中间商攻击是指当你和受害人或其他设备进行通信时，黑客通过窃取敏感信息(大部分是身份信息)来实施各种行为。 中间件攻击产生于 80 年代，是最古老的网络攻击方式之一。 现有的攻击SSL中间商的方法主要是通过对SSL证书进行伪造、剥离来实现。因为SSL是一种为网络通信提供安全性和数据完整性的安全协议，所以它可以验证当事一方或双方所使用的证书是否由权威、可靠的CA机构颁发，SSL证书中间人攻击几乎是不可能实现的。 换句话说，如果发生SSL中间人攻击事件，这不是SSL协议或SSL证书的问题，而是一个SSL证书的验证环节出现问题。中间人攻击的前提条件是，证书没有经过严格的校验，或者是人为地信任伪造的证书，因此以下场景是最容易被用户忽视的证书验证环节： 1，网站没有部署SSL证书，网站处于 HTTP 明文传输状态。这使得黑客能够直接在网络上抓包，以明文方式获得数据传输； 2，黑客通过伪造SSL证书的方式进行攻击，用户如果没有安全意识，可以选择继续操作； 3，黑客伪造SSL证书，网站/APP只做部分证书(域名)的检查，造成假证书受骗。 如何防止被中间人攻击？ 真正的 HTTPS 不受SSL中间攻击！所以，首先要确定站点已经部署了SSL证书。那么用户如何判断网站是否受SSL证书保护呢？ 首先，访问时显示网址栏 https://。 其次，浏览器显示的是醒目的安全锁，点击一下安全锁，就可以看到网站，企业的真实身份。 然后，使用 EV SSL证书的网站，在证书详情中能查看企业的真实名称。 再次，使用由权威CA发布的可信SSL认证。作为可信任的第三方认证机构，CA在签发SSL证书之前，首先要对申请者的真实身份进行认证，这也是保证用户信息安全的第一道关口。 最后，检查SSL证书的证书链。如果该证书是一个浏览器可以识别的SSL证书，您需要检查该SSL证书中的证书吊销列表，当该证书被证书颁发机构吊销时，将显示警告信息：“此组织的证书已被吊销。安全证书问题可能显示您试图欺骗或截获您向服务器发送的数据。推荐你关闭此网页，并且不要继续浏览此网站。” 如果上面没有任何问题，浏览器也会询问网站是否已经进入欺诈网站的黑名单，如果有问题，会同时显示警告信息。 企业能够做到证书部署和校验的环节完整，个人用户能够仔细观察 HTTPS 安全标识，识别证书的真实性、有效期等信息，HTTPS 几乎无法攻破，所谓SSL中间攻击根本不可能存在。

微软WHQL认证是指Microsoft Windows Hardware Quality Labs（Windows硬件质量实验室）对硬件设备的检测认证，这个实验室主要从事计算机硬件产品、驱动程序与Windows操作系统的兼容性和稳定性测试。驱动程序通过WHQL认证，可以确保硬件设备能够在Windows系统中运行，保证了设备的兼容性和稳定性。 通过WHQL认证有什么好处呢？凡是通过WHQL认证的产品，都可获得微软logo授权，可使用“Designed for Windows”标志，其相关信息可列入微软官方网站和操作系统的硬件兼容列表（HCL)，支持直接从Windows Update中更新驱动。微软WHQL认证流程较为复杂，开发者可以联系有经验的服务商如沃通CA提供WHQL认证服务，协助完成微软WHQL认证流程。 步骤一：获取EV代码签名证书 驱动程序提交WHQL认证的过程中都需要用到EV代码签名证书，开发者需提前申请EV代码签名证书备用。微软要求使用指定CA机构颁发的EV代码签名证书，开发者可通过沃通CA申请获取符合微软要求的EV代码签名证书。 步骤二：注册Windows徽标认证账户 开发者在微软Windows硬件合作伙伴中心注册账户，用于提交WHQL认证。注册前需要准备好一张EV代码签名证书及微软Azure AD账户。帐户注册过程中，需要使用EV代码签名证书签名指定文件来完成注册。 步骤三：软硬件驱动测试 根据微软要求搭建WHQL测试环境，使用微软提供的测试工具（HCK/HLK）进行驱动测试。搭建测试环境的过程耗时费力，沃通WHQL认证服务基于完善的测试环境及丰富的WHQL测试经验，帮助开发者更轻松地完成驱动测试步骤。 步骤四：测试结果提交微软审核 测试完成后需要将测试结果打包，文件需要用EV代码签名证书签名，测试结果提交微软审核认证。沃通WHQL认证服务可协助开发者完成提交步骤。 步骤五：获得微软认证签名 经过微软严格审核通过后，驱动程序获得微软认证签名“Microsoft Windows Hardware Compatibility Publisher”，这个驱动就完成了WHQL认证，能够在Windows系统上顺畅运行。更多相关信息在沃通CA官网了解。

