CN108259406B - 检验ssl证书的方法和系统 - Google Patents

检验ssl证书的方法和系统 Download PDF

Info

Publication number
CN108259406B
CN108259406B CN201611230887.9A CN201611230887A CN108259406B CN 108259406 B CN108259406 B CN 108259406B CN 201611230887 A CN201611230887 A CN 201611230887A CN 108259406 B CN108259406 B CN 108259406B
Authority
CN
China
Prior art keywords
certificate
ssl certificate
ssl
hash value
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201611230887.9A
Other languages
English (en)
Other versions
CN108259406A (zh
Inventor
王帅
金华敏
汪来富
刘东鑫
史国水
李诗旸
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Telecom Corp Ltd
Original Assignee
China Telecom Corp Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Telecom Corp Ltd filed Critical China Telecom Corp Ltd
Priority to CN201611230887.9A priority Critical patent/CN108259406B/zh
Publication of CN108259406A publication Critical patent/CN108259406A/zh
Application granted granted Critical
Publication of CN108259406B publication Critical patent/CN108259406B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种检验SSL证书的方法和系统，涉及网络信息安全领域。该方法包括：客户端在收到Web服务器发送的SSL证书后，对该SSL证书的签发机构进行验证，如果验证不通过，则生成该SSL证书的散列值，并将该散列值发送给证书验证服务器；该证书验证服务器在接收到该客户端发送的散列值后，将该散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给客户端；以及该客户端根据比对结果判断SSL证书是否为伪造的SSL证书。本发明实现了对SSL证书的检验，提升了Web网站访问安全性，可以保障Web用户安全，防范用户敏感信息泄露。

