 |
2
coreki Oct 9, 2016 via iPhone
符合国情，我爸他们工作需要进的网站（中国移动的），就总是提示证书过期， 360 就能直接进，他们就喜欢
|
 |
3
7654 Oct 9, 2016
用 360 的真是作死啊
|
 |
4
Vhc Oct 9, 2016 via iPhone  3
终于明白了。
之前在一家金融公司工作，公司财务要登录很多金融机构给下面的代理商提供的后台，用什么浏览器都打不开，谷歌火狐好像提示网站被劫持，没有“信任证书”的选项， IE 提示证书不受信任。唯独 360 浏览器可以打开。然后全公司都认为 360 是全世界最好的浏览器。 |
 |
5
ragnaroks Oct 9, 2016 1
1/3 楼正解,事业单位不懂什么安全,但是 360 浏览器正好满足了这种畸形需求,下发的文件里面甚至都写明"请各部门用 360 浏览器打开指定链接进行填报"
|
 |
6
Osk Oct 9, 2016 via Android 1
还记得 outlook 被劫持那次吗？我先去取个快递。。
|
 |
7
jhaohai Oct 9, 2016 via iPhone
很多企事业单位都是自签名的证书，根本就没有买证书的概念
|
 |
8
forestyuan Oct 9, 2016
连 12306 都不花钱买证书，这安全意识实在令人无语。
|
 |
9
clino Oct 9, 2016
如果不明显提示并不让用户很容易地浏览自签或者过期网站的话,那 https 又有什么用呢?
360 到底是不是安全相关的公司? 感觉上它这么做和 wosign 是有类似的企业文化的,赚钱第一安全第二 |
 |
10
scnace Oct 9, 2016 via Android
吃枣出个大新闻。
|
 |
11
0TSH60F7J2rVkg8t Oct 9, 2016
吃枣在墙外出个大新闻（墙内继续一片祥和）。
|
 |
12
horsley Oct 9, 2016
有些是不买证书，有些是不好签证书，例如纯 ip 入口的一些系统，使用内网自定义域名的系统
|
 |
13
murmur Oct 9, 2016
安全和便捷本身是相对的 你打不开一些网站用户就会骂你 谁管是证书过期 你去跟老百姓解释这个问题？
|
 |
14
lazyyz Oct 9, 2016
用户体验第一，除了业内或者相关人士还有谁会那么注重安全呢？而且对于我身边很多人来说，都是能用的才是最好的
|
 |
15
nicevar Oct 9, 2016
https 现在看起来是有点蠢了，随着时代发展是时候该出现替代品了
传说中 https 在 NSA 面前不堪一击，有疑心不用这玩意很正常，再说这东西用起来也麻烦，不过在 v 站上影响不少人卖证书的收入了吧 |
 |
18
ryd994 Oct 9, 2016 via Android 2
@horsley 好签的很，如果是公司内部电脑，完全可以预先部署自己的 CA 证书，然后想签什么都可以。这样的好处是可以防止被中间人，只要保护好私钥就行。
自签名证书， https 等于明文。 @nicevar https 有漏洞，所以直接用明文算了，这个逻辑我服的。就 Web 应用而言， https 就是最通用最容易部署的了，而且可靠性也是非常足够。用起来麻烦就……呵呵， let's encrypt 我看到网上还有人要教程简直想笑。除了运行脚本然后按提示操作，教程有什么用？要收什么费用？ 至于替代品………看看有谁能超越一代代 CS 教授们。 TLS 的安全性是一篇篇学术论文堆出来的。修补升级一直有。全盘推翻？那恐怕就不是一两篇博士论文的问题了。 说 TLS 蠢……你这样看不起 CS 学界，你导师知道么？ |
 |
19
est Oct 9, 2016
其实这都是因为百度上一些中文教程「如何在 tomcat 配置 ssl 」，然后第一步就是自己签发证书什么的。。。
|
|
21
0TSH60F7J2rVkg8t Oct 9, 2016
@yxwzaxns 自签名就是，你自己也可签 ABC ，我也可以签 ABC ，谁都可以签 ABC ，无法验证 ABC 到底是不是 ABC 。所以，自签名的证书很容易受到中间人攻击，如果浏览器还默认不检测证书可靠性，对自签名一概放过，那就神不知鬼不觉 https 降级到 http 了。
|
 |
23
lhbc OP @yxwzaxns 如果只是一两个人访问，问题不大，自己去核对证书就行。
