SSL证书是网络空间安全的“卡脖子”产品
2023年4月15日

一、引言

早期的互联网仅用于信息发布，所以互联网核心传输协议HTTP是一个明文传输协议。但是，随着互联网用户越来越多，人们就开始把互联网用于电子商务、网上银行等，这些应用不能是明文传输，必须加密机密的交易信息和账户口令等信息，所以当时的浏览器厂商美国网景公司(Netscape)于1994年就发明了SSL协议，并由全球第一个商业CA机构--VeriSign开始签发SSL证书，这是密码技术在互联网的第一个非常成功的加密应用-HTTPS加密，一个很巧妙地利用非对称算法来交换对称加密密钥的解决方案，巧妙地实现了从浏览器到Web服务器之间的交互信息的自动化加解密和服务器身份认证。

当然，这不是一个简单的单个密码产品应用，而是一个生态系统的支持和应用，做一个产品容易，做一个生态难，本文将重点讲这个生态。这个生态是如此的成功，以至于现在全球互联网的每一个应用都离不开这个密码产品(SSL证书)，以至于这个密码产品成为了美国用于制裁他国的一个重要武器。

截止到2023年4月15日，全球已经记录在案的SSL证书总数为91.70亿多张，这是从2013年开始记录在谷歌证书透明日志系统的真实数据，其中未过期的有效SSL证书总数为5.29亿张，由此数据可以看出，SSL证书是全球使用最广泛的最成功的密码产品，一个美国竭尽全力去维护其遥遥领先地位的密码产品！但是，我国互联网安全仍然100%依赖这个RSA密码算法的密码产品来实现https加密，怎么办？

二、SSL证书应用生态是如何打造出来的？

习近平在2021年的两院院士大会和中国科协第十次全国代表大会上的讲话中说：基础研究更要应用牵引、突破瓶颈，从经济社会发展和国家安全面临的实际问题中凝练科学问题，弄通“卡脖子”技术的基础理论和技术原理。

SSL证书是最重要的密码应用，所以我们要弄懂这个“卡脖子”产品的技术原理和应用生态，这样才能从国家网络空间安全面临的实际问题出发去理解和思考解决方案。我们必须弄清楚SSL证书是如何生产出来的，SSL证书的应用生态是如何打造的，为何形成了生态就变成了无敌的武器，从而启发我们思考我国应该如何打造基于商用密码的SSL证书应用生态，如何打造出我们自己的基于商用密码的无敌的保障我国网络空间安全的大国重器。

SSL证书涉及到多个方面的产品和厂商，首先是CA系统能签发SSL证书，浏览器能验证SSL证书并用SSL证书实现https加密，当然这张SSL证书不仅必须是浏览器信任的根CA机构签发，而且必须是已经在浏览器信任的证书透明日志系统透明备案公示的，以便第三方监管机构和审计机构能实时了解和监督SSL证书的签发行为，保障SSL证书的自身安全可信。这里还有一个最重要的一项就是制定SSL证书的签发标准和审计标准，确保CA机构按照统一标准签发合格的SSL证书，这些标准主要包括SSL证书基线标准、CA审计标准和证书透明标准(RFC6962)，从而有力保障SSL证书的可靠生产供给能力，为SSL证书在全球范围的广泛应用奠定了应用基础，也就是说首先必须保障这个被广泛应用的密码产品的可靠产能。

有了安全可靠的产能保障，就可以大规模的应用这个密码产品了。而要想一个产品能大规模的应用只有自动化一条路，而要实现整个生态的所有系统的自动化应用，当然首先得有标准，大家按照统一的标准来实现自动化部署，这个标准就是RFC8555(自动化证书管理环境, ACME)。有了标准，CA系统就需要改造提供自动化证书管理API，用于证书自动化管理客户端软件能对接API实现SSL证书的自动化申请、验证、部署和续期，用于各种需要SSL证书的云服务能对接API实现云服务所需的SSL证书的自动化申请、验证、部署和续期，用于各种需要SSL证书的物联网(车联网和工业互联网)设备能对接API实现物联网设备加密通信所需的SSL证书的自动化申请、验证、部署和续期，只有这样才能让每一个网站、每一个云服务和每一个设备都能自动化实现https加密，才能真正大规模的普及应用SSL证书这个密码产品来保障互联网、物联网和工业互联网的所有应用的通信安全和数据安全。也就是说，只有自动化才能为快速部署应用SSL证书提供了可靠的技术手段，才能具备SSL证书的快速部署应用能力。

三、SSL证书用在哪？哪些地方是“卡脖子”的卡点？

这是一个非常重要的问题，必须单独列出一个段落来讲清楚这个问题。只有知道SSL证书这个密码产品用在哪，才能理解为何它是一个“卡脖子”产品，因为它用在了各种重要的位置，被卡住就有可能没命了！