Description

检验SSL证书的方法和系统
技术领域
本发明涉及网络信息安全领域，特别涉及一种检验SSL证书的方法和系统。
背景技术
为了保证数据在传输过程当中不被窃取或篡改，部分Web网站采用HTTPS(HyperText Transfer Protocol over Secure Socket Layer，基于安全套接层的超文本传输协议)协议，通过SSL(Security Socket Layer，安全套接层)证书实现身份验证和数据加密。SSL证书可以由权威机构签发或服务器自签发，部分企业自建的Web网站中往往采用Web服务器自签发SSL证书的方式。浏览器可直接验证由权威机构签发的SSL证书，对自签发的SSL证书将给出风险提示，由用户决定是否继续浏览。
但是，黑客可以发起DNS(Domain Name System，域名系统)劫持或局域网ARP(Address Resolution Protocol，地址解析协议)欺骗攻击，截获Web客户端与服务器之间交互的流量，并冒充Web服务器伪造SSL证书实施中间人攻击，由于用户不知道真实SSL证书为权威机构签发还是Web服务器自签发，往往倾向于信任SSL证书，导致黑客获取客户端加密密钥，从而窃取客户端传输的敏感数据。此外，部分钓鱼网站也采用非法SSL证书，一旦用户访问钓鱼网站，可能导致被挂马、信息窃取、账号密码丢失等风险。
发明内容
本发明需要解决的一个技术问题是：提供一种检验SSL证书的方法。
根据本发明的第一方面，提供了一种检验SSL证书的方法，包括：客户端在收到Web服务器发送的SSL证书后，对所述SSL证书的签发机构进行验证，如果验证不通过，则生成所述SSL证书的散列值，并将所述散列值发送给证书验证服务器；所述证书验证服务器在接收到所述客户端发送的所述散列值后，将所述散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给所述客户端；以及所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书。
在一个实施例中，所述证书黑白名单库包括：白名单库和黑名单库；其中，所述白名单库存储已验证的Web服务器自签发证书的散列值；所述黑名单库存储已知恶意证书的散列值。
在一个实施例中，所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书的步骤包括：所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述白名单库，则确定所述SSL证书不是伪造的SSL证书，进而生成会话密钥，并利用所述SSL证书中包含的所述Web服务器的公钥对所述会话密钥加密，将加密后的会话密钥发送给所述Web服务器。
在一个实施例中，所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书的步骤包括：所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述黑名单库，则确定所述SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问所述Web服务器。
在一个实施例中，所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书的步骤包括：所述客户端若根据所述比对结果确定所述SSL证书的散列值不属于所述证书黑白名单库，则提示当前访问的所述Web服务器存在风险。
在一个实施例中，所述方法还包括：用户若在访问存在风险的Web服务器时发现所述SSL证书是伪造的SSL证书，则通过客户端提交所述Web服务器的URL地址，所述客户端获取所述Web服务器的SSL证书后，向所述证书验证服务器发送伪造通知消息，其中，所述伪造通知消息包含所述SSL证书的散列值以及所述SSL证书是伪造的SSL证书的信息；以及所述证书验证服务器在接收到所述伪造通知消息后将所述SSL证书的散列值存入所述黑名单库中。
在一个实施例中，所述散列值包括但不仅限于：MD5值、SHA-1值或SHA-2值。
本发明的上述方法实现了对SSL证书的检验，提升了Web网站访问安全性，可以保障Web用户安全，防范用户敏感信息泄露。
根据本发明的第二方面，提供了一种检验SSL证书的系统，包括：客户端，用于在收到Web服务器发送的SSL证书后，对所述SSL证书的签发机构进行验证，如果验证不通过，则生成所述SSL证书的散列值，并将所述散列值发送给证书验证服务器；并且根据所述证书验证服务器返回的比对结果判断所述SSL证书是否为伪造的SSL证书；以及所述证书验证服务器，用于在接收到所述客户端发送的所述散列值后，将所述散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给所述客户端。
在一个实施例中，所述系统还包括：所述证书黑白名单库，其包括：白名单库和黑名单库；其中，所述白名单库存储已验证的Web服务器自签发证书的散列值；所述黑名单库存储已知恶意证书的散列值。
