IT时报记者 潘少颖 孙骋

今年1月9日，小年夜(1月28日)的火车票开售，12306网站当日点击量高达144亿次。然而，这同时意味着，“IE已阻止该网站内容”“该内容没有签署有效的安全证书”等情况，在这天购票者打开12306时至少出现了上亿次。原本每年只需要支付数千元就可以使用的国际标准网络安全SSL证书，不知何故，始终没能在12306上被使用，而根据《IT时报》记者的调查，12306提供的根证书“SRCA”(中铁CA)，是其自行发布的证书，其采用的加密方式在三年半前已被微软认定为“不安全”。截止到发稿，12306并未对记者的提问做出回应。

记者调查

12306网站为何“不受信任”？

用户投诉：12306总是被浏览器屏蔽

袁元(化名)近日向《IT时报》微博投诉，用IE、360、火狐等多种浏览器打开12306网站时，总会出现“Internet Explore已阻止此网站显示有安全证书错误的内容”“内容被阻止，因为该内容没有签署有效的安全证书”等提示，“两年前12306刚上线时就发现了这个问题，当时以为是在测试，没想到这么长时间过去了，这个问题依然存在。”

为什么浏览器总会如此提示？12306并没有做解释，只在首页上一则“网上购票由于安全警告无法登录问题说明”的公告中提供了解决方案，“为了保证用户顺利进行网站的使用，请在首页下载根证书，按说明进行导入即可。”

《IT时报》记者实际操作发现，凡是在IE浏览器中点击“购票”“退票”等涉及到支付的页面，都会出现“不受信任”的提示，即使从首页下载安装根证书时，也会出现“网站证书不受信任”的提示，如果选择“信任该网站并强制打开该网页”，在浏览器的地址栏上也会出现红色的底色，提醒用户该网站证书错误。

袁元是一个程序员，在他看来，12306出现这个问题非常“幼稚”，“安全证书相当于网站的身份证，浏览器在登录网站时会根据证书中提供的信息，逐级验证证书的真伪，以保证证书的真实性和网站的真实性，很难想象，12306作为中国唯一的官方铁路售票网站，竟然没有一个让人信任的安全证书。”

《IT时报》记者就此问题联系了12306，其客服表示网站能保证安全，用户可以不用担心那些提示。

黑客解读：没有SSL证书等于“裸奔”

让袁元如此纠结的安全证书究竟是什么？

“所谓安全证书，就是通常所说的SSL认证，它是一种国际通用的Web安全标准，主要通过对敏感数据加密来防止各种攻击非法读取重要信息，保证数据的完整性和安全性，包括我们经常遇到的，如数据劫持和钓鱼攻击等，通过SSL，只有授权用户才能读取数据。”曾在世界黑客大赛上获得冠军的上海“KeenTeam”团队主攻手陈良向《IT时报》记者解释，当用户连接到网站时，如果Web站点已经加入SSL证书，服务器将受证书保护，并自动传送网站数字证书给用户，此时用户端的网页浏览器程序就会产生一把唯一的“会话钥匙码”，从而将用户端和网站之间所有的通讯过程加密。

陈良作为黑客专家，经常尝试去攻破一些网站和系统，他告诉记者，没有SSL安全证书的网站，一旦被黑客盯上，窃取用户信息是很简单的，因为少了一步破解密码的过程。

证书疑云

国产证书究竟安不安全？

严格意义上说，12306并非没有SSL证书，它只是没有一个被浏览器认可的证书。

根据12306网站提示，记者下载了其所推荐的“根证书”，从其信息中看，这个名为“SRCA”的证书是由中铁数字证书认证中心发布的根证书，在其介绍中，中铁CA(认证机构)是由工业和信息化部审批通过的合法电子认证服务机构。