資訊中心
當前位置：首頁(yè) > 新聞動(dòng)態(tài) > 企業(yè)新聞
數據傳輸隱患多多，你的網(wǎng)站加密了嗎？
發(fā)布人：admin發(fā)布時(shí)間：2016/5/11 13:07:34
近年來(lái)，各類(lèi)網(wǎng)站頻繁遭受黑客攻擊致使網(wǎng)絡(luò )癱瘓、內容被篡改，商業(yè)機密和用戶(hù)隱私被竊取，使網(wǎng)站經(jīng)營(yíng)者和用戶(hù)都損失慘重。電商網(wǎng)站和政府服務(wù)網(wǎng)站一直是網(wǎng)絡(luò )攻擊的重災區，京東、當當網(wǎng)都曾遭受過(guò)黑客攻擊，造成直接經(jīng)濟損失。2015年，多地社保系統被爆存在高危漏洞，超過(guò)30個(gè)省市，涉及人員達數千萬(wàn)，包括個(gè)人身份證、社保參保信息、財務(wù)信息、房產(chǎn)等敏感內容。
另?yè)踉凭W(wǎng)報道，還有大量政府網(wǎng)站存在被黑客劫持做黑帽SEO的情況，用戶(hù)訪(fǎng)問(wèn)鏈接時(shí)會(huì )被跳轉到賭博網(wǎng)站，嚴重影響政府自身形象，造成政府公信力下降。
數據竊取或成最大隱患
網(wǎng)站面臨的主要問(wèn)題可以歸納為幾類(lèi)，首先是以SQL注入為代表的漏洞攻擊，攻擊者利用網(wǎng)站程序自身的漏洞入侵系統，破壞服務(wù)或篡改數據，達到攻擊目的。其次是以CC攻擊為代表的DDoS攻擊，攻擊者利用協(xié)議的漏洞像服務(wù)器發(fā)送請求，消耗服務(wù)器性能或帶寬資源，使其不能正常對外提供服務(wù)。還有一種是中間人攻擊，攻擊者利用數據傳輸過(guò)程中的網(wǎng)絡(luò )節點(diǎn)，將數據攔截下來(lái)，進(jìn)行竊取或篡改。
通常來(lái)說(shuō)，網(wǎng)站的管理者會(huì )通過(guò)各種安全設備和相應技術(shù)手段對網(wǎng)站自身做安全加固，檢測并修復可能存在的漏洞，攔截異常流量。但其往往忽視了對于傳輸通道的加密保護，假設網(wǎng)站自身沒(méi)有安全漏洞，那么黑客是怎么竊取數據的呢？
一般情況下，網(wǎng)站都是通過(guò)HTTP協(xié)議與用戶(hù)通訊，數據會(huì )經(jīng)過(guò)終端用戶(hù)的家庭路由器、公共無(wú)線(xiàn)WIFI、運營(yíng)商網(wǎng)絡(luò )設備、代理服務(wù)器等節點(diǎn)，而HTTP協(xié)議是明文傳輸的，用戶(hù)與服務(wù)器交互的所有數據，對于這些網(wǎng)絡(luò )節點(diǎn)來(lái)說(shuō)，都是可見(jiàn)的。這些“中間節點(diǎn)”的安全性無(wú)法保證，黑客可以輕而易舉利用這些“中間節點(diǎn)”的漏洞或后門(mén)截獲這些信息，輕則植入廣告，重則惡意篡改網(wǎng)站內容竊取用戶(hù)個(gè)人隱私，給用戶(hù)和網(wǎng)站都帶來(lái)了非常不好的影響。
HTTPS加密，保障數據傳輸安全
通過(guò)數據加密技術(shù)保障傳輸過(guò)程安全可信是業(yè)內的通用做法，在涉及資金、交易、支付和搜索引擎的場(chǎng)景下，這一技術(shù)已經(jīng)運用的非常普遍。
簡(jiǎn)單來(lái)說(shuō)，就是通過(guò)SSL安全套接字技術(shù)實(shí)現網(wǎng)站從HTTP到HTTPS的轉變，使傳輸過(guò)程被加密和認證，為用戶(hù)構建一條經(jīng)過(guò)安全的訪(fǎng)問(wèn)通路。即使數據被黑客攔截，也無(wú)法獲取數據包的真實(shí)內容，更無(wú)法對其內容進(jìn)行篡改，保證用戶(hù)能夠訪(fǎng)問(wèn)到正確的服務(wù)器。
通過(guò)SSL安全套接字構建的加密隧道，可以有效保護商業(yè)機密和用戶(hù)隱私，幾乎所有的HTTP內容都可以收到保護，比如cookie、URL、表單、查詢(xún)字符串和代理信息。
各類(lèi)網(wǎng)站都在使用HTTPS加密
加密算法改造，信息安全更可控
斯諾登事件后，西方國家越來(lái)越重視通信安全，W3C和IAB（互聯(lián)網(wǎng)架構委員會(huì )）先后發(fā)表了聲明，強烈建議網(wǎng)站部署HTTPS。美國政府也于2015年6月宣布了一項新的計劃，要求所有美國聯(lián)邦政府網(wǎng)站在2016年12月31日之前完成全站點(diǎn)的HTTPS加密部署，以后不再允許聯(lián)邦政府網(wǎng)站使用HTTP協(xié)議明文傳輸數據，每一個(gè)以gov為后綴的網(wǎng)站都需要為用戶(hù)提供一個(gè)安全的連接，“HTTPS-Only”成為公共網(wǎng)站聯(lián)邦安全標準。
美國政府的做法值得借鑒，就國內來(lái)說(shuō)，目前絕大多數政府的網(wǎng)站還沒(méi)有進(jìn)行加密，網(wǎng)站本身雖然不涉及資金，但其與公民隱私密切相關(guān)，一旦出現泄密，會(huì )給政府形象和公信力帶來(lái)負面影響?？紤]到之前國外產(chǎn)品的“后門(mén)”事件，政府網(wǎng)站不但要全站加密，更要選擇自主可控的加密算法。工信部、國密辦共同研究，推出了我國自主研發(fā)的國密算法（SM），用于替換商密算法（RSA），保障我國信息化產(chǎn)業(yè)安全風(fēng)險完全自主可控。
深信服應用交付AD產(chǎn)品，可同時(shí)支持商密算法（RSA）和國密算法（SM），其部署簡(jiǎn)單且性能強大，無(wú)需改動(dòng)原有網(wǎng)絡(luò )結構，通過(guò)SSL壓力卸載技術(shù)幫助用戶(hù)進(jìn)行網(wǎng)站HTTPS改造，避免服務(wù)器因加密而引起的性能過(guò)度消耗，更可幫助用戶(hù)快速實(shí)現加密算法的國密改造。