在一个实施例中，所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述白名单库，则确定所述SSL证书不是伪造的SSL证书，进而生成会话密钥，并利用所述SSL证书中包含的所述Web服务器的公钥对所述会话密钥加密，将加密后的会话密钥发送给所述Web服务器。
在一个实施例中，所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述黑名单库，则确定所述SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问所述Web服务器。
在一个实施例中，所述客户端若根据所述比对结果确定所述SSL证书的散列值不属于所述证书黑白名单库，则提示当前访问的所述Web服务器存在风险。
在一个实施例中，用户若在访问存在风险的Web服务器时发现所述SSL证书是伪造的SSL证书，则可以通过客户端提交所述Web服务器的URL地址，所述客户端获取所述Web服务器的SSL证书后，向所述证书验证服务器发送伪造通知消息，其中，所述伪造通知消息包含所述SSL证书的散列值以及所述SSL证书是伪造的SSL证书的信息；以及所述证书验证服务器在接收到所述伪造通知消息后将所述SSL证书的散列值存入所述黑名单库中。
在一个实施例中，所述散列值包括但不仅限于：MD5值、SHA-1值或SHA-2值。
本发明的上述系统实现了对SSL证书的检验，提升了Web网站访问安全性，可以保障Web用户安全，防范用户敏感信息泄露。
通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。
附图说明
构成说明书的一部分的附图描述了本发明的实施例，并且连同说明书一起用于解释本发明的原理。
参照附图，根据下面的详细描述，可以更加清楚地理解本发明，其中：
图1是示出根据本发明一个实施例的检验SSL证书的方法的流程图。
图2是示出根据本发明另一个实施例的检验SSL证书的方法的流程图。
图3是示意性地示出根据本发明一个实施例的检验SSL证书的系统的结构图。
具体实施方式
现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。
同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。
以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。
对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。
在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。
图1是示出根据本发明一个实施例的检验SSL证书的方法的流程图。
在步骤S102，客户端在收到Web服务器发送的SSL证书后，对该SSL证书的签发机构进行验证，如果验证不通过，则生成该SSL证书的散列值，并将该散列值发送给证书验证服务器。
例如，当终端上的客户端通过HTTPS协议访问Web网站时，Web服务器将包含公钥及相关信息的SSL证书发送给客户端，客户端在收到Web服务器发送的SSL证书后，对该SSL证书的签发机构进行验证，如果证书验证不通过，则生成该SSL证书的散列值，并将该散列值发送给证书验证服务器。
在一个实施例中，如果客户端对SSL证书的签发机构验证通过，则该客户端生成一段随机数作为会话密钥，并用该SSL证书中包含的Web服务器的公钥对该会话密钥加密，将加密后的会话密钥发送给Web服务器。该Web服务器利用私钥对该加密的会话密钥解密后用该会话密钥加密通信数据，从而实现加密通信。
在本发明的实施例中，散列值可以包括：MD5(Message Digest Algorithm 5，消息摘要算法第五版)值、SHA-1(Secure Hash Algorithm-1，安全散列算法第一版)值或SHA-2(Secure Hash Algorithm-2，安全散列算法第二版)值等。当然本领域技术人员应该理解，该散列值还可以是其他类型的散列值，例如MD2值或MD4值等，因此本发明的范围并不仅限于此。优选地，散列值可以为MD5值，利用MD5值可以使得计算比较简便。
在步骤S104，证书验证服务器在接收到客户端发送的散列值后，将该散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给该客户端。
例如，以MD5值作为散列值为例，证书验证服务器在接收到客户端发送的证书MD5值后，将该MD5值与证书黑白名单库中已经存储的MD5值进行比对，判断该MD5值是否属于该证书黑白名单库，并将比对结果发送给客户端。
在一个实施例中，该证书黑白名单库可以包括：白名单库和黑名单库。其中，该白名单库存储已验证的Web服务器自签发证书的散列值(例如MD5值)。该黑名单库存储已知恶意证书的散列值(例如MD5值)。在一个实施例中，在步骤S102之前，所述方法还可以包括：设置该证书黑白名单库。例如，可以通过收集已验证的Web服务器自签发证书的散列值和已知恶意证书的散列值来构建该证书黑白名单库，并可以将该证书黑白名单库设置在云端。
在步骤S106，客户端根据比对结果判断该SSL证书是否为伪造的SSL证书。
