国内数字网络证书情况分析

背景


在上一篇文章中，我们介绍了因俄乌冲突所引起的证书吊销情况的分析。在这篇文章中，我们继续利用360netlab的Certdb数字证书库，分析国内证书的签发，使用和覆盖情况，评估目前数字证书的实际使用情况。并结合使用证书的典型行业，对国内的若干重要行业的证书使用情况进行细化分析。



数据筛选


同上一次一样，证书库是一个巨大的数据库。我们从中选出我们关心的子集进行定量的分析，需要明确目标数据，制定好过滤条件。

这次我们分析国内的相关数据，主要聚焦在：


1. 中国大陆使用的证书；
2. 非自签名，非过期以及其他类型的非安全证书；
3. 近三个月活跃的证书；
4. 在大网上可以公开获取的证书（这一条在对外发布的时候，需要删除，下面涉及的相关内容也要删除）。



由此，获取了近260万条证书(2,594,635)。


下面说一下这些证书筛选条件的原因：


 1. 中国大陆使用的证书具体来说主要包括（满足任意一条即可）：
    
    * 证书部署的IP在境内
    * 证书主体的国家代码为CN
    * 证书通用名中的域名或者SAN中包含的域名的的顶级域为CN
      
      通过这三个条件，可以较为全面的得到中国的证书库。
    
 2. 有效的和活跃的证书主要是保证证书的有效性。对于自签名，已经过期或者其他的原因判定为不安全的证书，和我们的分析主题相差较远，没有必要选取这些数据。
 3. 大网上可以公开获取的证书用于将用户电脑上生成的证书去掉。现在个人电脑上安装的一些软件（比如一些杀毒软件，广告拦截软件或者一些恶意程序等）会将自己的证书写入到操作系统的根证书目录。





关于数据筛选的遗漏问题

按照条件一进行的筛选可能还存在一定的数据遗漏，比如满足下面的条件就会造成遗漏：

证书数据中没有包含证书主体的国家代码

证书签发使用的域名的顶级域不是CN

同时其业务也没有部署在国内的IP地址上

整体来说这部分比较少，并且这么部署的业务并非我们关注的关键行业。因此不会影响到整体的分析结论。




数据分析



基本情况


安全等级情况说明（对外发布需删除）


在排除掉常见的签发非webPKI体系证书的软件(比如安全软件，广告拦截软件以及一些的恶意软件)之后，近260万证书中，大概还有40%的证书（近104万）是非webPKI体系里面的。

这部分数据分为两大类：


 1. 外面可以通过扫描或者其他的探测方法探测到的，总数在44万左右
 2. 外网通过扫描无法探测到的，总数在60万左右


这两类数据我们通过分析其证书签发者组织（issuer O字段），对其进行了统计，如下图：




在外网无法探测到的数据中，具体来说：


 1. 主要来源是来自于360se。这类证书大概率是在用户的电脑中，已经安装了相应软件的根证书，并且这类软件没有出现在我们在筛选说明4中列出的软件范围之内。
 2. 值得一提的是在，在60万的无法探测到的证书中，有88%来自于国家统计局（所谓NBS，National Bureau of Statistics)，还有是5%左右的用于国家税务局系统的PorxyeeRoot。
 3. 对统计局的证书分析之后发现，这些证书都属于统计局联网直报平台。覆盖的IP大概有30多个，国内有接近20个省。其根证书为自签名的根证书：4118cfffe1d9d9f528de0547efc2e926cfd983d0。
 4. 国家税务总局的数据同样来自于一个签发的根证书：6c6aff443835988bbdc6b3dc21480246c30db00e。电子税务业务需求。


