锻造 SSL 准则,以获得更大的安全性

The news that has recently been published on the Internet and has been published by many websites is the news of the forgery of a large number of SSL certificates of reputable sites by a hacker group that can endanger the security of thousands of people

关于定理的维度，在这个主题上拥有更多同行的专家将专门研究这个领域，但我也写一个故事，只是希望这些信息是有限的，虽然如果你发现这个书面或它的一部分，它可以是有用的。分享好友

在线盗版新闻

正如荷兰政府声称的，一个黑客组织(最有可能的伊朗政府) 在一家荷兰公司的影响下，颁发了大量 SSL 证书，在未知的时间内，我使用一种特殊的方式从伊朗人民那里获得信息，我将详细解释有关此方法的信息。

这家荷兰公司曾受到数十家在 SSL 认证领域工作的公司之一. 到允许导出 SSL 证书的实体 "萨特菲卡特的， 或简单地说"三十". 这些实体颁发的证书仅由浏览器使用，如 Firefox、Safari、Opera、互联网、镶边和… 已知允许. 否则，如果您登录到已安装在其他域上的 DNS 地址或"前置"证书的页面，或者该域上没有 SSL 证书，则浏览器将显示错误页。这意味着我们无法通过此地址验证通信的安全性。

Chrome 和 Firefox 上的两个错误页面实例

什么是 SSL 和应用的内容

或者，使用旧名称，SSL 是一种协议或网络的一部分，允许您保护与服务器计算机的通信

每当打开 Web 窗口并登录到网站时，数据可能会通过服务器的计算机或站点服务器传输到您的计算机，例如 HTML 代码、图像、文本和音频文件。似乎. 在这些信息不重要的情况下，比如当你阅读新闻网站的内容或发布公共评论时；泄露这些信息可能没有太大问题，但假设你想通过互联网使用信用卡购物或检查银行账户，在这种情况下，泄露信用卡、银行账户或个人信息给除了你或将要传输信息的网站以外的任何人；可能会带来风险，这正是大约二十年前“SSL”被设计用于更安全通信的原因。

当你通过80端口或同样的“HTTP”地址访问一个网站时；如果一个黑客成功地在你的计算机和网站服务器之间插入，或者甚至你的互联网服务提供商也可以轻松访问交换的信息，但如果你通过安全地址建立连接，首先你计算机和服务器之间的连接会被加密，这种加密几乎是不可破解的，然后在此期间交换的任何信息只能通过网站服务器或你的计算机识别，也就是说，假设你的互联网服务提供商或甚至一个政府想要检查你的通信；这些信息在他们无法访问你的计算机或目标网站服务器之前，是无法恢复的。

如何使用SSL登录网站

要与一个网站安全连接，在其互联网地址的开头必须写“HTTPS”。. 这个“s”在地址开头是“安全”的缩写，通过这种方式交换的信息将被加密。. 为了使一个互联网域名能够拥有安全地址；必须从一个“CA”公司。 (像这个遭到攻击的荷兰公司。) 购买一个SSL证书并将其安装在网站服务器上。

如果你通过互联网使用信用卡购物；一定要在安全页面输入信用卡信息；当然，进行网上购物的最佳方式是使用属于“eBay”的“PayPal”，它会自动安全地传输信息。

HTTPS协议://www.paypal.com/

使用PayPal是完全免费的，此外还会对你的购物进行有限的保险，但如果没有使用PayPal的可能性，务必只在安全页面输入敏感信息。

除了资金转移，有时信息转移同样重要，甚至更重要。. 比如当你想进入一个需要密码的网站时，最好在安全页面输入你的用户名和密码。. 许多网站会自动将它们的页面设置为安全连接 (就像我链接的那个 PayPal 一样) 在某些网站上，访问安全页面和普通页面都是可能的，这与网站管理员所做的设置有关。. 请记住，仅仅拥有安全证书并不意味着信息的安全传输，如果你通过普通方式访问一个也有安全地址的网站；在你没有使用安全地址之前，该网站与其他网站没有区别。. 在某些情况下，一个可以通过两种方式访问的网站，允许你在进入该网站时，永久在浏览器上启用安全或SSL选项。

