仅有71%的政府网站通过了SSL测试

Claire| 2017-12-01 来源: SSL 评论数( 0 )

周一,信息技术&创新基金会发布了一份名为“美国政府网站基准调查”的报告。这份报告长达90页,包含了一些有趣的统计数据,内容是关于联邦政府的大量网站的性能和安全性情况。

报告中有一个有趣的发现:政府网站采用SSL证书的比例持续增长,但SSL证书并未得到恰当的实施。或者换句话说,需要做的工作还有很多。

让我们来看一看吧。

尽管我强烈建议你亲自去看一看这份报告,但我也意识到90页的文件确实有点多。因此,我们只讨论有关SSL证书的那一部分,并从该项研究的方法学开始讲起。大体上说来,他们鉴别了468份联邦政府网站,并对每个网站做了4项基准检测。考虑到我们的目的,这些检测中有三项都不那么重要,我们主要关注安全性。

“为了评估联邦网站的合规性,报告使用了两种不同的现成工具。首先,我们使用了Verisign实验室的DNSSEC Debugger,一种基于网络测试工具来检查网站的DNSSEC情况。其次,为了鉴别网站是否启用了HTTPS协议,我们使用了一种能检测SSL证书的工具,该SSL证书可以支持大多数的HTTPS连接。根据每个网站SSL证书的使用和运行情况,我们在0到100之间进行打分,从而确定网站是否有使用HTTPS。

达到90分才被认为通过测试。

以下是得出的一些结论:

• 在审查的网站中,有90%启用了DNSSEC。

• 今年,被审查的网站仅有71%通过了SSL测试。

• 然而,在Alexa上的10万个网站中,政府网站通过测试的数量比例从78%下降到了75%。

• 在SSL得分方面,参与此次和上一次测试的网站,它们中的大多数(55%)都没有提高或降低。

• 在被测试的网站中,有31%的SSL得分提高了,14%降低了。

• 在没有进行任何改变的网站中,有23%未能通过SSL测试。

根据联邦政府网站受欢迎程度的SSL得分

  

ITIT的走势图

以下是一些其他的珍闻,值得从报告中摘录出来:

• 审查的网站中仅有8%启用了HTTPS

• 国际贸易管理总局(trade.gov)仍旧是通过HTTP来进行服务的

• US Trade Representative网站(ustr.gov)和国家气象局(weather.com)易受到POODLE攻击。

• 国际贸易管理总局(trade.gov)易受到DROWN攻击。

另一个重大的问题是错误配置和支持过时的密码。

最后一点建议

我们支持生命周期较短的证书的原因是,我们时常不得不发行和安装新的证书,以保持加密技术为最新的。从相反的方面看,你的数字证书在你的服务器上存在的时间越长,就越容易过时。

你需要更新你所部署的产品,以确保支持最新的协议、密码和算法。报告中所揭露出来的一些漏洞就是由于支持了老版的SSL证书,如SSL 3.0,它甚至从技术上来说都不再被称为SSL了。因此,你需要经常确保你支持最新的、更加安全的密码,而不再使用老版、过时的密码。

问题在于,保护网站的办法不只简单地添加SSL证书这一种。不管是增加一个HSTS栏,还是确保网址仅支持最安全的加密,仅仅只拥有SSL和最大化的使用它是有差别的。

 

 

标签:

聚焦云计算,扫描二维码,关注HostUCan云计算

有好的文章希望站长之间帮助分享推广,猛戳这里我要投稿

您需要登录后才可以评论登录|注冊

暂无评论