剩余的是其他的一些的外网扫描不到的证书，占比7%左右，大概总数在4万+。这部分数据太过长尾，并且与我们此次分析目标没有关系，本文直接跳过。


证书分类情况


以下的所有分析都是基于在260万证书去除掉外网扫描不到的近60万（592,978）条不安全的证书基础上，即剩余200万证书的基础上的分析。

这200万证书中，可以分为两大类：


 * 一类是在PKI体系中可以校验的，即可以通过证书链完成安全性检查
 * 一类是设备厂商自签名的
   
   * 设备厂商包括通信设备，比如路由器，交换机等
   * 也包括一些安全设备，比如防火墙，IPS/WAF等
   


比如TOP20的签发者信息如下：





issuer_O
count
in PKI
所属厂商




DigiCert_Inc
626,746
yes
DigiCert


TrustAsia_Technologies_Inc.
384,109
yes
亚洲诚信


Let's_Encrypt
373,862
yes
Let's Encrypt


Sectigo_Limited
34,192
yes
Sectigo


HW
29,207
no
华为


sangfor
28,819
no
深信服


BIC
24,367
no
未知


Synology_Inc.
22,334
no
群辉科技


ZeroSSL
15,955
yes
ZeroSSL


GlobalSign_nv-sa
14,428
yes
GlobalSign


Fortinet
14,350
no
飞塔


INFOSEC
8,871
no
深信服


Hillstone_Networks
6,467
no
山石网科


WoTrus_CA_Limited
6,122
yes
沃通


VMware_Installer
6,022
no
VMware


QNAP_Systems_Inc.
5,731
no
QNAP


Acme_Co
5,416
no
k8s


Huawei
5,336
no
华为


Cloudflare_Inc.
4,638
yes
Cloudflare


hangzhou
4253
no
k8s


Other
363,830
mix






其占比如下图所示：




在PKI体系中的证书的情况


如果只考察在PKI系统中的证书的话，有效证书数量会下降到156万（156,6630）左右。


从签发机构来看，看国内的证书集中在DigiCert，亚洲诚信和Let's Encrypted这三家，合并市场份额超过90%。




这156万证书覆盖了：


 * 224万条域名，包含16.8万条带有 * 扩展的泛域名
 * 二级域名接近94万个
 * IP大概有102万左右


评估国内证书覆盖度的话，我们看到大概224万域名有证书信息，覆盖的二级域名大概近100万。按照CNNIC刚刚发出的第49次《中国互联网络发展状况统计报告》[1]，国内域名总数在3600万左右，这样算下来2.7%。不过按照我们以往的经验，大约80%的域名可能都是死域名，不活跃域名或者部署在境外的域名。如果按照80%的死/极度不活跃/部署在境外的域名计算，国内网站使用网络数字证书的比例应该不超过15%。


关联到35,698家我们识别的重要单位，132,695个证书。按照我们对单位级别的划分，高中低级的占比分别为（重要程度A >B > C）：







在实际情况中，同一个证书可能会用于不同的单位。

这种情况比较常见于两个公司有极强的相关性的情况。比如父子公司或者一个公司实体多个公司名称的情况。

所以如果完全根据所对应的域名区分不同单位的话，单位数量可以达到38,515。

为了避免歧义和统计方便，本文后续以一个证书识别到的第一个单位为准，即按照上文所说35,698条来计算。


单位高中低级别划分的说明：

为了更好的对单位的情况进行分析，我们对识别的单位进行了级别划分，分为A，B，C三级。其中

A级：为政府机关，央企（含金融类央企），国防机构，重点医院，部属院校以及其他需要重点关注的行业和单位

B级：央企成员单位；其他金融；医疗；其他本科高校以及注册资产超十亿人民币的企业

C级：其他的事业单位



证书级别来看，国内网站使用的数字证书绝大多数都还是使用DV类型的证书，OV/EV以上的加起来份额大概在4%左右。这个比例分布和我们实际使用证书的场景是吻合的，大多数业务都不要高等级的数字证书。







目前主流的证书验证级别分为三种，分别是Domain Validated(DV), Organization Validation(OV)和Extended Validation(EV)：


 * DV验证是身份验证最少的SSL证书，即使是恶意程序也可以快速的轻松获取。这类证书主要用在个人网站，自媒体以及不包含个人敏感数据的网站。
 * OV证书需要验证企业身份信息后颁发。OV SSL证书是当前最常见的证书类型，适用于行政、企业、科研、邮箱、论坛等各类大中型网站。
 * EV顶级SSL证书，又称扩展验证型SSL证书。安全级别最高，验证审核最严格，网站部署EV SSL证书后，浏览器地址栏将变成绿色并显示企业名称。EV SSL证书一般应用于金融、银行、电商等安全需求较高的网站。



证书签发机构所属国家来看，美国占比接近70%。很大程度是因为Let's Encrypt的免费证书以及DigiCert的Encyption Everywhere占据（事实上这俩签发证书占总证书的55%，占美国签发证书的85%）。国内CA签发的证书占比接近27%，大多数是亚洲诚信贡献的。




下面对一些重点行业的数据进行分析。



重点单位的情况


前面提到，我们利用证书数据，共标记了13万+的数字证书可以对应到我们识别出来的重点单位上。这些单位按照国内省份的分布可以看到，北京，上海和广东省的数量遥遥领先国内其他的省份，这既反映了国内重点单位的分布，也反映了单位对数字证书的重视程度。




同时我们按照我们自己对识别单位的行业标签，对证书数据做了分析和统计。整体来看，企业尤其是和信息技术和科学研究相关的行业采用数字证书的比例较高。







由于一个证书所对应的单位可能存在多个标签，并且行业划分的不一致性等因素，行业数据并非此次分析数据的完整呈现，仅供参考。



政府网站的情况


抽取以gov.cn为顶级域的情况进行分析

FQDN：11,078，其中存在泛匹配的有1,106条。二级域名2,993个。

360Netlab 能够看到的顶级域为 gov.cn 的域名数量为 1,118,190 个，考虑到证书信息中有泛匹配的情况，所以对这些域名抽取二级域名得到的数量为13,047。按照最乐观的估计，即使用证书的政府网站均使用了泛匹配的证书（实际大概在1/3左右），在我国政府类网站中，采用了SSL证书的比例只有23%左右。