如何购买SSL证书

有一些信誉良好的公司向网站拥有者出售SSL证书。. 这些公司会从买家那里获取信息，以确保证书将被发放给一个合法的网站。

一些证书比其他证书更具有效性，并且仅发放给公司，这些证书被称为。 “EV”。 他们说这种证书的唯一区别在于它还验证公司的注册有效性，并且在访问这些网站时，你的浏览器地址栏也会变成绿色。. 一些证书根本没有有效性，任何拥有服务器设置访问权限的网站拥有者都可以为自己颁发一个证书，这种证书被称为“自签名”，这种证书的问题在于它们不会被网页浏览器识别，在访问时。 (就像我上面放的两张图片 )会显示错误信息，但所有类型的证书在功能上是相似的

如果您有一个网站，并且只是为了您自己在连接到服务器时的安全性想使用这个地址，您可以指示浏览器对该页面的证书例外处理，并在看到错误信息后按下确认按钮；每当您再次访问该网站时，将不会显示错误信息。然而，这种类型的证书不适合公共网站. 从技术上讲，所有的SSL证书都是相同的，功能上没有区别，因此，证书颁发公司的唯一职责是验证购买者的身份

过去，只有信誉良好的公司才能在其网站上拥有SSL证书，但随着时间的推移，像其他技术一样，SSL的使用也变得更加普遍，目前每个网站持有者在需要时都可以购买证书. 如果您有一个网站并使用共享主机，您可以向您的主机服务提供商请求购买和安装SSL证书. 此外，您还需要为每个安装证书的域名或子域名获取一个独立的IP. 如果您管理自己的个人服务器，选择的余地更大，您可以直接向证书颁发机构请求为您颁发SSL证书，而不是通过主机公司

最近的滥用事件

任何想要从伊朗连接到互联网的用户都必须使用国家提供的互联网服务. 这意味着伊斯兰政权可以访问所有从普通页面传输的信息，但通过使用像“Gmail”这样的服务，实际上使用户能够传输他们的信息，而伊斯兰共和国由于掌握所有通信渠道无法检查和控制这些信息，因此在面对这种情况时，伊斯兰政权看到了三条路

第一条路是像所有自由国家一样，尊重公民的个人自由，停止对人民私生活的监视和间谍活动. 当然，这与伊斯兰政权的本质不符

第二条路是切断对像谷歌这样的服务的访问，显然在当前情况下，他们认为这也不合适，并决定不这样做

剩下的第三条路就是欺骗和诡计，这与神圣政权的本质高度一致. 为此，通过渗透到一个证书颁发公司，首先伪造了一些假证书，目的仅仅是为了让伊朗用户的浏览器在遇到这些证书时不显示错误信息并将其视为有效，然后使用一种名为 “MITM” 或者说“中间人攻击”，不是解密加密的信息；这实际上是不可能的；而是用他们自己的信息替换真实用户的信息. 也就是说，用户实际上是通过伪造的SSL连接到伊斯兰共和国的服务器，而不是与目标网站进行加密，因为伪造的证书是由一家在浏览器允许的公司名单上的荷兰公司颁发的；因此浏览器不会显示错误信息；这些服务器也像普通用户一样与真实的目标服务器同时进行加密，因此伊朗用户将信息发送给伊朗的国家服务器，而目标计算机也将信息传输给伊朗的国家计算机，只有信息传输速度稍微降低. 当然，这种方法并不适用于所有使用SSL协议的网站，只是挑选了一些网站

