网站系统在使用自签SSL证书，即自建PKI系统颁发的SSL证书。这一决策可谓得不偿失，自签证书存在严重的安全漏洞，极易遭受攻击。本文分析了自签SSL证书的四大安全风险。
一、自签证书易被假冒和伪造
自签证书是自己制作的证书，既然可以自己制作，那么他人也能轻易伪造出与原证书一模一样的证书，进而创建一个看似相同的网站。而使用支持浏览器的SSL证书则不会面临被伪造的问题，颁发给用户的证书全球唯一且值得信任，无法伪造。一旦欺诈网站使用伪造证书（证书信息相同），浏览器的可靠验证机制会自动识别并警告用户该证书不受信任，可能存在欺骗或数据截获风险。
二、自签证书易受SSL中间人攻击
自签证书不被浏览器信任，用户访问时，浏览器会发出警告，需人工确认是否信任此证书。所有使用自签证书的网站都会提醒用户这一情况，用户往往需点击信任并继续浏览，这就给中间人攻击创造了机会。
典型的SSL中间人攻击发生在中间人与用户或服务器处于同一局域网时。中间人可截获用户数据包，包括SSL数据包，并制作假的服务器SSL证书与用户通信，从而窃取用户输入的机密信息。若服务器部署支持浏览器的可信SSL证书，浏览器收到假证书时会发出安全警告，用户会察觉异常而放弃连接，避免被攻击。但如果服务器使用自签证书，用户可能因习惯点击信任而误信攻击者的假证书，导致机密信息被窃取，如网银密码等，十分危险。因此，重要的网银系统绝不能使用自签SSL证书。
小结：上述第一点和第二点问题皆因自签证书不受浏览器信任，而网站却要求用户信任所致。作为用户，遇到警告时切勿继续浏览；作为网站主人，切不可因使用自签证书而让用户面临被欺诈网站攻击的风险，轻则增加找回密码的客服工作量，重则可能导致用户银行账户资金丢失，甚至需赔偿用户经济损失。
也许有人会说，让用户安装根证书即可解决问题，但实际上，由于用户有过点击信任证书的经历，再次遇到类似情况时很可能继续点击信任，从而落入黑客陷阱。即使在安装USB Key管理软件时悄悄安装根证书，也存在问题，自签证书无法保证证书的唯一性，根证书和用户证书都有可能被黑客伪造。
三、自签证书存在其他安全问题
除了上述两大问题外，由于用户自行开发的证书颁发系统或使用其他公司的证书颁发系统可能缺乏完备的PKI专业知识，未跟踪最新的PKI技术发展，还存在其他重要安全问题。例如，自签证书支持不安全的SSL通信重新协商机制。据安全专家检测，几乎所有使用自签SSL证书的服务器都存在这一安全漏洞，由于自签证书系统未及时跟踪最新技术进行补漏，此漏洞可能被黑客利用以截获用户的加密信息。
四、自签证书无可访问的吊销列表
这是自签SSL证书普遍存在的问题。制作一个SSL证书并不难，使用OpenSSL几分钟即可完成，但要让SSL证书真正发挥作用并非易事。为保证SSL证书正常工作，其中一个必要功能是证书中带有浏览器可访问的证书吊销列表。若没有有效的吊销列表，证书丢失或被盗后将无法吊销，极有可能被用于非法用途，让用户蒙受损失。同时，浏览器在访问时会出现安全警告：吊销列表不可用，是否继续？并且会大大延长浏览器的处理时间，影响网页的访问速度。
