SSL vs TLS: Biết các giao thức của bạn cho năm 2020

Google đang phá vỡ bảo mật trang web. Bắt đầu với Chrome phiên bản 62, tất cả các trang web có trường nhập văn bản sẽ cần chứng chỉ SSL hoặc Google sẽ đánh dấu trang web là không an toàn bằng dấu hiệu cảnh báo màu đỏ bên cạnh URL.


Sự thay đổi cũng đến vào một thời điểm thú vị, xem xét sự thúc đẩy gần đây cho các trình duyệt và máy chủ hỗ trợ TLS. Tuy nhiên, nếu bạn mới chơi trò chơi xây dựng trang web, tất cả những từ viết tắt này có thể đủ để khiến đầu bạn quay cuồng.

Chúng tôi ở đây để giải tỏa sự nhầm lẫn về SSL và TLS và chỉ cho bạn cách giữ trang web của bạn trong vùng xanh. Chúng tôi sẽ so sánh những gì các giao thức bảo mật nhằm đạt được, vượt qua các kết nối được mã hóa mới nhất và đưa bạn qua việc mua chứng chỉ cho trang web của bạn.

SSL vs TLS

SSL và TLS làm điều tương tự. Họ giao thức được mã hóa để truyền dữ liệu. Họ làm việc bằng cách thiết lập một cái bắt tay giữa hai máy. Cái bắt tay bao gồm mật mã, xác thực và trao đổi khóa. Sau khi thực hiện xong, một kết nối an toàn được mở giữa các máy.

Dữ liệu di chuyển giữa các máy sau đó được mã hóa và phân mảnh đến một kích thước nhất định, tùy thuộc vào mật mã và được gửi đến lớp vận chuyển mạng. Các mật mã liên quan đến mã hóa, không phải là bắt tay. Các giao thức SSL và TLS được sử dụng đơn giản để hoàn thành bắt tay và đồng ý về một mô hình mã hóa.

SSL là gì & TLS?

SSL là viết tắt của Lớp cổng bảo mật an toàn. Nó được phát triển bởi Netscape và phát hành lần đầu tiên ra công chúng vào năm 1995. Bản phát hành công khai là phiên bản hai và tin tặc nhanh chóng tìm ra cách để vượt qua nó. Một năm sau, Netscape phát hành phiên bản thứ ba, được coi là an toàn trong tám năm.

Mạng lưới

Vào năm 2014, cuộc tấn công POODLE khiến SSL 3.0 không an toàn, nhưng không ai biết điều đó vào thời điểm đó. TLS (Transport Layer Security), một phiên bản SSL an toàn hơn, đã được phát hành vào năm 1999 và đi kèm với cơ chế quay trở lại SSL 3.0 để tương thích ngược.

Khả năng tương thích đó được xây dựng vì cuộc tấn công POODLE, một công cụ khai thác trung gian, đã lạm dụng tính tương thích ngược (để đọc thêm về các cuộc tấn công MitM, hãy xem bài viết của chúng tôi về sự nguy hiểm của WiFi công cộng).

TLS 1.1 xuất hiện vào năm 2006 và 1.2 tiếp theo vào năm 2008. TLS 1.2 là giao thức hiện tại và an toàn nhất, mặc dù 1.3 đã được phê duyệt vào đầu năm nay. Chúng tôi hy vọng trình duyệt và máy chủ sẽ sớm hỗ trợ.

Các giao thức là khác nhau, nhưng không nhiều hơn các phiên bản SSL khác nhau. Quá trình tương tự đang diễn ra, một cái bắt tay giữa hai máy, nhưng phiên bản của giao thức xác định cách nó xảy ra.

Vấn đề tương thích ngược

Sự nhầm lẫn xung quanh SSL và TLS đến từ khả năng tương thích ngược. TLS 1.2 còn sót lại các phiên bản SSL trước đó để làm cho nó tương thích với các trình duyệt lỗi thời. Do đó, nhiều trang web đã bỏ qua các tính năng khiến giao thức như TLS 1.2 không an toàn.

