爱华网Susan BradleyNovember 21, 2012
我们依靠SSL证书来安全的浏览网页和进行在线交易，但是我们当中有多少人理解相关的安全证书问题——或者说是相关的错误提示信息呢？
下文所述是你应当知道的SSL证书知识——包括更新（update）KB2661254是如何解决证书问题的。
证书强度的更新
Windows的更新KB2661254将使得操作系统不再信任任何长度小于1024位的安全证书。我已经在PatchWatch表中的“等待（Wait）”类别中苦等几个月了。现在是时候安装了。下面我将会解释原因的。
不过在我讨论证书之前，让我们先了解一个密切相关的内容，这个内容很容易与证书的安全混淆——那就是浏览器的加密强度。当你点击IE浏览器的“工具”菜单中的“关于InternetExplorer”的时候（译注：作者可能笔误了。至少在IE6中，这个“关于”在“帮助”菜单中。而且大部分软件的“关于”都在“帮助”菜单中），你会看见浏览器的密钥长度是256位。这个长度显然比我们所要求的SSL证书的1024位要短得多。浏览器只采用256位加密的主要原因是速度问题。2007年TechNet上有一篇博文曾经阐述过，对于通过网络发送和接受数据而言，128位的加密已经足够了。因此，256位的加密应当算是在速度和安全之间一个不错的平衡和折中。
MSDN上有一篇博文描述了浏览器是如何跟网站通讯的。简单概括起来，其过程如下：浏览器启动后先向目标网站发送一个“握手”提议。目标网站也会回送一个“握手”。下面的图1是截图，显示了当我登录到windowssecrets.com、输入自己的用户名和密码时的部分过程，截图来自于Wireshark软件（Wireshark可以让你看见网络传输的内部过程）。
图1.Wireshark显示了建立安全的Web连接的一步步过程
对于用户来说，登录过程似乎就是瞬间的事儿，一下就登录上了。但是在Wireshark中却显示出需要数步才能完成登录过程。详细的细节对于本文来说太长了，但是维基上有一篇很棒的文章解释了此过程。总而言之，通过握手协议，在短时间内你的电脑和远方的Web服务之间会建立起一个安全连接。
当浏览器和Web服务器之间建立起安全连接的时候，整个过程中另一个关键的步骤确保了该服务器是可信的（authentic）。那就是使用SSL（安全套接层）证书——它是用来加密传输数据的。如果仅就保护我们所传输的身份信息（用户名和密码）和数据而言，256位的加密可能还不错，但对于保护证书来说，这个加密长度就力不从心了。
如上所述，更新KB2661254会让证书的加密强度变为至少1024位。有些安全研究人员则进一步认为，这种强度的加密还是不够好——尤其是对于在线商业活动。早在2007年，EcolePolytechnique Fédérale de Lausanne的加密学教授ArjenLenstra就曾经说过，我们看到1024位加密的完蛋只是一个时间问题（按照《Network World》上的一篇报道）。因为随着电脑的速度越来越快，破解加密也会变得更加容易。
时间飞速发展到2012年，现在我们只须要安装一个更新就可以让Windows系统不再接受长度小于1024位的安全证书。
最终，所有的网站都将必须升级到2048位的加密。美国国家标准和技术研究院（NIST）在其专门的出版物800-57（关于密钥管理的推荐读物）中建议，1024位的密钥可能无法再保证我们的安全了。Entrust上的一篇文档引用了NIST的那篇文章，将其作为微软将于2013年12月31日从它的根证书计划中移除1024位证书的原因——离现在也就不过一年多一点儿。
再次指出，这都是由于更好的破解工具的出现造成的：更快的电脑和云计算让成群成组的电脑能够破解可能的密钥。比如，cloudcracker.com就是一个安全网站，它可以让专业人士“测试WPA保护的无线网络、破解密码的哈希值或者是破解加密文档”。这个网站所提供的Chapcrack工具可以捕获网络传输，然后将其上传到一个云计算网站。不用花什么钱，只要等几个小时，你就会得到被破解的WEP或VPN密码。要知道直到最近，那种级别的计算还需要花费数天、数周乃至数月。
但是为什么2048位加密就可以了呢？为什么不升级到4096位（2048的两倍）甚至是6144位（3倍）呢？再次说明，这主要是因为处理速度的原因。更多的加密位数会加重服务器的负担，并且减慢初始的连接过程。这一点semicomplete.com在其2010年的“SSL等待时间”研究报告中曾提及过。2048位的加密是在安全和网络速度之间达成的一种精巧平衡。
底线：是时候让你的系统不再信任小于1024位加密的SSL证书的时候了。请尽快安装KB2661254。我的电脑上安装了这个更新之后没有出现什么其它问题。
探究SSL证书为何会出现错误提示
如果你总挂在网上，那么免不了会碰见许多让人糊涂的证书错误信息。而且，这些警告信息只是提示说某网站的安全证书有问题，但从不告诉你究竟是什么问题。
