为了创建安全连接，服务器和浏览器需要企业向证书颁发机构(CA)申请SSL证书。CA作为可信的第三方，需要对所申请的公司进行身份验证。(尽管任何人都可以创建证书，但Web浏览器面对证书时会检查其受信任的CA列表;为避免安全相关的错误消息，证书必须来自受信任的CA。)SSL证书包含企业机构的名称、域名、物理地址以及证书的过期日期，还有有关CA本身的信息。
如果你的企业有意采购SSL，那么可以参考下本文。在本文中，我们将先简要介绍SSL定义及其工作原理，并探讨目前各种可用的SSL证书类型以及企业如何选择最佳的SSL。
SSL定义
SSL及传输层安全协议(TLS)是在服务器和互联网客户端之间创建加密链接的安全协议，通常是在Web服务器和Web浏览器之间。它们还用在电子邮件服务器及其客户端之间。加密链接可保护服务器和客户端之间传输的数据(例如登录凭证和信用卡号码)，防止窃听、中间人攻击以及类似威胁。
虽然创建加密链接的工具仍然被称为SSL加密工具，但由于漏洞问题，SSL及早期版本的TLS已不再被认为是安全的协议。现在最佳SSL做法会采用TLS 1.2(或更高版本)，这是目前用于创建安全加密链接的标准技术。
SSL工作原理
为了创建安全连接，服务器和浏览器需要证书颁发机构(CA)向企业颁发SSL证书。为了开启这一过程，管理员必须激活Web服务器的SSL/TLS，创建一个证书签名请求(CSR)文件，并填写该证书所需要的企业信息。这个时候，服务器会创建两个加密密钥：私钥和公钥。公钥包含在CSR文件中，其中会将企业的信息关联到该密钥，然后管理员会发送完整文件给CA，CA验证文件中的信息并发布SSL证书。接着，接收Web服务器会将证书与私钥进行比较。(CA没有对私钥的访问权限;只有请求SSL证书的企业持有私钥。)
请注意，为了获得最高水平的安全性，企业应该至少使用2048位私钥：小位数的密钥已经被破解。现在很多企业都选择4096位密钥，但需要注意的是，现在有些智能卡和读卡器还不支持超过2048位的密钥。
使用SSL证书可在服务器和浏览器之间建立信任关系，而建立信任的过程涉及交换身份信息、SSL证书和密钥，这被称为SSL握手。当Web浏览器请求连接到Web服务器上的安全网页时(通过在浏览器的地址栏输入地址)，服务器会发送SSL证书的副本和公钥到浏览器。然后，浏览器会针对其信任CA列表来检查该证书，以验证该证书是来自可信方，验证证书的有效性(有没有过期)以及证书正在被对应的网站在使用。如果浏览器信任证书，它会发送消息回Web服务器，服务器会返回确认来启动SSL加密会话，这意味着用户可通过这个连接安全地发送机密信息。
Web浏览器会在浏览器中显示挂锁服务，并在地址栏使用https，让用户知道，该网站连接已加密且很安全。
常见SSL证书类型
品牌
在购买SSL时，企业有很多问题需要考虑。为了选出最佳SSL，他们首先必须选择可靠的证书提供商。国外一些商业供应商包括Comodo、Entrust 、Symantec、GeoTrust、DigiCert、GoDaddy、GlobalSign、Verizon等，也有很多其他供应商。选择可靠的CA可确保企业的公钥和SSL证书会有效保护客户端和服务器之间传输的数据，同时，当用户访问网站并看到已知实体的SSL封条时，可能会想到品牌声誉和安全性。
证书类型
三种常见证书类型是单名SSL证书、多域名证书、通配证书。单名证书适用于单个域名或服务器，它很适合只需要保护一个域名或网站的企业。多域名SSL证书是在一个证书中，含有多个主域名，可保护多个不同的主域名。多域名SSL证书至少包括2个主域名，最多可支持 250个主域名。通配符 SSL证书可以同时保护一个主域名下的所有的子域名网站。选择正确证书类型完全取决于企业的网络环境。
验证又是另一回事。在验证过程中，CA在发布SSL证书前会验证申请人的信息。典型的验证是域名验证(DV)、机构验证(OV)和扩展验证(EV)。DV证书是通过验证客户对该域名拥有使用权来进行审核的，因此不能保证网站为合法。出于这个原因，DV证书不适用于商业用途。OV证书可证明企业已被验证且是合法的，而EV证书则提供最高水平的网站验证和身份保证。对于EV SSL证书，CA会执行最彻底的信息检查，包括企业信息、身份验证、域名控制等。EV证书会在地址栏显示公司名称，这种类型的SSL证书通常比DV和OV更昂贵。
如何选购最佳SSL?
为了选择最佳SSL，应该选择至少提供128位保护的供应商。现在，40位强度已被认为很弱，而112位密码(例如3DES)则会很慢，并已不再广泛使用。理想情况下，最好使用256位保护，每增强一倍意味着可更好地抵御大多数攻击类型。
还应该考虑供应商的客户支持及保证。与几年前相比，现在部署SSL更容易，但它仍然必须安装以及得到妥善管理才会有效。请确定你选择的供应商是否提供全年无休的支持，以及优先升级，是否需要付费扩展支持等。此外，还应该确保当客户因为发行不当的SSL证书而遭遇欺诈活动时，供应商会进行相应的赔偿。
总结
CA品牌繁多，SSL证书种类也非常之多，国内代理公司层出不穷，企业在选择时也容易困惑。上海锐成信息科技有限公司旗下在售品牌有Comodo、Entrust 、Symantec、GeoTrust、DigiCert等，其SSL证书业务已经非常成熟。与国内的阿里云、百度云、腾讯云进行合作，现和Entrust推出买Plesk主机，送Entrust OV、EV证书，详情请进入“百度云”的“云市场”，或者登入上海锐成官网查看更多SSL证书介绍！
