兆豐商銀憑證管理工具使用手冊 的第七章對「為什麼採用電子憑證之授權交易在執行時,一直出現「安全性資訊畫面」?」的說明:
Update:第一個,畫面跳出安全性資訊是因為在 https:// 網頁上夾雜 http:// 資訊,這不是 IE 的 bug,而是兆豐金的人設計網頁時的安全漏洞。如果沒有特殊設定,那麼在 SSL 所建立的 Cookie 會因為抓取 http:// 資料而從 Non-SSL 下從網路上傳輸。
IE 會出現警告訊息是正確的作法,因為這本來就有安全問題。
第二個,SSL 連線裡面需要的不只是一種加密方式,一般比較常見的連線是 RSA 1024bits + RC4 128bits (左圖) 或是 RSA 1024bits + AES 256bits (右圖),所以在說明書裡面故意把 “1024bits” 與 “128bits” 放在一起誤導使用者「1024 > 128」是很糟糕的事情:
第三個,兆豐金宣稱使用的 RSA 1024bits + 3DES 與現有 SSL 在使用的 RSA 1024bits + RC4 128bits 比較,會不會比較安全,我覺得… errr…