如下图2中的例子，（浏览器）提示你“本网站的安全证书有问题”，并且建议你关闭这个可疑的网页。即使你确信此网站是安全的，这个提示还是或多或少会带来某种程度的担忧。你难免会寻思：这个网站是被黑了，或者只是一个技术性错误？然后犹犹豫豫的，你点击了“继续”。
图2.证书错误信息一般不会提供什么有用的内容，只能由你来做出讨厌的决定
一般而言，这些错误信息来自于使用了自签名证书（维基解释）的小型商业网站。这些网站的主人为其签发了有问题的证书（更具体的说，是那些网站服务器上的一个服务——实际上就是证书颁发机构——发布了那些SSL证书）。自签名证书可以很简单的确保在浏览器和网页服务器之间使用SSL连接。
多年以来，微软的Small Business Server2003一直把自签名证书作为其远程访问技术的一部分。然而，这显然已经跟不上时代了。原因有两个，其中一个就是令人困惑不已的证书错误信息。
为了连接到服务器上而在电脑和手机上安装自签名证书变得越来越困难了。比如，为了在手机和服务器之间安全的使用电子邮件，通常都需要在手机上手动安装这种证书，或者是“告诉”手机忽略掉自签名证书所出现的错误信息。但是在Windows系统的手机上，这不是一件容易的事情。
通常情况下，在访问一个自签名证书网站的时候，你必须点击“继续”才能访问那个网站。进入网站后，你可以如下图3所示点击红色的证书错误框来了解为什么你的浏览器不喜欢这种证书。
图3.点击浏览器地址栏中红色的证书错误（CertificateError）框来了解更多的错误信息（图中为IE浏览器）
在这个例子中，错误信息是我自己造成的：我的打印机有一个基于Web的控制界面。当我以自己的用户名和密码登录那个Web界面的时候，我使用了打印机制造商提供的自签名证书。实际上，那个Web界面并没有什么错误。当我点击“查看证书（Viewcertificates）”链接时，就会弹出一个对话框（如图4所示），告诉我需要把那个自签名证书手动安装到我的浏览器中。
图4.证书信息对话框中显示这个证书并没有问题，只是需要安装一下
包含有安全和非安全内容的网页
还有另外一种常见的证书错误信息。试着访问一个使用了安全SSL连接的网站（也就是URL以“https://”开头的）。与此同时，你会看见这样的信息：“你只想浏览那些会被安全传输的网页内容吗？”这意味着此网页会同时提供安全的HTTPS信息和不安全的HTTP信息。
图5.有些网站会同时传输安全和不安全的内容
这种情况一般发生在一个整体安全的电子商务网站上同时还使用了不安全的标语广告（bannerads）和外部图像（当然，最好是网站永远不在包含有SSL交易的网页上同时使用非安全的信息）。考虑到实际情况，我推荐点击“不”。这样的结果就是，这个网页上将可能会出现一个不完整的图像框或者是两个空白的标语广告，但是其它部分还是会正常显示的。
根证书难题
在Windows系统中，根证书（维基解释）是网页安全的关键部分。Vista及之后的系统会自动获取根证书，XP系统则需要手动更新。KB931125是适用于XP系统的一个补丁包，它可以添加新证书及移除旧证书。
一般的，我总是推荐当你的系统运行良好时不要安装更新。但有时候，我这个建议也是错误的。因此，请从微软下载中心安装KB931125。根据微软TechNet中的一篇文章，微软的根证书计划会让受信任的证书颁发机构（CAs）根据需要来添加或移除它们的证书。
有时也会发生根证书计划中的某家证书颁发机构被欺骗、被黑掉的情况并因此而发布了一个虚假的证书。因此，加入微软的可信证书列表就意味着一种高度的责任——我们也必须信任这种安全基础（这个计划的潜在瑕疵是，如果信任了某个根证书，那么你将必须自动信任这个根证书所覆盖到的全部证书）。
为了查看某个证书与根证书之间的关系，可以去DigiCert的帮助页面，然后输入一个网址比如WindowsSecrets网站的地址。如下图6所示，由于你的系统信任了GeoTrust DV SSLCA的证书，因此它也会信任由windowssecrets.com的登录页面所提供的SSL（GeoTrust是微软根证书计划的一个成员）。你也就不再需要安装windowssecrets.com的证书了。
图6.windowssecrets网站的证书在GeoTrust DV SSLCA的证书范围之内
前面已经提到过，Vista、Win7和Win8会自动更新证书，但XP和Windows Server2003则不会。因此就会出现即使某个主流的电商网站有正确的SSL证书，它在XP系统中也会显示证书无效——就是因为没有安装KB931125。
因此再次提醒安装KB931125——尤其是当你在某个网站上发现错误信息时。
你是否也曾经碰到过让你抓耳挠腮的SSL证书错误？可以在WindowsSecrets的论坛贴出你的问题，我们将尽可能加以解决。
