面试题：安全认证之SSL证书在复杂业务场景下的选择

Question

假设你负责一个大型金融机构的后端开发安全认证工作，该机构有多个子业务系统，包括网上银行、移动支付、理财平台等，不同系统对用户信息安全要求不同，且有不同的域名管理体系。请阐述你会如何选择合适的SSL证书类型以满足各系统需求，并说明理由。

Answer 1

1. 网上银行系统

• SSL证书类型选择：通配符证书或多域名证书。
• 理由：网上银行通常有多个子域名用于不同功能模块，如登录、交易、查询等。通配符证书可保护主域名及其所有子域名，如 *.bank.com 能覆盖 login.bank.com、transfer.bank.com 等；若子域名分布在不同域名体系下，多域名证书可保护多个不同域名，确保用户在访问各子域名时都能建立安全连接，保障用户敏感交易信息和账户信息传输安全，且可减少证书管理成本。

2. 移动支付系统

• SSL证书类型选择：扩展验证（EV）SSL证书。
• 理由：移动支付涉及用户大量资金交易，对安全性要求极高。EV SSL证书经过严格的身份验证过程，颁发证书时证书颁发机构（CA）会对申请组织进行多方面审核，包括合法存在性、运营状态、联系信息等。浏览器会以醒目的方式（如地址栏变绿并显示公司名称）提示用户该网站经过严格认证，可有效增强用户对移动支付系统的信任，防止钓鱼网站模仿，保障支付过程安全。

3. 理财平台

• SSL证书类型选择：组织验证（OV）SSL证书。
• 理由：理财平台涉及用户资产和个人财务信息，安全性要求也较高。OV SSL证书要求证书申请者向CA提供组织相关信息并通过验证，可确认网站所属机构真实身份，让用户知晓与之交互的是合法正规理财机构，在一定程度上保障用户信息安全。相较于EV证书，其验证流程稍简，成本可能更低，在满足理财平台安全需求同时可控制成本。