我国高度重视电子政务发展，提出以信息化推进国家治理体系和治理能力现代化，统筹发展电子政务，构建一体化在线服务平台。《关于加快推进全国一体化在线政务服务平台建设的指导意见》《关于加快推进政务服务“跨省通办”的指导意见》等一系列文件相继印发，不断强化数字政府的顶层设计。 网络信息安全建设是政务服务安全运行的基石，需积极运用安全可靠技术产品，推动安全与应用协调发展，筑牢平台建设和网络安全防线，确保政务网络和数据信息安全。《关于加快推进全国一体化在线政务服务平台建设的指导意见》提出“应用符合国家要求的密码技术产品加强身份认证和数据保护”、“落实《中华人民共和国网络安全法》和信息安全等级保护制度等信息网络安全相关法律法规和政策性文件，加强国家关键基础设施安全防护”等网络安全建设要求。 政务服务系统在网络和通信安全层面，涉及到通信的主体（通信双方）、信息系统与网络边界外建立的网络通信信道，以及提供通信保护功能的设备、组件和产品。互联网、政务外网、企业专网等网络类型，涉及通信主体的各个要素，都需要遵循要求进行网络安全建设和密码技术应用。SSL/TLS协议是保护通信传输层安全最重要的机制，对应的应用产品就是SSL证书。为政务网站系统启用SSL证书，通过对通信双方进行身份验证和通信加密等机制，可以实现： 所有信息都是加密传播，第三方无法窃听 具有校验机制，一旦被篡改，通信双方会立刻发现 配备服务器身份证书，防止政务系统被钓鱼网站冒充 政务服务网站部署SSL证书已经成为必选项，实现数据机密性、完整性、身份真实性等信息安全特性，防范网络安全风险。那么政务服务网站应该选用什么类型的SSL证书呢？沃通CA提供建议。 （1）选择OV以上SSL证书：政务服务网站是面向公众提供政务服务的官方平台，展示所属单位身份信息，有助于访客了解网站真实身份，提升网站公信力，防止钓鱼网站冒充。OV SSL证书展示单位名称，EV SSL证书在部分浏览器则可以展示醒目绿色地址栏。 （2）选择国密双证书应用：政务服务网站需落实等保制度、密评制度，在密码应用上可选择国密算法SSL证书，用自主可控的国产密码算法保障政务服务安全；沃通提供合规国产国密SSL证书，并结合国际RSA SSL证书实现双证书应用，为政务服务网站实现国密合规、全网兼容的应用效果。更多信息访问沃通CA官网了解。

证书吊销列表(Certificate Revocation List ，简称： CRL) 是 PKI 系统中的一个结构化数据文件，该文件包含了证书颁发机构 (CA) 已经吊销的证书的序列号及其吊销日期。 CRL 文件中还包含证书颁发机构信息、吊销列表失效时间和下一次更新时间，以及采用的签名算法等。证书吊销列表最短的有效期为一个小时，一般为 1 天，甚至一个月不等，由各个证书颁发机构在设置其证书颁发系统时设置。 证书吊销列表分发点 (CRL Distribution Point ，简称 CDP) 是含在数字证书中的一个可以共各种应用软件自动下载的最新的 CRL 的位置信息。一个 CDP 通常出现在数字证书的 详细信息 选项卡的 CRL 分发点 域，一般会列出多个使用不同的访问方法，以确保如 Web 浏览器和 Web 服务器程序始终可以获取最新的 CRL 。 CDP 一般是一个可以访问 http 网址， 如下图所示： 讲到吊销列表，就不得不讲讲 OCSP ， Online Certificate Status Protocol, 证书状态在线查询协议， 是 IETF 颁布的用于实时查询数字证书在某一时间是否有效的标准。 上面已经提到，一般 CA 都只是 […]