SSL против TLS: знай свои протоколы на 2020 год

Google расправляется с безопасностью веб-сайта. Начиная с версии Chrome 62, всем веб-сайтам с полями для ввода текста потребуется SSL-сертификат, иначе Google пометит веб-сайт как незащищенный с помощью красного предупреждающего знака рядом с URL.


Изменения также происходят в интересное время, учитывая недавние попытки браузеров и серверов поддерживать TLS. Тем не менее, если вы новичок в создании веб-сайтов, всех этих сокращений может быть достаточно, чтобы ваша голова кружилась.

Мы здесь, чтобы устранить путаницу с SSL и TLS и показать вам, как сохранить ваш сайт в зеленой зоне. Мы сравним то, к чему стремятся протоколы безопасности, рассмотрим последние зашифрованные соединения и проведем вас через покупку сертификата для вашего веб-сайта..

SSL против TLS

SSL и TLS делают то же самое. Это зашифрованные протоколы для передачи данных. Они работают, устанавливая рукопожатие между двумя машинами. Рукопожатие включает в себя шифр, аутентификацию и обмен ключами. Как только это будет сделано, между компьютерами будет открыто безопасное соединение..

Данные, передаваемые между компьютерами, затем шифруются и фрагментируются до определенного размера, в зависимости от шифра, и отправляются на сетевой транспортный уровень. Шифр имеет дело с шифрованием, а не с рукопожатием. Протоколы SSL и TLS просто используются для завершения рукопожатия и согласования модели шифрования..

Что такое SSL & TLS?

SSL означает «Уровень защищенных сокетов». Он был разработан Netscape и впервые выпущен для публики в 1995 году. Публичный выпуск был второй версией, и хакеры быстро нашли способы его преодолеть. Год спустя Netscape выпустил третью версию, которая считалась безопасной в течение восьми лет..

Netscape

В 2014 году атака POODLE сделала SSL 3.0 небезопасным, но никто не знал об этом в то время. TLS (Transport Layer Security), который является более безопасной версией SSL, был выпущен в 1999 году и поставляется с резервным механизмом SSL 3.0 для обратной совместимости..

Эта совместимость была встроена потому, что атака POODLE, эксплойт «человек посередине», использовала обратную совместимость (чтобы узнать больше о атаках MitM, ознакомьтесь с нашей статьей об опасностях общедоступного WiFi).

TLS 1.1 вышел в 2006 году, а 1.2 последовал в 2008 году. TLS 1.2 – текущий и наиболее безопасный протокол, хотя 1.3 был утвержден ранее в этом году. Мы ожидаем, что браузеры и серверы скоро его поддержат.

Протоколы разные, но не более, чем разные версии SSL. Происходит тот же процесс, рукопожатие между двумя компьютерами, но версия протокола определяет, как это происходит.

Проблема обратной совместимости

Путаница вокруг SSL и TLS происходит из-за обратной совместимости. TLS 1.2 имеет остатки более ранних версий SSL, чтобы сделать его совместимым с устаревшими браузерами. Таким образом, многие веб-сайты не отключили функции, которые делают протокол, такой как TLS 1.2, небезопасным..

Вот тут-то и появляется TLS 1.3. Он построен для отключения устаревших функций и повышения производительности в безопасном соединении. Вместо согласования модели шифрования сервер предоставляет ключ шифрования с TLS 1.3. Это теоретически делает множественные атаки с понижением рейтинга, которые заставляют сервер использовать более старый протокол, устаревшим.

Последнее обновление является толчком к современному Интернету, отказавшись от устаревшей модели, созданной ранними версиями SSL. Надеемся, что в течение нескольких лет такие атаки, как POODLE, не станут такой серьезной проблемой, как сегодня..

Использование TLS на вашем сайте

Протокол TLS, используемый для вашего сайта, зависит от сервера, на котором вы размещены. Лучшие провайдеры веб-хостинга используют исключительно TLS 1.1 и 1.2, а версия 1.0, как правило, предназначена для разработчиков веб-сайтов, не включающих электронную коммерцию..

Финальная версия TLS 1.3 была опубликована всего несколько недель назад, поэтому потребуется время, чтобы веб-хостеры ее поддержали. Кинста, например, уже рассмотрела выпуск TLS 1.3 и предпринимает шаги для его реализации (читайте наш обзор Кинста).