但公开的网站，自签证书跟不加密真没太大区别，因为访客无法校验证书的有效性。 要校验就必须查看所有证书链的指纹并核对，而且证书更新、吊销后，还需要通知到所有人新的证书指纹。 相当于把 CA 整个链条干的活用人工来干…… 所以，中间人攻击是轻而易举的。熟练应用各种工具的话，只比明文麻烦一点点。 |
|
24
0TSH60F7J2rVkg8t Oct 9, 2016
@yxwzaxns 证书除了验证 ABC 是不是 ABC 之外，还能验证出在通讯的线路中，是否有中间人、窃听者。自签名的证书因为无法验证 ABC 是不是真的 ABC ，也就无法判定通讯中，是否有中间人存在。如果有中间人存在，你通讯的对象就是中间人，那他和你之间的信息交换对他来说就是透明的，然后他拿到你的信息，再和 ABC 通讯，这样的加密还有什么意义呢？数据安全已经不存在了，这和脱了裤子放屁是一样的道理啊。
|
|
26
0TSH60F7J2rVkg8t Oct 9, 2016
@horsley 内网和 IP 也应该可以签，并不困难。找国内的 CA ，比如 CNNIC, WoSign ，颁发一个专用的中级证书，然后再分配内网的 IP 和域名，都应该没问题。
|
|
27
Osk Oct 9, 2016 via Android
同意 @ryd994 整个自己的 CA 确实方便很多啊， https ，代码签名证书都可以，安个 ca 证书就行了，又不花钱买证书，可不可以对 ip 地址签发不知道，但可以用内网 dns 解析啊，要求不高连 openwrt 都可以搞定。当然，各部门各整各的 CA 的话当我没说
|
 |
28
Quaintjade Oct 9, 2016
@ahhui
公网 IP 可以签，但你必须"拥有"该 IP 。内网名称或保留段的 IP 不能签，以前签的现在也都吊销了。按照 BR ： 2016 ‐ 10 ‐ 01 7.1.4.2.1 All Certificates with Reserved IP Address or Internal Name must be revoked. 要签的话，要么自签，要么不用 Public PKI 体系，找国内一些自己玩的 CA 可能可以（比如 CFCA 之类）。用 public root CA 签内网证书，被发现后果就是直接吊销，毕竟 CT 开始普及，以及各浏览器都有监测上报机制。 |
|
29
0TSH60F7J2rVkg8t Oct 9, 2016
@Quaintjade 多谢指教
|
|
31
nicevar Oct 11, 2016
@ryd994 拜托，你的理解能力能再提升点么？我说直接用明文了？整个人在自己的思考里面意淫有意思？首先我不反对 https ，只是对 https 不满，流程搞得太复杂，加上利益问题，出现国内这种特殊情况，已经影响到基本用户了，随着时代发展这东西如果被替代很正常。我看到你回复说的费用我就想笑，真的。你知道为什么国内很多企业自制证书甚至让客户端忽略证书的情况么？如果你还没工作或者不涉及到这些，我跟你扯多了没用。另外我没有说 TLS 蠢，我也没有资格说，谢谢
|
|
32
ryd994 Oct 11, 2016 via Android
@nicevar 需要提升的是你。不验证 CA 的 https 谁都可以 mim ，等于明文，上面我已经说过
至于费用我无话可说，便宜的 5 刀 10 刀一年，贵的 EV 上千上万，免费的 let's encrypt 。哪个不比自签安全？更还有，就算自签，也不应该忽略证书，自己签个 CA ，在客户端上部署自己的 CA ，同时维护吊销列表，你会发现整个一套做下来，还是买个证书便宜。 |
|
33
nicevar Oct 12, 2016
@ryd994 还买证书呢，真是愣头青啊，都说了有的地盘不让使用购买的证书？现在都有几家大的国企直接忽略证书的，你要是留点心全国的消费品里面都能发现，算了，不跟你多说了，说了半天你都没明白
|
 |
34
106npo Oct 12, 2016 via Android
https://www.zhihu.com/question/30031313
如何看待 360 浏览器为了“用户体验”，在网站证书无效时继续加载网页？ |
|
35
ryd994 Oct 13, 2016 via Android
|
 |
37
nvidiaAMD980X Oct 15, 2016 via Android
@ryd994 我也是，锅内的大部分软件一律拉黑数字签名。
|
Select Language