SSL加密能否在企业数据中心占一席之地?

可以说，SSL加密一直在网络安全中存在争议。

隐私支持者认为对SSL加密数据包进行检查，例如Web邮件，在几大方面侵犯了终端用户的信任。相反，站在IT安全的角度，有人说SSL加密是一种罪恶，因为它使用SSL反抗恶意软件。那么，SSL解密到底是什么呢?

当终端用户通过网络访问启用了SSL加密的Web服务器时，终端用户设备会发送HTTP GET消息，服务器会返回由权威机构颁发的证书签名后的页面，用户的Web浏览器可以信任并确保网站安全。

Web服务器的公钥证书提交给终端用户设备，终端用户使用这个会话公钥进行加密。当会话建立后，终端用户和Web服务器就可以进行安全通信了。对于 SSL加密，设备放置在终端用户和启用了SSL的Web服务器之间。SSL加密设备本质上是模拟Web服务器的预期行为，让最终用户与它通信，而不是与真 正的Web服务器通信。接着SSL加密装置就可以读取最终用户和目标Web服务器之间的所有通信。

很明显的是，在这样的网络中，终端用户变得没有任何隐私可言，所有的SSL流量都会被监视，毫无遮掩。这种做法乍一看十分卑劣，但SSL加密也有企 业应用和实施的正当理由。第一个原因，是防止和保护专有或敏感信息从企业网络中窃走。然而，NSS Lab公司的研究报告指出，实现SSL加密的主要原因是存在SSL加密的恶意软件。

加密的恶意软件是需要每个数据中心管理员重视的。使用未加密的恶意软件进行攻击的行为普遍存在，但是否进行加密取决于攻击者，如果没有进行SSL加密，面对数据中心内来往的SSL流量而无所事事，可能会放任SSL加密的恶意软件流量横行。

根据NSS Lab的统计，SSL加密流量占据了企业网络出口流量的25%到35%。如果这个数据准确，那么数据中心管理员就可能因为没有SSL加密而对三层的总流量无法管理。

此外，根据NIST特别出版物 800-5，标准的默认加密密码将在今年年底变更为2048位。新标准意味着网络开销将显著提升，而且SSL加密的解决方案也将有所调整。

如果将上述信息纳入安全考虑，数据中心是否需要实施SSL加密作为其安全方案的一部分?答案取决于组织自身需求。

NSS Lab的报告主要侧重于企业内部网络终端用户访问启用了SSL的Web服务器。这是个典型的企业网络，最终用户的使用情况会因为不同企业而有所不同。

从数据中心角度来看，数据中心通常会放置那些Web服务器的实体主机，为用户提供Web服务。NSS Labs还补充了一个事实，只有大约1%的恶意软件使用了SSL加密，可以名正言顺地说，数据中心SSL加密在财务和性能成本上不值得投入。

SSL加密并不保护数据中心本身，而是确保了SSL加密设备的数据中心安全，可以监控企业中来往于数据中心的最终用户流量。从某个角度来看，数据中 心管理员可以放心将加密装置放在某个地方，需要使用时再进行应用，数据中心应该会有更合理的方法来应对利用SSL的恶意攻击，需要找到SSL加密应用的最 佳实践。