入到四大浏览器厂商的根证书管理机构中,即微软、Mozilla、安卓、苹果,这样才能在这些系统的浏览器中显示信任。

  由于SSL证书体系门槛较高,所以在国内近40家CA中,目前仅有5家CA拥有经过Webtrust审计的SSL证书产品,而入根工作则是国产证书面临的最大难题。入根是一项长期、复杂的系统性工作,浏览器厂商对于CA的入根申请都抱着极为谨慎的态度,要经过长期考察才会做出决定。而国内CA因在SSL领域起步较晚,入根申请均在近年提出,也缺乏与国际浏览器厂商沟通的管道和经验,所以往往只完成了部分浏览器的入根,甚至入根工作已陷入停滞。在CFCA入根IOS前,尚未有一家中国CA将在国内自建的根证书系统植入所有主流浏览器的证书库。

  一方面,国家大力扶持信息安全产品国产化,大量企事业单位也有使用国产SSL证书的强烈需求,特别是一些政务网站和涉密机构。另一方面,国产证书仅获部分浏览器信任,存在功能缺陷。例如,一家电商网站申请了一张国产SSL证书,而该证书未获得IOS系统的信任。一旦用户通过IOS的safari浏览器登陆该网站购物,safari浏览器即提示用户该网站的SSL证书不可信,这种严重影响用户体验的缺陷使多数国内企业不得不放弃国产证书。

  作为已为国内98%的银行提供电子认证服务的CA机构,CFCA自2011年起在国内建设SSL根证书系统,并于2012年开始进行入根工作,期间入根工作也曾遭遇瓶颈。但不论是用户对使用国产SSL证书的迫切需求,还是做出优秀SSL产品的信念,亦或信息安全国产化战略不断深入的大环境,都在不断推动着CFCA入根工作的前行。在先后入根微软、Mozilla、安卓后,CFCA SSL根证书植入IOS10.1版本,完成了国际四大证书库的入根,使我国的SSL证书产品首次获得所有浏览器平台的信任。自此,国内企事业机构的网站、服务器均可以选用CFCA的国产SSL证书,国外证书已不是唯一的选项。

  近年来,国产SSL证书的发展速度未能跟上国内激增的需求。除了入根进展缓慢外,部分国内CA还因疏漏等原因违反了相关国际标准,并导致浏览器厂商的处罚,使SSL证书的国产化蒙上一层阴影。而此次CFCA成功入根IOS则一扫之前的阴霾,证明国产SSL证书在功能上已可比肩国外优秀产品,可以肩负起维护国内网络安全的重任。同时也说明,国内安全厂商在植根本土、尊重国际标准的基础上,严守风险控制、积极听取用户心声、不断提高技术水准,完全可以开发出不逊于国外品牌的信息安全产品,进而推动我国信息安全国产化战略的早日实现。

  如果您希望了解更多与国产SSL证书相关的信息,请拨打010-59798680或登录ssl.cfca.com.cn查询。

客服电话:400-880-9888 销售热线:010-59798680

PC版 微博 微信公众号:CFCA-4008809888