在一个实施例中，该步骤S106可以包括：客户端若根据比对结果确定SSL证书的散列值(例如MD5值)属于白名单库(例如，该SSL证书的散列值与白名单库中的某个散列值相同)，则确定该SSL证书不是伪造的SSL证书，进而生成会话密钥(例如可以生成一段随机数作为会话密钥)，并利用该SSL证书中包含的所述Web服务器的公钥对该会话密钥加密，将加密后的会话密钥发送给Web服务器。该Web服务器利用私钥对该加密的会话密钥解密后用该会话密钥加密通信数据，从而实现加密通信。
在另一个实施例中，该步骤S106可以包括：客户端若根据比对结果确定SSL证书的散列值(例如MD5值)属于黑名单库(例如，该SSL证书的散列值与黑名单库中的某个散列值相同)，则确定该SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问Web服务器。
在另一个实施例中，该步骤S106可以包括：客户端若根据比对结果确定SSL证书的散列值(例如MD5值)不属于证书黑白名单库(例如该SSL证书的散列值与证书黑白名单库中的散列值均不相同，既不属于黑名单库，也不属于白名单库，即无比对项)，则提示当前访问的Web服务器存在风险。
在本发明的上述实施例中，提供了一种检验SSL证书的方法。在该方法中，客户端在对SSL证书验证不通过的情况下，生成散列值并发送到证书验证服务器，该证书验证服务器对该散列值与证书黑白名单库中的散列值进行比对，将比对结果返回给客户端，客户端根据比对结果判断上述SSL证书是否为伪造的证书，从而实现了对SSL证书的检验。
例如，当有黑客伪造SSL证书对客户端实施中间人攻击，或者有钓鱼网站向客户端发送非法SSL证书时，客户端接收到该SSL证书后对该SSL证书的签发机构进行验证，一般情况下，验证不通过，则客户端生成该SSL证书的散列值并发送到证书验证服务器。该证书验证服务器对该散列值与证书黑白名单库中的散列值进行比对，例如，发现该散列值属于黑名单库，则将该比对结果返回给客户端。该客户端根据该比对结果确认该SSL证书是伪造的证书，进而弹出证书错误信息，阻止用户继续访问Web服务器。因此，本发明的上述方法可以防范伪造SSL证书进行的中间人攻击，并可以避免钓鱼网站攻击，提升了基于HTTPS协议的Web网站访问安全性，可以保障Web用户安全，防范用户敏感信息泄露。
在本发明的实施例中，上述方法通过对已验证的Web服务器自签发证书的散列值形成白名单，客户端接收到Web服务器的SSL证书时，通过对证书的验证，保证在白名单中的Web网站被正常访问。
在一个实施例中，上述方法还可以包括：用户若在访问存在风险的Web服务器时发现上述SSL证书是伪造的SSL证书，则可以通过客户端提交该Web服务器的URL(UniformResource Locator，统一资源定位符)地址，客户端获取该Web服务器的SSL证书后，向证书验证服务器发送伪造通知消息，其中，该伪造通知消息包含该SSL证书的散列值以及该SSL证书是伪造的SSL证书的信息；以及该证书验证服务器在接收到该伪造通知消息后将该SSL证书的散列值存入黑名单库中。
例如，客户端从证书验证服务器接收到比对结果，根据该比对结果确定SSL证书的散列值(例如MD5值)不属于证书黑白名单库(即无比对项)，则提示当前访问的Web服务器存在风险，但是用户依然对该存在风险的Web服务器进行访问，用户在访问期间发现上述SSL证书是伪造的SSL证书(例如黑客的中间人攻击或钓鱼网站提供的证书)，则可以通过客户端提交该Web服务器的URL地址，客户端获取该Web服务器的SSL证书后，向证书验证服务器通知该SSL证书是伪造证书，该证书验证服务器在获得该信息后，就将该SSL证书的散列值存入黑名单库中，从而实现了对黑名单的积累，防止在以后再次收到该SSL证书时遭受攻击。
图2是示出根据本发明另一个实施例的检验SSL证书的方法的流程图。
在步骤S201，客户端发起对Web服务器的HTTPS访问，收到该Web服务器发送的SSL证书。
在步骤S202，客户端对该SSL证书的签发机构进行验证，判断该验证是否通过。如果通过，则过程进入步骤S203，否则过程进入步骤S204。
在步骤S203，客户端生成会话密钥，利用该SSL证书中包含的Web服务器的公钥对该会话密钥加密后发送给Web服务器。
在步骤S204，客户端生成该SSL证书的散列值，并将该散列值发送给证书验证服务器。
在步骤S205，证书验证服务器在接收到客户端发送的散列值后，将该散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给该客户端。
在步骤S206，客户端根据比对结果判断SSL证书是否为伪造的SSL证书。如果比对结果是散列值属于白名单库，则过程进入步骤S207；如果比对结果是散列值属于黑名单库，则过程进入步骤S208；如果比对结果是散列值无比对项(即该散列值既不属于白名单库也不属于黑名单库)，则过程进入步骤S209。
在步骤S207，客户端确定该SSL证书不是伪造的SSL证书，进而生成会话密钥，并利用该SSL证书中包含的Web服务器的公钥对该会话密钥加密后发送给Web服务器。
在步骤S208，客户端确定该SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问Web服务器。
