今年1月9日,小年夜(1月28日)的火车票开售,12306网站当日点击量高达144亿次。然而,这同时意味着,“IE已阻止该网站内容”“该内容没有签署有效的安全证书”等情况,在这天购票者打开12306时至少出现了上亿次。原本每年只需要支付数千元就可以使用的国际标准网络安全SSL证书,不知何故,始终没能在12306上被使用,而根据《IT时报》记者的调查,12306提供的根证书“SRCA”(中铁CA),是其自行发布的证书,其采用的加密方式在三年半前已被微软认定为“不安全”。截止到发稿,12306并未对记者的提问做出回应。
记者调查:12306网站为何“不受信任”?
用户投诉:12306总是被浏览器屏蔽
袁元(化名)近日向《IT时报》微博投诉,用IE、360、火狐等多种浏览器打开12306网站时,总会出现“Internet Explore已阻止此网站显示有安全证书错误的内容”“内容被阻止,因为该内容没有签署有效的安全证书”等提示,“两年前12306刚上线时就发现了这个问题,当时以为是在测试,没想到这么长时间过去了,这个问题依然存在。”
为什么浏览器总会如此提示?12306并没有做解释,只在首页上一则“网上购票由于安全警告无法登录问题说明”的公告中提供了解决方案,“为了保证用户顺利进行网站的使用,请在首页下载根证书,按说明进行导入即可。”
《IT时报》记者实际操作发现,凡是在IE浏览器中点击“购票”“退票”等涉及到支付的页面,都会出现“不受信任”的提示,即使从首页下载安装根证书时,也会出现“网站证书不受信任”的提示,如果选择“信任该网站并强制打开该网页”,在浏览器的地址栏上也会出现红色的底色,提醒用户该网站证书错误。
袁元是一个程序员,在他看来,12306出现这个问题非常“幼稚”,“安全证书相当于网站的身份证,浏览器在登录网站时会根据证书中提供的信息,逐级验证证书的真伪,以保证证书的真实性和网站的真实性,很难想象,12306作为中国唯一的官方铁路售票网站,竟然没有一个让人信任的安全证书。”
《IT时报》记者就此问题联系了12306,其客服表示网站能保证安全,用户可以不用担心那些提示。
黑客解读:没有SSL证书等于“裸奔”
让袁元如此纠结的安全证书究竟是什么?
“所谓安全证书,就是通常所说的SSL认证,它是一种国际通用的Web安全标准,主要通过对敏感数据加密来防止各种攻击非法读取重要信息,保证数据的完整性和安全性,包括我们经常遇到的,如数据劫持和钓鱼攻击等,通过SSL,只有授权用户才能读取数据。”曾在世界黑客大赛上获得冠军的上海“KeenTeam”团队主攻手陈良向《IT时报》记者解释,当用户连接到网站时,如果Web站点已经加入SSL证书,服务器将受证书保护,并自动传送网站数字证书给用户,此时用户端的网页浏览器程序就会产生一把唯一的“会话钥匙码”,从而将用户端和网站之间所有的通讯过程加密。
陈良作为黑客专家,经常尝试去攻破一些网站和系统,他告诉记者,没有SSL安全证书的网站,一旦被黑客盯上,窃取用户信息是很简单的,因为少了一步破解密码的过程。
证书疑云 国产证书究竟安不安全?
严格意义上说,12306并非没有SSL证书,它只是没有一个被浏览器认可的证书。
根据12306网站提示,记者下载了其所推荐的“根证书”,从其信息中看,这个名为“SRCA”的证书是由中铁数字证书认证中心发布的根证书,在其介绍中,中铁CA(认证机构)是由工业和信息化部审批通过的合法电子认证服务机构。
不到一成国产CA通过国际标准