Đó là nơi mà TLS 1.3 xuất hiện. Nó được xây dựng để vô hiệu hóa các tính năng cũ và tăng tốc hiệu suất trên một kết nối an toàn. Thay vì đồng ý về mô hình mã hóa, máy chủ cung cấp khóa mã hóa với TLS 1.3. Về mặt lý thuyết, điều đó làm cho nhiều cuộc tấn công hạ cấp, buộc máy chủ phải sử dụng một giao thức cũ hơn, lỗi thời.

Bản cập nhật mới nhất là một cú hích về phía internet hiện đại, từ bỏ mô hình lỗi thời được thiết lập bởi các phiên bản đầu tiên của SSL. Hy vọng rằng, trong một vài năm, các cuộc tấn công như POODLE đã thắng được nhiều mối quan tâm như ngày nay.

Sử dụng TLS trên trang web của bạn

Giao thức TLS được sử dụng cho trang web của bạn phụ thuộc vào máy chủ mà bạn lưu trữ trên đó. Các nhà cung cấp dịch vụ lưu trữ web tốt nhất chỉ sử dụng TLS 1.1 và 1.2, với 1.0 thường dành riêng cho các nhà xây dựng trang web không bao gồm thương mại điện tử.

Phiên bản cuối cùng của TLS 1.3 chỉ được xuất bản vài tuần trước, do đó, nó sẽ mất thời gian trước khi các máy chủ web hỗ trợ nó. Kinsta, ví dụ, đã giải quyết việc phát hành TLS 1.3 và đang thực hiện các bước để thực hiện nó (đọc bài đánh giá Kinsta của chúng tôi).

Miễn là bạn sử dụng chứng chỉ SSL, kết nối khách truy cập của bạn sẽ được mã hóa. Mặc dù sơ đồ đặt tên đã lỗi thời, các chứng chỉ vẫn hoạt động với các giao thức mới nhất, ngay cả TLS 1.3. Bản thân chứng chỉ không mã hóa bất cứ thứ gì.

Chứng chỉ được sử dụng đơn giản như một phương pháp xác minh. Các hình thức chứng chỉ SSL và TLS khác nhau cho thấy mức độ tin cậy của trình duyệt đối với miền của bạn. Chúng tôi sẽ chạy qua những người trong phần tiếp theo.

Nếu bạn có chứng chỉ, dù là miễn phí từ Dreamhost hay trả phí từ HostGator, trang web của bạn có thể kết nối bằng giao thức mới nhất mà máy chủ của bạn đang sử dụng (đọc bài đánh giá Dreamhost của chúng tôi và đánh giá HostGator).

Có một vài cách để kiểm tra điều đó. Đầu tiên là thông qua máy chủ lưu trữ web của bạn. Ví dụ, GoDaddy có một bảng nhỏ hiển thị phiên bản TLS nào mà máy chủ của bạn hỗ trợ, tùy thuộc vào gói lưu trữ mà bạn có thể sử dụng (đọc bài đánh giá GoDaddy của chúng tôi).

Bạn cũng có thể kiểm tra máy chủ web của mình bằng cách sử dụng kiểm tra máy chủ SSL từ SSL Labs. Nó sẽ cho bạn thấy giao thức nào mà máy chủ của bạn đang sử dụng, cũng như phương thức mã hóa và cung cấp cho bạn một đánh giá tổng thể.

Các loại chứng chỉ SSL và TLS

Một lần nữa, các chứng chỉ SSL được xác định tốt hơn là các chứng chỉ có thể sử dụng SSL và TLS, vì vậy chúng tôi sẽ gọi chúng là các chứng chỉ SSL để tránh nhầm lẫn cho phần này. Bất cứ nơi nào bạn đọc SSL hoặc TLS mà không có phiên bản giao thức, chúng sẽ giống nhau.

Chứng chỉ xác thực tên miền

Hình thức cơ bản nhất của chứng chỉ SSL là chứng chỉ xác thực tên miền, kiểm tra đối với sổ đăng ký tên miền. Về cơ bản, nó xác minh rằng miền mà người dùng đang cố truy cập các điểm đến đúng máy chủ DNS.