已发放证书的网站列表及伪造证书数量 从这里开始 可以看到

CN=*.*.com 1

CN=*.*.org 1

CN=*.10million.org 2

CN=*.JanamFadayeRahbar.com 1

CN=*.RamzShekaneBozorg.com 1

CN=*.SahebeDonyayeDigital.com 1

CN=*.android.com 1

CN=*.aol.com 1

CN=*.azadegi.com 1

CN=*.balatarin.com 3

CN=*.comodo.com 3

CN=*.digicert.com 2

CN=*.globalsign.com 7

CN=*.google.com 26

CN=*.logmein.com 1

CN=*.microsoft.com 3

CN=*.mossad.gov.il 2

CN=*.mozilla.org 1

CN=*.skype.com 22

CN=*.startssl.com 1

CN=*.thawte.com 6

CN=*.torproject.org 14

CN=*.walla.co.il 2

CN=*.windowsupdate.com 3

CN=*.wordpress.com 14

CN=Comodo根证书 20

CN=CyberTrust根证书 20

CN=DigiCert根证书 21

CN=Equifax根证书 40

CN=GlobalSign 根证书 20

CN=Thawte 根证书 45

CN=VeriSign 根证书 21

CN=addons.mozilla.org 17

CN=azadegi.com 16

CN=friends.walla.co.il 8

CN=login.live.com 17

CN=login.yahoo.com 19

CN=my.screenname.aol.com 1

CN=secure.logmein.com 17

CN=twitter.com 19

CN=wordpress.com 12

CN=www.10million.org 8

CN=www.Equifax.com 1

CN=www.balatarin.com 16

CN=www.cia.gov 25

CN=www.cybertrust.com 1

CN=www.facebook.com 14

CN=www.globalsign.com 1

CN=www.google.com 12

CN=www.hamdami.com 1

CN=www.mossad.gov.il 5

CN=www.sis.gov.uk 10

CN=www.update.microsoft.com 4

空白支票签名

前两个他们自己颁发的证书实际上是空白支票签名

CN=*.*.com 1

CN=*.*.org 1

实际上，对于每个“com”或“org”域名，他们可以使用这两个证书创建访问. 当然，使用这两个证书的风险很高，一经检查，问题就会显现. 他们可能仅仅是为了确保而颁发这两个证书，因为否则就不需要颁发许多证书

伪造服务器

在这些伪造的证书中，这几个可能是为了下载由伊朗用户操控的软件或更新用户的旧软件而伪造的

CN=*.android.com 1

CN=*.microsoft.com 3

CN=www.update.microsoft.com 4

CN=*.mozilla.org 1

CN=addons.mozilla.org 17

如果您在伊朗使用微软公司的服务，例如Windows Vista、7或Internet Explorer，并且没有禁用它们的自动更新；同时，如果您使用Google的Android操作系统和Firefox、Chrome浏览器；您应该知道，过去几个月，可能是伊朗政府的服务器在为您更新软件，而这些更新具体包含哪些内容；仅仅与SSL证书的设置有关，还是也安装了间谍软件；不幸的是，目前还不清楚，但足够表明他们甚至已经进入了插件和扩展部分

维权热线

这些证书属于博客服务、社交网络或电子邮件服务，可能存储了所有伊朗用户的信息，包括密码和私人信息

CN=www.facebook.com 14

CN=www.google.com 12

CN=wordpress.com 12

CN=*.aol.com 1

CN=*.azadegi.com 1

CN=*.balatarin.com 3

CN=*.logmein.com 1

CN=login.live.com 17

CN=login.yahoo.com 19

CN=my.screenname.aol.com 1

CN=secure.logmein.com 17

CN=www.cybertrust.com 1

CN=www.Equifax.com 1

CN=*.skype.com 22

Gmail、Yahoo和AOL是电子邮件服务提供商，因此最好从现在开始不要通过这些服务传输任何重要信息

Facebook、Twitter、Dandelion和Freedom是链接共享和社交网络网站. WordPress网站的证书也被伪造，用户信息可能也被盗取，当然这个问题与WordPress内容管理系统或使用WordPress程序的网站无关。. 还伪造了一些用于网络聊天服务、代理和在线文件存储服务的证书。