Пока вы используете SSL-сертификат, соединение вашего посетителя будет зашифровано. Несмотря на устаревшую схему именования, сертификаты по-прежнему работают с новейшими протоколами, даже TLS 1.3. Сам сертификат ничего не шифрует.

Сертификаты просто используются в качестве метода проверки. Различные формы сертификатов SSL и TLS показывают уровень доверия, которое браузер имеет к вашему домену. Мы пробежимся по тем в следующем разделе.

Если у вас есть сертификат, будь то бесплатный от Dreamhost или платный от HostGator, ваш сайт может подключиться с использованием самого последнего протокола, используемого вашим сервером (ознакомьтесь с обзорами Dreamhost и HostGator)..

Есть несколько способов проверить это. Первый – через базу знаний вашего веб-хостинга. Например, у GoDaddy есть небольшая таблица, показывающая, какую версию TLS поддерживает ваш сервер, в зависимости от того, на каком хостинге вы находитесь (см. Наш обзор GoDaddy)..

Вы также можете протестировать свой веб-сервер с помощью теста SSL-сервера от SSL Labs. Он покажет вам, какой протокол использует ваш сервер, а также метод шифрования, и даст вам общий рейтинг.

Типы сертификатов SSL и TLS

Еще раз, SSL-сертификаты лучше определить как «сертификаты, которые могут использовать SSL и TLS», поэтому мы будем называть их SSL-сертификатами, чтобы избежать путаницы в этом разделе. Везде, где вы читаете SSL или TLS без версии протокола, они будут одинаковыми.

Сертификаты, подтвержденные доменом

Самая простая форма сертификата SSL – это сертификат, подтвержденный доменом, который проверяет реестр домена. По сути, он проверяет, что домен, к которому пользователь пытается обратиться, указывает на правильный DNS-сервер..

Это самый дешевый сертификат, который часто получают бесплатно. Jimdo, один из наших лучших комплектов для создания веб-сайтов, включает в себя бесплатный сертификат Let Encrypt DV, как и многие разработчики веб-сайтов и веб-хостинги (читайте наш обзор Jimdo).

Сертификаты DV, тем не менее, сопряжены с высокой степенью риска, поскольку браузеры часто не могут проверить, является ли бизнес на сайте законным. В Chrome вы обычно видите протокол https с красной блокировкой с косой чертой слева.

Сертификат DV

Если у вас есть блог или личный сайт, сертификат DV подойдет, но если вы запрашиваете личную информацию, особенно информацию о кредитной карте, вам следует использовать что-то более сильное.

Сертифицированные организации сертификаты

Проверка подтвержденных сертификатов организации против бизнеса или организации. Агенты из центра сертификации будут проверять базы данных государственного реестра, чтобы убедиться, что сайт реальный. Все данные внутри сертификата OV являются законными.

Если вы ведете коммерческий бизнес в Интернете, это сертификат, который вам нужно использовать. Ваш URL все еще использует https, но рядом с адресной строкой будет блокировка. В Chrome он зеленый со словом «безопасный» справа.

Сертификат OV

Расширенный сертификат проверки

Сертификаты OV хороши, но расширенные сертификаты валидации лучше. Сертификаты OV требуют единой проверки со стороны CA, в то время как сертификаты EV требуют постоянного мониторинга на основе руководящих принципов для расширенной проверки.

Процесс проверки намного строже, а цена намного выше. Однако для крупных онлайн-магазинов сертификат EV может повысить доверие потребителей и увеличить продажи в Интернете..

Для чего-либо еще сертификат в значительной степени не нужен. Даже крупные веб-сайты, которые не собирают информацию о пользователях, не используют сертификаты EV. Если вы используете его, браузер покажет зеленую адресную строку с замком, вместе с названием вашей компании.

EV сертификат

Последние мысли

В кибербезопасности нет недостатка в запутанных сокращениях, и переход с SSL на TLS не поможет. Хотя протоколы разные, они выполняют одну и ту же цель: безопасное соединение между сервером и пользователем..

Что касается сертификатов, условия взаимозаменяемы, поэтому не беспокойтесь об обновлении SSL-сертификата до TLS-сертификата. Они одно и то же.

Если вы ищете провайдеров веб-хостинга, которые могут помочь вам в этом процессе, обязательно прочитайте наш лучший дешевый веб-хостинг, чтобы узнать, как сделать это без особых затрат..

Есть ли что-то еще, что вас интересует с соединениями SSL или TLS? Дайте нам знать в комментариях ниже и, как всегда, спасибо за чтение.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me