Nó có chứng chỉ rẻ nhất để có được, thường được bao gồm trong các gói miễn phí. Jimdo, một trong những người xây dựng trang web tốt nhất của chúng tôi, bao gồm chứng chỉ Let Let Encrypt DV miễn phí, cũng như nhiều người xây dựng trang web và máy chủ web (đọc bài đánh giá Jimdo của chúng tôi).

Tuy nhiên, chứng chỉ DV có rủi ro cao vì các trình duyệt thường có thể xác nhận hợp lệ nếu doanh nghiệp trên trang web hợp pháp. Trong Chrome, bạn sẽ thường thấy giao thức https có khóa màu đỏ với dấu gạch chéo qua bên trái.

Chứng chỉ DV

Nếu bạn đang chạy một blog hoặc một trang cá nhân, chứng chỉ DV vẫn ổn, nhưng nếu bạn yêu cầu thông tin cá nhân, đặc biệt là thông tin thẻ tín dụng, bạn nên sử dụng thứ gì đó mạnh hơn.

Giấy chứng nhận tổ chức

Tổ chức xác nhận chứng nhận kiểm tra đối với các doanh nghiệp hoặc tổ chức. Đại lý từ Cơ quan cấp chứng chỉ sẽ kiểm tra cơ sở dữ liệu đăng ký của chính phủ để đảm bảo trang web là có thật. Tất cả dữ liệu trong chứng chỉ OV là hợp pháp.

Nếu bạn đang điều hành một doanh nghiệp thương mại trực tuyến, đây là chứng chỉ bạn cần sử dụng. URL của bạn vẫn sử dụng https, nhưng sẽ có khóa bên cạnh thanh địa chỉ. Trong Chrome, nó có màu xanh lá cây với chữ “bảo mật” ở bên phải.

Giấy chứng nhận OV

Giấy chứng nhận mở rộng

Chứng chỉ OV là tốt, nhưng chứng chỉ xác nhận mở rộng thì tốt hơn. Chứng chỉ OV yêu cầu kiểm tra một lần duy nhất từ ​​CA, trong khi chứng chỉ EV yêu cầu giám sát liên tục dựa trên các hướng dẫn để xác thực mở rộng.

Quá trình xác minh chặt chẽ hơn nhiều và giá cao hơn nhiều. Tuy nhiên, đối với các cửa hàng trực tuyến lớn, chứng chỉ EV có thể cải thiện niềm tin của người tiêu dùng và tăng doanh số bán hàng trực tuyến.

Đối với bất cứ điều gì khác, chứng chỉ phần lớn là không cần thiết. Ngay cả những trang web lớn mà don khác cũng thu thập thông tin người dùng, don sử dụng chứng chỉ EV. Nếu bạn đang sử dụng một, trình duyệt sẽ hiển thị một thanh địa chỉ màu xanh có khóa, cùng với tên của công ty bạn.

Chứng chỉ EV

Suy nghĩ cuối cùng

Không thiếu những từ viết tắt khó hiểu khi nói đến an ninh mạng và việc thay đổi từ SSL sang TLS không giúp ích gì cho điều đó. Mặc dù các giao thức là khác nhau, nhưng chúng hoàn thành cùng một mục tiêu: kết nối an toàn giữa máy chủ và người dùng.

Theo như các chứng chỉ, các điều khoản có thể thay thế cho nhau, vì vậy don don lo lắng về việc nâng cấp chứng chỉ SSL lên chứng chỉ TLS. Họ làm điều tương tự.

Nếu bạn đang tìm kiếm các nhà cung cấp dịch vụ lưu trữ web có thể hướng dẫn bạn trong suốt quá trình, hãy đảm bảo đọc lưu trữ web giá rẻ tốt nhất của chúng tôi để tìm hiểu cách thực hiện mà không cần nhiều tiền.

Có điều gì khác mà bạn tò mò về các kết nối SSL hoặc TLS không? Hãy cho chúng tôi biết trong các ý kiến ​​dưới đây và, như mọi khi, cảm ơn vì đã đọc.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me