合法的SSL证书

还为SSL证书颁发机构伪造了一些证书，他们可能打算自己颁发部分新的SSL证书或访问其信息。

CN=Comodo根证书 20

CN=CyberTrust根证书 20

CN=DigiCert根证书 21

CN=Equifax根证书 40

CN=GlobalSign 根证书 20

CN=Thawte 根证书 45

CN=VeriSign 根证书 21

在当前情况下，谁不应该担心？

如果您只是上述网站的普通用户，并且偶尔用骂骂咧咧的方式消磨时间；那么没有理由担心。. 因为如今几乎所有伊朗人民都在做您所做的事情，假设他们存储了伊朗用户的信息，也没有办法对几百万用户的信息进行分类和提取。. 恐吓普通人是这起可耻盗窃的主要目标

谁应该感到担忧？

1. 如果您是一名文化或政治活动家，并认为您的个人通讯可能受到监控；那么不幸的是，鉴于当前的情况，您有充分的理由担心。
2. 如果您为以色列外交部或像 10million.org这样的网站发送了信息；最好为自己寻找一个新的地址。. 关于以色列人向之前的地址发送1000万美元支票，也不要担心，因为以色列政府给您1000万美元的可能性和伊朗政府用同样的钱为您投资于一个盈利的生意的可能性是一样的。!
3. 如果您是一名间谍，并从伊朗向这些表单发送了信息，您也需要一个紧急逃生通道。! 除了逃生通道，最好寻找一份与此不同的工作，因为没有理智的人会从伊朗向这些网站发送信息。

HTTPS协议://www.cia.gov/cgi-bin/comment_form.cgi

HTTPS协议://www.mossad.gov.il//persian/ContactUs.aspx

HTTPS协议://www.sis.gov.uk/form/

CN=*.mossad.gov.il 2

CN=www.cia.gov 25

CN=www.mossad.gov.il 5

CN=www.sis.gov.uk 10

怎么办？

不幸的是，目前没有也可能将来也没有任何确定的解决办法. 像“SSL”这样的技术只是为了防止在支付时的黑客攻击或个人信息泄露而创建的，可能其创造者也没想到一个外国政府会利用所有基础设施和互联网通信来窃取几百万公民的信息。

我们的祖先在宪法革命时期，凭借一条有时会断开数周的电报线，在连接时也能重新读取所有信息；通过在德黑兰、拉什特和塔布里兹使用密码信息，推动了一场政治运动。. 在伊斯兰革命之前，情况也没有太大变化，这些革命者，包括左派、伊斯兰主义者和圣战者，有时会创造出惊人的通讯方法，并在某些情况下为传递简单信息支付高昂的费用。. 尽管如此，如果您是一名政治活动家，并期望以与您表妹发送信息的方式与一个政治或人权组织建立联系，并且希望安全；那么问题的根源在于您的贪婪和天真。. 在人类历史上，没有哪个时期的通讯设施像我们这个时代这样丰富；仅仅考虑到您已连接到互联网这一事实。 (无论施加了多大的限制。) 这意味着您可以访问一个知识和资源的世界

接下来我会尽量写一些简短的建议，如果有读者想要添加内容或修改我的说明，可以在评论区留言

请使用镜像服务器获取文件. 正如您所注意到的，针对谷歌、火狐和微软的证书被伪造. 因此，如果您在伊朗，最好不要从这些服务器下载任何程序，也不要通过这种方式更新任何程序. 如果确实需要使用这些公司的产品，可以寻找其他替代服务器；互联网上可能有数百或数千个网站，它们既安全又存储了这些程序，例如您可以从多个网站下载最新版本的Firefox，而不是Firefox官网

为了敏感的交流，请使用除了 Windows 以外的操作系统. 不幸的是，人们有时会忘记这个事实，我们在伊朗使用盗版软件. 在大多数伊朗计算机上安装的操作系统之一是Windows，几乎在所有情况下都不是从官方公司购买的. 请记住，这些程序在伊朗被破解，伊斯兰制度也有很好的条件来操纵和传播它们. 我们仍然不知道最近的破坏行为是否仅仅是为了阻止Internet Explorer浏览器的更新，针对伪造证书，或者他们是否试图在您的操作系统上安装程序 . 如果确实需要使用Windows操作系统，可以通过一个非伊朗的服务器获取其副本(该服务器也不是微软的) 下载后，安装后可以使用Windows破解程序进行破解. 安装后，我建议您禁用自动更新，并安装其他公司的防病毒软件和防火墙. 一些免费的防火墙和防病毒程序列表 这里 可用

