無論哪個行業，企業、機構在運營過程中都涉及到一些敏感數據。這些信息如果未得到有效保護，將影響數以億計的平民百姓的利益，並且，可能對企業造成不可估量的損失。很多企業為了保護自己以及用戶所能做的最好的事情就是使用可靠的網絡安全措施，為網站安裝SSL證書實現https加密，而給網站安裝SSL證書將有助於提升企業網站競爭力。
HTTP早已不安全
為了實現網絡的高度安全，需要很多環節協同工作，只要有一個環節有漏洞，就有可能被利用，而為了提高網絡的相對安全性，最高優先級就應該從HTTP下手，因為這個用戶使用的最頻繁。
目前幾乎所有的個人電腦都處於路由器NAT保護之下，如果用戶不主動訪問Internet，別人無從對NAT後個人電腦下手。
一旦用戶主動訪問Internet，就相當於在NAT城門上啄了一個小洞，這個小洞就是一個NAT映射表，如果沒有流量刷新，300秒之後小洞就會關閉。
在小洞存活的300秒以內，允許外部主機來訪問個人電腦，而明文的HTTP就是最好的載體。一旦個人電腦被植入了木馬，木馬程序就會主動週期性發消息給Internet的控制終端，這樣NAT小洞會一直敞開大門（週期性消息刷新定時器），給遠程控制提供了便利。
HTTPS提供了端到端的安全加密
不僅提供數據機密性（加密），還提供數據完整性（不篡改數據）保護、防重放（把捕獲的報文再發一次無效），這樣壞小子就很難下手，沒有session key 很難去偷窺並篡改用戶的數據，更無法依賴HTTPS這個載體植入木馬。
為何明文傳輸的HTTP可以被劫持，篡改網頁內容，而加密傳輸的HTTPS卻不可以？
那是因為HTTP被劫持篡改頁面，重新計算TCP checksum，用戶電腦是無法判別是否被篡改，只好被動接收。
而加密傳輸之後，有了HMAC保護，任何篡改頁面的嘗試，由於沒有session key，無法計算出和篡改網頁一致的HMAC，所以數據接收端的SSL/TLS會輕易地識別出網頁已被篡改，然後丟棄，既然無法劫持，也就沒有篡改的衝動了，所以HTTPS可以很好地對付網頁劫持。
HTTPS並不是絕對安全
斯諾登暴露出，針對IPsec，TLS的密鑰交換所依賴的Diffie-Hellman算法攻擊，即通過離線的超級計算機預先計算出海量的公鑰、私鑰對，一旦嘗試出私鑰就會得到Master Key，進而推導出session key，這樣歷史數據、現在、將來的數據全可以解密。
以上是被動攻擊方式，針對數字證書欺騙則屬於主動攻擊，可以實時地解密用戶數據。但種種主、被動攻擊難度都很高，往往是以國家意志為源動力，而不是一些小團體所能完成的。
既然HTTPS不是絕對可靠，那依靠HTTPS工作的網銀安全嗎？安全，放心使用！
銀行在轉賬時，通常需要用戶私鑰簽名確認，而私鑰就嵌入在USB Token裡，類似下圖中的硬件設備。只要用戶不要把這個借給別人使用，轉賬可以確保安全。
電腦網銀用戶一般都有一個USB Token，裡面有用戶數字證書私鑰（Private Key），網銀轉賬一定要有用戶數字證書私鑰簽名的轉賬確認，而這個私鑰只有用戶的Token唯一擁有，而銀行擁有用戶數字證書公鑰（Public Key），可以成功解密出用戶私鑰（Private Key）簽名的轉賬確認，以此確信轉賬指令是由擁有USB Token的用戶發出來的，這樣會進一步提高網銀的安全性。
手機銀行一般都是APP，可以強制使用（Public Key Pinning ）特定根證書作為證書信任鏈的頂端，可以避免客戶端使用誤安裝的偽造證書，所以APP不會與假的服務器建立TLS連接，只會與真正的服務器建立安全隧道，一旦隧道成功建立，通信就是安全的，即使轉賬也是安全的。轉賬之前通過手機驗證碼確認，又多了一層安全保護。
HTTPS協議是由SSL+HTTP協議構建的可進行加密傳輸、身份認證的網絡協議。從網站安全和用戶體驗上來講，HTTPS站點更為安全優質。目前，全球的網絡安全都在處於加強防護的狀態，各種的不安全的協議、條例都處於被淘汰的狀態。如HTTP明文傳輸協議、FTP協議……都在列為不安全，逐步被HTTPS取代。據Google的最新數據，全球已超過70%的網站已部署SSL證書，通過HTTPS訪問，但在我國網站仍未達到10%。可見，我國的網絡安全道路是路漫漫其修遠兮。為此，數GDCA數安時代建議國內各大站點應及早置換到HTTPS，為用戶的個人隱私提供基本網絡安全保障。
閱讀更多 GDCA數安時代 的文章