具体来看，浙江省政府以及浙江下面的市使用证书的情况会更普遍一些，另外经济发达的省份相比较而言也更普遍。还有就是特定业务，比如税务行业使用较为普遍。




从证书颁发机构来看，主要是DigiCert，占比达到了54.8%，接下来是国内的亚洲诚信，占比达到了19.1%，排名第三的是Let's Encypt。




从DigiCert的数据来看，有接近70%的数据是使用其Encryption Everywhere 的DV类型证书，再加上Let's Encrypt的免费证书，以及其他的签发机构提供的DV

类型的证书，国内政府机构使用DV类型的证书占比为77.9%左右。



比如下面的例子中看到贵阳市人民政府的证书使用的就是DigiCert签发的




如果从签发证书所属国别来看，国内政府网站使用的证书的签发国家主要是美国占57.5%，中国占36.6%。余下的由比利时和英国占据。




金融行业的情况


根据我们抽取的重点单位包含金融类标签的数据，共得到11471条证书。覆盖了全国3000余家金融机构，包括银行，证券，保险等金融机构。既有地方性的金融单位（比如各地的村镇银行）也有全国性的大型金融机构（比如五大行等），还有外资在国内设立的独资或者盒子的金融机构，覆盖面还是较为广泛的。


从签发机构上来看，DigiCert仍然是毫无争议的第一，不过GlobalSign上升到第二位，国内专门做金融机构的中国金融认证中心（同时也是根证书签发机构）排在亚洲诚信之后位居第四，沃通排在第五，Let's Encrypt以1.8%的份额排在第六。




从我们的数据中发现，如果从证书级别来看，显然金融机构类的证书级别要比政府类的高不少。OV和EV以上级别的证书占比超过了66%，这个占比是政府类证书的3倍。




同样，从签发机构所在国家来看，金融机构使用国外证书的情况比政府更普遍一些，国内证书的占比只有20%。



比如金融类的监管机构中国证监会在3月份就新申请了Let's Encrypt签发的证书，不过可能是测试目的。目前官方网站使用的是阿里云签发的证书，不过由于配置错误，目前chrome浏览器无法完成TLS握手。





央企（不含金融类央企）的情况


根据我们抽取的央企（包括央企的成员单位）的相关数据，共得到836家央企及其成员单位使用的4699个证书。


从签发机构来看，和政府类以及金融类类似，DigiCert仍然排在第一的位置。央企也有2.4%的证书来自Let's Encrypt，看来方便使用和免费的策略对大型公司来说也是极有吸引力的。



一个例子，国家电投使用了Sectigo签发的证书。




从证书级别来看，其DV证书的比例介于政府和金融机构中间，占比超过了一半，达到了51%。




证书签发机构所在国家来看，央企及其成员单位同政府和金融单位类似，因为有类似的签发机构，所以签发机构所属国别分布也类似，美国的签发机构占比最大，达到了64%，接下来是国内自己的CA机构，占比27%。




xxxx


。。。其他行业的数据分析



国内CA机构


从上面的数据中，我们可以看到国内的CA机构中国的数字证书颁发上有一定的比例。

从统计结果上来看，国内的证书主要由亚洲诚信，沃通，北京信查查信用管理公司和中国金融认证中心。除了中国金融认证中心之外，其他的CA机构都是中间CA，其中：


 * 沃通和信查查的上游CA是位于波兰的Certum
 * 亚洲诚信的上游是DigiCert
 * 考虑到上游RootCA对中间CA的影响力，比如诚信亚洲的证书撤销列表文件链接或者OCSP链接都是直接托管在DigiCert的网站上。沃通和信查查也有类似的情况。


其实国内是有些被普遍的浏览器和操作系统认可的rootCA的，比如中国金融认证中心(CFCA),Guang Dong Certificate Authority(GDCA),天威诚信(iTrusChina), 上海数字证书认证中心(SHCA)等。不过在我们的数据统计中，除了CFCA在终端能看到有大量的证书之外，其他的机构很少看到相应的证书。具体原因尚不清楚。



结论


 1. 在我国政府，金融，央企等重点行业和单位使用的数字证书大多数都是美英等国家CA签发的证书，尤其是DigiCert几乎占据了所有重点行业的头部市场份额。从上一篇文章中我们可以看到在俄乌冲突中,吊销俄罗斯证书的CA机构中DigiCert首当其冲，并且其吊销的证书数量是最多的，其次是Sectigo。
 2. 国内CA机构占有的市场比例较小，只有亚洲诚信的市场份额较为可观，其他的都比较小。包括类似中国金融认证中心这类根CA其市场份额也比较小，只有在特定的行业(比如金融)有一定的优势。
 3. 我国政府域名使用有效SSL证书的情况尚不普及，从我们统计的数据来看，活跃的政府域名数字证书在二级域名层面最乐观的情况下，覆盖面也只有23%左右。
 4. 经济发达的省份和特定行业的政府机关使用证书的普及率较高。
 5. 金融行业使用的证书等级较高，但是使用国内CA签发的证书比例较低，只有20%左右。
 6. 在使用证书等级方面，金融机构使用高等级证书的比例最高，央企次之，政府则最低。
 7. 综合来看，在推进使用网络数字证书和国内数字证书颁发机构在提高市场占有率发展有较大的空间。



参考资料


 1. http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/202202/P020220407403488048001.pdf