SSL证书的发明就是为了实现从浏览器到Web服务器之间建立一个数据加密通道，而目前各种互联网应用全部都是从客户端(浏览器或APP)到服务端(云端)的应用，这个加密通道非常重要，没有这个加密通道就没有今天的这么繁荣的互联网应用，大家每天上网用的任何应用都是用SSL证书这个密码产品实现数据加密传输，这是密码在互联网的最重要的一个加密应用。这就是为何所有浏览器都会对明文传输的http网站显示为“不安全”，这不是浏览器在吓唬用户，是真的不安全。没有使用SSL证书启用https加密就等于把用户的机密信息和网站的机密数据都通过明文在互联网传输，非常容易被非法截获和非法篡改，使得其他任何网络安全防护措施都等于零，因为安全防护的目的是为了保护数据。

从浏览器/APP到服务端要实现正常的https加密，有多个环节会成为“卡脖子”的卡点。第一个卡点是SSL证书随时可以被吊销，CA机构只需点一下鼠标即可。俄乌冲突发生后俄罗斯政府网站和银行网站遭遇的就是正在使用的SSL证书被非法吊销，使得用户正在访问的政府网站和网银系统瞬间无法访问。证书吊销机制本是为了保护用户的SSL证书私钥可能被泄露后SSL证书不会被滥用的安全机制，但是这是一个双刃剑，也可以用于“卡脖子”。

SSL证书的第二个卡点是断供，俄乌冲突发生后俄罗斯政府网站和银行网站不仅遭遇正在使用的SSL证书被非法吊销，而且遭遇不再给这些网站签发新的SSL证书，也就是断供，不提供SSL证书给你，让你的网站系统裸奔！其实，这个断供一直存在，国际CA一直不被允许向古巴、朝鲜、伊朗、叙利亚等多个国家域名的网站签发SSL证书。

SSL证书的第三个卡点是浏览器，签发一张SSL证书很容易，用OpenSSL等工具也就是一个命令行就能搞定的事情，但是为何SSL证书成为了“卡脖子”的产品呢？那是因为SSL证书还有一个信任机制，如果浏览器和操作系统不信任这张SSL证书的签发根证书，则这张SSL证书一文不值。所以，其价值体现在整个应用生态信任这张SSL证书，不仅是浏览器和操作系统信任，而且还有证书透明日志系统也必须信任，这是一个重要的卡点，浏览器不信任你签发的SSL证书，这张证书就是废纸一张。

SSL证书的第四个卡点是密码算法和证书标准，这是一个核心卡点，你签发的SSL证书用人家的密码算法，当然是否信任你签发的SSL证书人家说了算。即使今天我信任了你的RSA算法根证书，但是明天我可以不信任你的根证书，因为算法这个命根子掌握在我手中！即使你有自己的算法，用自己的算法签发了SSL证书，但是我可以说签发的这张SSL证书是非法的，不符合“国际标准”，我就可以制裁你，不再信任你的RSA算法根证书！

SSL证书的第五个卡点是生态，这也是一个非常要命又很难短时间解决的卡点。即使你有自己的算法，也可以用你自己的算法签发SSL证书，但是整个生态产品都不支持你的算法，让你的SSL证书根本就无法使用，也没有用户敢用。要想你的算法的SSL证书能用，必须有一个依据标准建立的生态，必须有一个非常易用的快速部署应用方案，并尽快占领足够的市场份额，用的地方多了，生态就起来了。

四、 我国应该如何解决这个“卡脖子”问题？

既然我们已经了解了SSL证书的生态是如何打造的，其“卡脖子”的卡点在哪里，并且认识到了这个“卡脖子”的确是很要命的，那么我们就应该打造出自己的SSL证书应用生态—商密SSL证书应用生态，彻底解决“卡脖子”难题。

同RSA密码体系的SSL证书一样，当然也是要打造一个采用商用密码SM2 SSL证书的应用生态，一个采用商密算法的由证书透明日志系统运营方、监管和审计方、CA机构、浏览器厂商、证书自动化客户端厂商和证书自动化云服务提供商等多方共同组成的生态系统，各自共同努力就能实现商用密码SSL证书的快速部署应用而形成应用生态，从而彻底解决SSL证书的“卡脖子”难题。

五、 结束语

HTTPS加密是网络空间安全的核心密码应用，而加密用的SSL证书的可靠供给能力和快速部署应用能力则是打造SSL证书应用生态的关键。而要打造这两个能力的关键是尽快建立相关的标准，这一点必须高度重视。有了标准，有了《密码法》和《密用密码管理条例》的保障，加上密码业界和网络安全业界的共同努力，我们坚信商密SSL证书的应用生态一定能够快速地建设起来，就一定能彻底解决SSL证书的5个“卡脖子”难题，就一定能充分使用密码来保障我国网络空间安全，保障我国国家安全。