就操作系统而言，还有一种更有效的方法，那就是使用非Windows的操作系统. 请记住，您可以在一台“PC”上安装多达28种不同的操作系统，并使用其他操作系统来处理需要更高安全性的任务，同时仍然可以使用Windows进行日常工作. 基于Linux的操作系统不仅是免费的，而且安全性更高. 其中一个好的程序 优麒麟操作系统 是免费的，不需要破解，并且可以使用便携版，无需安装. 还有一些其他免费的操作系统 这里 被介绍出来，它们都不需要安装，可以从CD或“闪存”运行. 使用便携程序的一个优点是不会在您的计算机历史记录中保存任何内容

使用不被广泛使用的方法、网站和程序. 正如您所知，Gmail服务可能是最好的公共免费电子邮件服务. 这个系统的一个大缺陷是大多数人都在使用，因此首先被攻击和伪造证书的也是它. 但是还有数十个其他安全地址和类似功能的免费电子邮件服务，大多数人并不认识. 您可以找到这些网站的列表 这里 或 这里 看. مثلا این وبسایت “fastmail.fm” 它不使用像.com或.org这样的常见域名，但可以通过国内的SSL地址访问；可能不是一个坏选择，或者您自己在谷歌上搜索也能找到类似的服务. 这并不意味着您不再使用Gmail，而是最好在处理日常和个人事务之外考虑其他选项. 同样，Firefox和Chrome浏览器是最好的，但不幸的是，它们是最常见的，证书被伪造；但在伪造证书的列表中没有苹果公司的信息，因此 苹果的Safari浏览器 可能不是一个坏选择 . 据说Safari是最后一个撤销伪造证书的浏览器，而Chrome是第一个识别它们的浏览器. 然而，晚认识总比从未认识要好得多! 歌剧浏览器 还有另一个未被访问的浏览器. Netscape属于AOL公司，遗憾的是，它的名字也出现在被伪造网站的名单中

这里还有一些您可能不知道的其他浏览器的地址. 其中一些浏览器是非常好的程序

http://kmeleon.sourceforge.net/

http://www.avantbrowser.com/

http://www.konqueror.org/features/browser.php

http://www.dillo.org/download.html

如果您是网站管理员或个人网站的拥有者，请从外部服务器进行更新. WordPress网站的SSL证书伪造表明，伪造者对伊朗博主的信息非常感兴趣，这一点对于个人网站也同样适用

通过动态和交互式页面展示内容的网站，要么使用个人内容管理系统，要么在大多数情况下使用其他开发者开发的免费系统 . 许多小型网站设计师或普通用户由于安全性和高功能性而使用WordPress内容管理系统( 与WordPress博客网站无关). دو «سی ام اس» یا برنامه مدیریت محتوای مبتنی بر«پی اچ پی» دیگر، جوملا و دروپال می باشند وهر سه این سیستمها خوشبختانه برای کاربران فارسی زبان به فارسی ترجمه شده اند

在不想对那些无私努力并免费为伊朗用户翻译这些系统的朋友们提出指责的情况下，不幸的是，通过波斯语网站存在发布被篡改文件的潜在可能性. 如果您是这些系统的用户，可以轻松地从WordPress波斯语或Joomla波斯语和Drupal的最新版本中提取仅几千字节的翻译文件，并将这几千字节的翻译文件转移到您的网站. 接下来，通过在配置文件中添加一行指令，您的网站控制面板将被翻译成波斯语；无需从伊朗服务器获取所有文件. 对于这些系统的更新，每当发布新版本时，请使用主服务器. 考虑到大多数网站托管服务提供商位于国外，并且他们的互联网连接在伊朗内部不受控制，因此如果程序通过WordPress或Joomla和Drupal的主服务器进行更新，就不必担心