在步骤S209，弹出风险提示。即提示当前访问的Web服务器存在风险。
在该实施例中，针对现有HTTPS中SSL证书伪造与中间人攻击的问题，提供了基于SSL证书散列值(例如MD5值)检验的方法。例如在云端统一部署SSL证书黑白名单库，在客户端对Web服务器证书进行验证时，通过访问证书黑白名单库进行基于黑白名单的检测，从而防止伪造SSL证书进行的中间人攻击，并可以避免钓鱼网站攻击，提升基于HTTPS协议的Web网站访问安全性，保证恶意证书被有效识别，防范用户由于安全意识不当导致点击浏览伪造证书网站的问题。
图3是示意性地示出根据本发明一个实施例的检验SSL证书的系统的结构图。如图3所示，该检验SSL证书的系统30可以包括：客户端302和证书验证服务器304。图3中还示出了Web服务器310。
该客户端302用于在收到Web服务器310发送的SSL证书后，对该SSL证书的签发机构进行验证，如果验证不通过，则生成SSL证书的散列值，并将该散列值发送给证书验证服务器304；并且根据该证书验证服务器304返回的比对结果判断该SSL证书是否为伪造的SSL证书。例如，该散列值可以包括但不限于：MD5值、SHA-1值或SHA-2值等。优选地，该散列值可以为MD5值。
在一个实施例中，如果客户端302对SSL证书的签发机构验证通过，则该客户端302生成一段随机数作为会话密钥，并利用该SSL证书中包含的该Web服务器310的公钥对该会话密钥加密，将加密后的会话密钥发送给Web服务器310。该Web服务器利用私钥对该加密的会话密钥解密后用该会话密钥加密通信数据，从而实现加密通信。
该证书验证服务器304用于在接收到客户端302发送的散列值后，将该散列值与证书黑白名单库306中已经存储的散列值进行比对，并将比对结果返回给该客户端302。
在上述实施例中，提供了一种检验SSL证书的系统。在该系统中，客户端在对SSL证书验证不通过的情况下，生成散列值并发送到证书验证服务器，该证书验证服务器对该散列值与证书黑白名单库中的散列值进行比对，将比对结果返回给客户端，客户端根据比对结果判断上述SSL证书是否为伪造的证书，从而实现了对SSL证书的检验。上述系统可以防范伪造SSL证书进行的中间人攻击，并可以避免钓鱼网站攻击，提升了基于HTTPS协议的Web网站访问安全性，可以保障Web用户安全，防范用户敏感信息泄露。
在一个实施例中，如图3所示，该系统30还可以包括证书黑白名单库306。该证书黑白名单库306包括：白名单库和黑名单库。该白名单库存储已验证的Web服务器自签发证书的散列值(例如MD5值)。该黑名单库存储已知恶意证书的散列值(例如MD5值)。
在一个实施例中，客户端302若根据比对结果确定SSL证书的散列值(例如MD5值)属于白名单库，则确定该SSL证书不是伪造的SSL证书，进而生成会话密钥，并利用该SSL证书中包含的该Web服务器310的公钥对该会话密钥加密，将加密后的会话密钥发送给Web服务器310。该Web服务器310利用私钥对该加密的会话密钥解密后用该会话密钥加密通信数据，从而实现加密通信。
在一个实施例中，客户端302若根据比对结果确定SSL证书的散列值(例如MD5值)属于黑名单库，则确定该SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问Web服务器310。
在一个实施例中，客户端302若根据比对结果确定SSL证书的散列值(例如MD5值)不属于证书黑白名单库，则提示当前访问的Web服务器310存在风险。
在一个实施例中，用户若在访问存在风险的Web服务器时发现SSL证书是伪造的SSL证书，则可以通过客户端302提交该Web服务器的URL地址，该客户端302获取该Web服务器的SSL证书后，向证书验证服务器304发送伪造通知消息。其中，该伪造通知消息包含该SSL证书的散列值以及该SSL证书是伪造的SSL证书的信息。该证书验证服务器304在接收到该伪造通知消息后将该SSL证书的散列值存入黑名单库中。从而实现了对黑名单的积累，防止在以后再次收到该SSL证书时遭受攻击。
在本发明的实施例中，针对现有HTTPS中SSL证书伪造与中间人攻击的问题，提供了基于SSL证书散列值(例如MD5值)检验的系统。例如在云端统一部署SSL证书黑白名单库，在客户端对Web服务器证书进行验证时，通过访问证书黑白名单库进行基于黑白名单的检测，从而可以防止伪造SSL证书进行的中间人攻击，并可以避免钓鱼网站攻击，提升基于HTTPS协议的Web网站访问安全性，保证恶意证书被有效识别，防范用户由于安全意识不当导致点击浏览伪造证书网站的问题。
至此，已经详细描述了本发明。为了避免遮蔽本发明的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。
可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于所述方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。
虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims (8)

