【导读】

SSL证书决定着Web通信是否真正端到端受保护。忽视密码套件配置与签名算法迁移，可能导致系统在合规审计中被判定为'名义启用HTTPS，实质未加密'。

行业趋势/技术亮点

TLS 1.3已成为主流部署版本，而国密SM2+SM4组合正加速进入金融、政务类SSL证书签发体系。据工信部《2024年网络安全白皮书》，超67%的新建政企网站已完成双算法支持备案。

值得注意的是，RSA-1024已被NIST明确列为禁用算法；SHA-1签名全面失效后，仍存在约12%存量终端因中间设备固件陈旧导致握手失败。

企业挑战与应对方案/专家建议

• 立即开展全站证书指纹扫描，识别含MD5/SHA-1哈希值或低于2048位RSA公钥的过期凭证。
• 采购SSL证书前确认CA机构是否具备GM/T 0015—2023认证资质，尤其面向国产化替代项目。
• 测试阶段应覆盖OpenWRT路由器、老旧IoT网关等非浏览器客户端，验证ECDHE密钥交换稳定性。
• 运维团队须建立证书生命周期看板——包含签发时间、私钥存储方式、OCSP装订状态三项必填字段。

常见问题

• Q：自签名证书能否满足等级保护2.0三级测评要求？
  A：不可以。等保条例明确规定生产环境必须使用国家认可第三方CA颁发的有效SSL证书。
• Q：通配符证书是否允许跨一级域名共享同一私钥？
  A：不推荐。单点泄露会导致*.a.com与*.b.com同时失陷，违反最小权限原则。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。