中新網12月18日電 在12月17-18日召開的2018網絡空間可信峰會上，360 PC浏覽器事業部總經理梁志輝公布360浏覽器将創建自有根證書計劃，全面提升用戶上網的安全性。這是距谷歌宣布推出自有CA根證書後，國内首家創建自有根證書的浏覽器廠商。

360 PC浏覽器事業部總經理梁志輝發表演講

梁志輝表示，360浏覽器今年正式将證書安全納入浏覽器的防護體系。目前，360浏覽器已将不加密的http标記為“不安全”。從今年底開始，360浏覽器将通過紅色鎖頭，标記http網站為“不安全”網站，2019年會将所有http開頭的網址标記為“不安全”，如果用戶登錄帶密碼表單的http網頁，浏覽器還會使用彈出式提醒。同時，360浏覽器支持國密算法，支持國密雙向證書校驗，希望保障我國自主密碼算法的應用推廣和平穩過渡。

360浏覽器通過紅色鎖頭和彈出式提醒标記當前http網站不安全

而在CA監管方面，360浏覽器的根證書計劃默認信任操作系統已信任的根證書，同時也會配置自己的根信任庫作為系統根信任庫的補充。360浏覽器為使用web服務器的終端用戶證書用于SSL/TLS認證公布了認證策略，360官方負責人将維護這一策略并評估來自CA的新請求，對于不符合策略的CA機構，360有權移除任何證書，甚至包括操作系統信任的根證書。

黑客攻擊手段多元化及與之對應的安全措施與加密算法的過時、未全站部署SSL證書、不受監管的CA機構，種種因素嚴重影響個人用戶和商用用戶的網絡使用安全性。雖然此次360浏覽器宣布了根證書計劃，梁志輝認為這需要整個行業的更多重視與合作，在網絡空間可信峰會上，他呼籲網站開發者及行業給予支持及投入，共同推動CA認證的技術改造。

此外，CABO論壇(即電子認證機構-浏覽器-操作系統論壇)于會上正式啟動。該論壇為一個非盈利讨論組，将推進CA根證書在操作系統的預置與應用，協調浏覽器企業統一安全傳輸層協議(TLS)使用細節。其成員包含第三方CA機構，浏覽器廠商，操作系統開發企業以及關注根證書預置事項的機構。360浏覽器已宣布加入。CABO參照國際CAB論壇(即CA浏覽器論壇)而成立，旨在推動我國電子認證技術安全應用的發展，同時争取國際話語權。

360 PC浏覽器事業部總經理梁志輝(右三)出席CABO啟動儀式

網絡劫持現象高發 SSL證書亟需更科學的管理機制

随着黑客攻擊手段的層出不窮，網絡劫持現象愈演愈烈，且手段日益升級。十年前，惡意軟件隻會用最簡單粗暴的方式修改浏覽器首頁用于牟利；而現在，黑客靜悄悄躲在網絡背後，利用更加高明的手段使人難以察覺安全威脅，例如通過http或dns網絡劫持進行中間人攻擊，在網站挂馬或者挂彈窗廣告；利用浏覽器和flash的0 day漏洞，加載含有越權漏洞的代碼來控制計算機系統；甚至通過網頁腳本，用訪問惡意網頁的計算機進行挖礦等。

與此同時，目前國内仍有多數網站開發者對此重視不夠，并缺乏相對應的安全措施。比如有大量網站未支持SSL證書，更有不少網站僅支持http訪問，使用明文網絡協議傳輸敏感信息。在黑客面前，用戶傳輸的明文數據沒有任何安全機制，如同裸奔，因而在傳輸過程中極易被劫持導緻賬戶丢失。

此外，糟糕的加密算法和使用過時的浏覽器内核也讓普通網民上網時危機四伏。盡管所有安全措施都實施了，但是漏洞有可能會由底層密碼算法套件引入。而使用并未及時更新内核的浏覽器，也使用戶在上網過程中遭遇高危漏洞的概率大為上升。

國内主要浏覽器内核對比

然而，使用SSL證書就足夠安全了嗎？未必。近年來全球範圍内屢次爆出賽門鐵克等CA機構未經授權錯誤簽發大量SSL證書的事件，也讓傳統老牌CA機構的權威性和安全性頻頻遭遇信任危機。