1.一种检验SSL证书的方法，其特征在于，包括：
客户端在收到Web服务器发送的安全套接层SSL证书后，对所述SSL证书的签发机构进行验证，如果验证不通过，则生成所述SSL证书的散列值，并将所述散列值发送给证书验证服务器；
所述证书验证服务器在接收到所述客户端发送的所述散列值后，将所述散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给所述客户端，其中，所述证书黑白名单库包括：白名单库和黑名单库，所述白名单库存储已验证的Web服务器自签发证书的散列值；所述黑名单库存储已知恶意证书的散列值；
所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书，其中，所述客户端若根据所述比对结果确定所述SSL证书的散列值不属于所述证书黑白名单库，则提示当前访问的所述Web服务器存在风险；
用户若在访问存在风险的Web服务器时发现所述SSL证书是伪造的SSL证书，则通过客户端提交所述Web服务器的统一资源定位符URL地址，所述客户端获取所述Web服务器的SSL证书后，向所述证书验证服务器发送伪造通知消息，其中，所述伪造通知消息包含所述SSL证书的散列值以及所述SSL证书是伪造的SSL证书的信息；以及
所述证书验证服务器在接收到所述伪造通知消息后将所述SSL证书的散列值存入所述黑名单库中。
2.根据权利要求1所述的方法，其特征在于，所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书的步骤包括：
所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述白名单库，则确定所述SSL证书不是伪造的SSL证书，进而生成会话密钥，并利用所述SSL证书中包含的所述Web服务器的公钥对所述会话密钥加密，将加密后的会话密钥发送给所述Web服务器。
3.根据权利要求1所述的方法，其特征在于，所述客户端根据所述比对结果判断所述SSL证书是否为伪造的SSL证书的步骤包括：
所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述黑名单库，则确定所述SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问所述Web服务器。
4.根据权利要求1所述的方法，其特征在于，
所述散列值包括：消息摘要算法第五版MD5值、安全散列算法第一版SHA-1值或安全散列算法第二版SHA-2值。
5.一种检验SSL证书的系统，其特征在于，包括：
客户端，用于在收到Web服务器发送的SSL证书后，对所述SSL证书的签发机构进行验证，如果验证不通过，则生成所述SSL证书的散列值，并将所述散列值发送给证书验证服务器；并且根据所述证书验证服务器返回的比对结果判断所述SSL证书是否为伪造的SSL证书，若根据所述比对结果确定所述SSL证书的散列值不属于所述证书黑白名单库，则提示当前访问的所述Web服务器存在风险；
所述证书验证服务器，用于在接收到所述客户端发送的所述散列值后，将所述散列值与证书黑白名单库中已经存储的散列值进行比对，并将比对结果返回给所述客户端；以及
所述证书黑白名单库，其包括：白名单库和黑名单库，其中，所述白名单库存储已验证的Web服务器自签发证书的散列值；所述黑名单库存储已知恶意证书的散列值；
其中，用户若在访问存在风险的Web服务器时发现所述SSL证书是伪造的SSL证书，则通过客户端提交所述Web服务器的URL地址，所述客户端获取所述Web服务器的SSL证书后，向所述证书验证服务器发送伪造通知消息，其中，所述伪造通知消息包含所述SSL证书的散列值以及所述SSL证书是伪造的SSL证书的信息，以及所述证书验证服务器在接收到所述伪造通知消息后将所述SSL证书的散列值存入所述黑名单库中。
6.根据权利要求5所述的系统，其特征在于，
所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述白名单库，则确定所述SSL证书不是伪造的SSL证书，进而生成会话密钥，并利用所述SSL证书中包含的所述Web服务器的公钥对所述会话密钥加密，将加密后的会话密钥发送给所述Web服务器。
7.根据权利要求5所述的系统，其特征在于，
所述客户端若根据所述比对结果确定所述SSL证书的散列值属于所述黑名单库，则确定所述SSL证书是伪造的SSL证书，进而弹出证书错误信息，阻止用户继续访问所述Web服务器。
8.根据权利要求5所述的系统，其特征在于，
所述散列值包括：MD5值、SHA-1值或SHA-2值。
CN201611230887.9A 2016-12-28 2016-12-28 检验ssl证书的方法和系统 Active CN108259406B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201611230887.9A CN108259406B (zh) 2016-12-28 2016-12-28 检验ssl证书的方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611230887.9A CN108259406B (zh) 2016-12-28 2016-12-28 检验ssl证书的方法和系统

