流量捕获、数据泄露、钓鱼诈骗……当SSL证书正确安装后，HTTPS才真正能够防护

流量捕获、数据泄露、钓鱼诈骗等安全问题层出不穷。网站允许SSL证书实现HTTPS加密已经成为一种趋势。通过安装SSL证书，您可以保护网站数据传输的安全，并向用户证明网站的真实身份。网络用户可以根据SSL证书的显示信息来判断网站的安全性、真实性、合法性。

HTTPS加密已为网民所熟知，也是评估网站安全性的有效依据之一。然而，当执行在线支付和网上银行交易等敏感的金融安全活动时，仅仅查看 HTTPS 是不够的。我们还需要通过网站身份认证信息来判断网站的真实性和合法性！

留意 HTTP 并寻找 HTTPS！

目前网上银行、第三方支付等重要的金融安全网站都启用了SSL证书。因此，用户在访问此类网站时，如果遇到带有HTTP明文协议的URL，一定要警惕！这可能是一个假冒钓鱼网站。

中国农业银行冒充钓鱼网站

HTTPS加密非常重要，但仅HTTPS是不够的。在与金融安全相关的敏感操作中，例如网上支付、网上银行交易等，也必须关注SSL证书中显示的网站身份认证信息。

根据SSL证书标准，可分为三个产品级别：DV SSL证书、OV SSL证书和EV SSL证书。所有SSL证书产品都可以实现HTTPS加密，但只有OV SSL证书和EV SSL证书支持网站身份认证。功能上，基本的DV SSL证书仅验证域名所有权，不验证网站所有者的身份。那么你在浏览器中看到的HTTPS网站到底只是加密传输，还是经过了现实生活中严格的认证呢？这必须通过查看 SSL 证书的证书信息来评估。

通过SSL证书查看网站的认证信息的方法非常简单：进入使用HTTPS协议的网站，点击浏览器中的【安全锁】标志，在弹出的窗口中点击【查看证书】，然后在弹出的证书信息窗口中点击【详细信息】。在【用户】详情栏中，您可以查看证书绑定的网站域名（CN字段）以及网站所属组织（O字段）。

查看证书

查看证书颁发机构

如果网站使用最高级别的验证EV SSL证书，则无需执行复杂的步骤，公司名称直接可见于浏览器的眼睛-绿色地址栏中和状态栏，您可以轻松确定网站的真实身份。

自签名SSL证书不可信

SSL证书必须由授权的CA机构（如天威信托）颁发。这是使用SSL证书评估网站的安全性、真实性和合法性的先决条件。浏览器中已经设置了授权CA机构的根证书，所颁发的SSL证书受到所有浏览器的信任。浏览器内置的安全机制可以自动检查SSL证书的状态和合法性。

自签名SSL证书可以通过工具自由颁发，无需第三方监控和审核，并且不被浏览器和操作系统信任。它们通常用于伪造证书来执行中间人攻击并拦截 SSL 加密流量。当用户访问使用自签名SSL证书的网站时，即使也使用HTTPS前缀，浏览器也不信任其证书，并显示警告提示以提醒用户。看到此类提示后，用户应关闭窗口并停止使用。

因此，在网站上实施SSL证书时，一定不能忽视SSL证书的颁发机构和证书类型。只有这样，才能更高效地保证网站数据传输的安全，真正防止流量捕获、数据泄露和钓鱼诈骗。