目前https的身份校驗體系基于公鑰基礎設施(PKI)體系，在這個基礎上CA機構的角色被假設為可信且安全的。然而近年來CA機構事故頻發：2013年斯諾登洩漏的文件指出，美國NSA利用一些CA頒發的僞造證書截取并破解大量加密https流量；2017年發生的賽門鐵克證書門，Google Chrome發現賽門鐵克錯誤簽發3萬張https證書，最終導緻國際五大浏覽器廠商對其同時發布不信任計劃。如今各個CA機構新增和吊銷的證書已呈現一定數量級，證書濫發、錯發、無意信任等情況時有發生，證書可信性、真實性無法得到及時有效的檢驗。為此，CA機構已經實現了一些更好的管理方法，但有時候很難依賴它們，證書管理亟需更科學的管理機制。

在此環境下，為進一步提升用戶使用安全性，360正式把證書安全納入安全浏覽器的防護。其實早先國外浏覽器廠商已有類似動作。去年，Google正式宣布推出自有 CA 根證書，擺脫對由第三方簽發的中級證書頒發機構的依賴。而在國内，360浏覽器是第一家推出根證書計劃的浏覽器廠商。梁志輝表示，360自有根證書計劃通過提高問題處理的效率，縮短風險周期，可以有效識别出具體CA機構簽發的網站證書的真實性，幫助用戶快速識别可信安全證書。同時，根證書計劃的實施，還将确保360浏覽器地址欄所出現的https能夠代表真正安全可信的網頁，進一步保證用戶上網安全。

據了解，360浏覽器根證書認證過程，包括CA申請、信息驗證、批準請求、預置測試、正式信任五個部分。為完成根證書預置，CA機構必須遵守360浏覽器根證書認證策略的規定，并提供所有需要的材料，360浏覽器官方将會對這些材料進行審核。

安全大腦賦能 360浏覽器将更加安全、智能、可信

從2007年開始發布第一款産品至今，360浏覽器已走過11個年頭。伴随11年技術沉澱，360浏覽器一直跟各種惡意網站和黑産進行鬥争。這也是繼承了360的安全基因。360集團是中國最大的互聯網安全企業。目前，360彙聚了國内規模領先的頂級安全技術團隊，積累了超萬件原創技術和核心技術專利。進入大安全時代，面對新威脅與大挑戰，360于今年5月發布了全球最大的智能安全防禦體系——360安全大腦1.0版，融合大數據、雲計算、人工智能、IoT、移動通信、區塊鍊等新技術，構建了大安全時代的整體防禦戰略體系，應對萬物互聯時代帶來的全新的安全威脅與挑戰。梁志輝表示，在安全大腦賦能下，未來的浏覽器将更安全、智能、可信。

在安全保障上，360浏覽器在内核的更新上一直與國際保持同步。目前，國内主要浏覽器使用内核仍然停留在一年前版本。這意味着一年前可能已經被黑客武器化的提權漏洞可以被輕易利用。360所開發的浏覽器會按月修補已知高危漏洞，确保公開的漏洞在30天之内被修補，加上獨有的15層安全防禦體系，可通過主動防禦驅動、浏覽器沙箱、網址雲安全等技術應對木馬威脅。

在網絡信息安全技術上，360浏覽器在國内也是首屈一指。早在2015年，360安全浏覽器在國内率先推出支持國密算法的浏覽器産品；從2018年開始，360浏覽器宣布全系産品都将實現國産密碼算法和安全協議的支持，有效彌補了原有密碼應用體系中薄弱的一環。未來用戶無需下載安裝專用的客戶端軟件，使用360浏覽器即可訪問各個支持國産密碼算法、具備更高加密安全強度的網銀、支付等應用。這也是國家自主密碼算法應用推廣的重大突破，對提升我國網絡安全環境、加快推進國産密碼算法在金融領域的應用和推廣，打破國外技術控制，有效規避金融交易風險、保障國家金融體系安全等多個方面都有着深遠的意義。

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!