Publications (2)

Publication Number Publication Date
CN108259406A CN108259406A (zh) 2018-07-06
CN108259406B true CN108259406B (zh) 2020-12-29

Family

ID=62719408

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611230887.9A Active CN108259406B (zh) 2016-12-28 2016-12-28 检验ssl证书的方法和系统

Country Status (1)

Country Link
CN (1) CN108259406B (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109088876A (zh) * 2018-08-30 2018-12-25 北京金惠新悦科技有限公司 一种互联网加密网站（https）流量的审核方法
CN109559796B (zh) * 2018-11-30 2020-12-08 苏州东巍网络科技有限公司 一种间歇性训练数据获取请求与认证系统及方法
CN109831311B (zh) * 2019-03-21 2022-04-01 深圳市网心科技有限公司 一种服务器验证方法、系统、用户终端及可读存储介质
CN111314085B (zh) * 2020-01-22 2023-05-23 维沃移动通信有限公司 数字证书验证方法及装置
CN111310187A (zh) * 2020-04-01 2020-06-19 深信服科技股份有限公司 一种恶意软件的检测方法、装置、电子设备及存储介质
CN111786783B (zh) * 2020-07-01 2022-10-21 中国银行股份有限公司 一种公钥证书获取方法及相关设备
CN113300848B (zh) * 2021-04-23 2022-12-23 网易（杭州）网络有限公司 证书状态的确定方法和装置
CN115942425A (zh) * 2021-09-23 2023-04-07 华为技术有限公司 一种访问服务的方法及通信装置
CN114189493B (zh) * 2021-11-08 2024-04-12 深圳市酷开网络科技股份有限公司 分布式信令通信方法、计算机设备、信令系统及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101141243A (zh) * 2006-09-08 2008-03-12 飞塔信息科技（北京）有限公司 一种对通信数据进行安全检查和内容过滤的装置和方法
CN102811218A (zh) * 2012-07-24 2012-12-05 江苏省电子商务服务中心有限责任公司 数字证书精确化认证方法、装置及云认证服务系统
CN104426861A (zh) * 2013-08-27 2015-03-18 中国银联股份有限公司 网页检测方法及系统
CN104580172A (zh) * 2014-12-24 2015-04-29 北京奇虎科技有限公司 一种基于https协议的数据通信方法及装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7877784B2 (en) * 2007-06-07 2011-01-25 Alcatel Lucent Verifying authenticity of webpages
CN101247407B (zh) * 2008-03-17 2013-03-13 华为技术有限公司 网络认证服务系统和方法
CN102014133B (zh) * 2010-11-26 2013-08-21 清华大学 在云存储环境下一种安全存储系统的实现方法
CN103051633B (zh) * 2012-12-25 2016-09-07 华为技术有限公司 一种防御攻击的方法和设备
US20160007201A1 (en) * 2014-05-27 2016-01-07 Telmate, Llc Vpn-based mobile device security
CN105187406A (zh) * 2015-08-14 2015-12-23 安徽新华博信息技术股份有限公司 可配置方式的https的中间人监听系统
CN105897731B (zh) * 2016-05-12 2019-09-13 北京明华联盟科技有限公司 一种认证方法及认证装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101141243A (zh) * 2006-09-08 2008-03-12 飞塔信息科技（北京）有限公司 一种对通信数据进行安全检查和内容过滤的装置和方法
CN102811218A (zh) * 2012-07-24 2012-12-05 江苏省电子商务服务中心有限责任公司 数字证书精确化认证方法、装置及云认证服务系统
CN104426861A (zh) * 2013-08-27 2015-03-18 中国银联股份有限公司 网页检测方法及系统
CN104580172A (zh) * 2014-12-24 2015-04-29 北京奇虎科技有限公司 一种基于https协议的数据通信方法及装置

Also Published As

Publication number Publication date
CN108259406A (zh) 2018-07-06

Similar Documents

Publication Publication Date Title
CN108259406B (zh) 检验ssl证书的方法和系统
Sun et al. The devil is in the (implementation) details: an empirical analysis of OAuth SSO systems
EP2854365B1 (en) Detecting and preventing man-in-the-middle attacks on an encrypted connection
US9294288B2 (en) Facilitating secure online transactions
US20190281028A1 (en) System and method for decentralized authentication using a distributed transaction-based state machine
WO2016184216A1 (zh) 一种防止盗链的方法、防止盗链的服务器及客户端
US20100217975A1 (en) Method and system for secure online transactions with message-level validation
US20090055642A1 (en) Method, system and computer program for protecting user credentials against security attacks
WO2017083071A1 (en) Methods and systems for pki-based authentication
CN112000951B (zh) 一种访问方法、装置、系统、电子设备及存储介质
CN106453361B (zh) 一种网络信息的安全保护方法及系统
US10348701B2 (en) Protecting clients from open redirect security vulnerabilities in web applications
JP2011515961A (ja) クライアント側証明書認証情報の認証保存方法と認証保存システム
CN109831311B (zh) 一种服务器验证方法、系统、用户终端及可读存储介质
CN105743638A (zh) 基于b/s架构系统客户端授权认证的方法
WO2016188335A1 (zh) 用户数据的访问控制方法、装置及系统
Badra et al. Phishing attacks and solutions
CN104410580B (zh) 可信安全WiFi路由器及其数据处理方法
WO2015158228A1 (zh) 一种服务器、用户设备以及用户设备与服务器的交互方法
CN106789858B (zh) 一种访问控制方法和装置以及服务器
El‐Hajj The most recent SSL security attacks: origins, implementation, evaluation, and suggested countermeasures
JP5186648B2 (ja) 安全なオンライン取引を容易にするシステム及び方法
CN112600831B (zh) 一种网络客户端身份认证系统和方法
CN113992365A (zh) 一种密钥分发方法、装置及电子设备
CN112560102A (zh) 资源共享、访问方法、设备及计算机可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant