SSL proti TLS: Spoznajte svoje protokole za leto 2020

Google krši varnost spletnega mesta. Začenši s Chrome različico 62, bodo vsa spletna mesta s polji za vnos besedila potrebovala SSL potrdilo ali bo Google spletno mesto označil kot varno z rdečim previdnim znakom poleg URL-ja.


Sprememba prihaja tudi v zanimivem času, če upoštevamo nedavni pritisk brskalnikov in strežnikov, ki podpirajo TLS. Če pa ste v igri za izdelavo spletnega mesta novi, so vse te okrajšave morda dovolj, da se vam lahko vrti glava.

Tu smo, da razčistimo zmedo glede SSL in TLS in vam pokažemo, kako obdržati spletno mesto v zeleni coni. Primerjali bomo, kaj želijo doseči varnostni protokoli, preučili najnovejše šifrirane povezave in vas prevzeli pri nakupu certifikata za vaše spletno mesto.

SSL proti TLS

SSL in TLS počneta isto. So šifrirani protokoli za prenos podatkov. Delujejo tako, da vzpostavijo stisk roke med dvema strojema. Stisk roke vključuje šifro, avtentikacijo in izmenjavo ključev. Ko to storite, se med napravami odpre varna povezava.

Podatki, ki potujejo med stroji, se nato šifrirajo in razdrobijo na določeno velikost, odvisno od šifre, in se pošljejo na omrežni transportni sloj. Šifra se ukvarja s šifriranjem, ne pa s stiskanjem roke. SSL in TLS protokole preprosto uporabimo za dokončanje stiskanja roke in za dogovor o šifrirnem modelu.

Kaj so SSL & TLS?

SSL pomeni “Sloj varnih vtičnic.” Razvil jo je Netscape in prvič izšel v javnost leta 1995. Javna objava je bila druga različica in hekerji so hitro našli načine, kako jih prebiti. Leto pozneje je Netscape izdal različico tri, ki je osem let veljala za varno.

Netscape

Leta 2014 je napad POODLE naredil SSL 3.0 negotov, vendar ga takrat nihče ni vedel. TLS (Transport Layer Security), ki je varnejša različica SSL-ja, je bil izdan leta 1999 in je prišel z mehanizmom padanja nazaj na SSL 3.0 za nazaj združljivost.

Ta združljivost je bila vgrajena, ker je napad POODLE, izkoriščanje človeka v sredini, zlorabil to združljivost za nazaj (če želite prebrati več o napadih na MitM, si oglejte naš članek o nevarnostih javnega WiFi).

TLS 1.1 je izšel leta 2006, 1,2 pa leta 2008. TLS 1.2 je trenutno in najbolj varen protokol, čeprav je bil 1.3 odobren že v začetku tega leta. Pričakujemo, da jo bodo brskalniki in strežniki kmalu podprli.

Protokoli so sicer različni, vendar ne bolj kot različice SSL. Zgodi se isti postopek, stiskanje roke med dvema strojoma, vendar različica protokola določa, kako se zgodi.

Problem združljivosti nazaj

Zmeda med SSL in TLS izvira iz združljive nazaj. TLS 1.2 ima ostanke starejših različic SSL, da je združljiv z zastarelimi brskalniki. Zato mnoga spletna mesta niso onemogočila funkcij, zaradi katerih protokol, kot je TLS 1.2, ni varen.

Tukaj prihaja TLS 1.3. Zasnovan je tako, da onemogoči stare funkcije in pospeši delovanje na varni povezavi. Namesto da bi se dogovorili za šifrirni model, strežnik šifrirnemu ključu posreduje TLS 1.3. To teoretično naredi več napadov znižanja, ki prisilijo strežnik, da uporabi starejši protokol, zastarelega.

Najnovejša posodobitev je spodbuda k sodobnemu internetu, opuščanje zastarelega modela, ki so ga vzpostavile zgodnje različice SSL. Upajmo, da v nekaj letih napadi, kot je POODLE, ne bodo zaskrbljeni toliko kot danes.

Uporaba TLS na vašem spletnem mestu

Protokol TLS, ki se uporablja za vaše spletno mesto, je odvisen od strežnika, ki ga gostite. Najboljši ponudniki spletnega gostovanja uporabljajo izključno TLS 1.1 in 1.2, 1.0 pa je praviloma rezervirano za graditelje spletnih mest, ki ne vključujejo e-trgovine.

Končna različica TLS 1.3 je bila objavljena šele pred nekaj tedni, zato bo trajalo nekaj časa, preden jo spletni ponudniki podpirajo. Na primer, Kinsta se je že lotila izdaje TLS 1.3 in sprejema ukrepe za njegovo izvajanje (preberite naš pregled o Kinsta).

Dokler uporabljate potrdilo SSL, bo povezava vašega obiskovalca šifrirana. Kljub zastareli shemi poimenovanja potrdila še vedno delujejo z najnovejšimi protokoli, tudi TLS 1.3. Potrdilo samo po sebi ne šifrira nič.

Potrdila se preprosto uporabljajo kot metoda preverjanja. Različne oblike certifikatov SSL in TLS kažejo stopnjo zaupanja brskalnika v vašo domeno. Pregledali jih bomo v naslednjem razdelku.

Če imate certifikat, ne glede na to, ali je brezplačen s strani Dreamhosta ali plačanega s strani HostGatorja, se lahko vaše spletno mesto poveže z najnovejšim protokolom, ki ga uporablja vaš strežnik (preberite naš pregled Dreamhost in pregled HostGator).

Obstaja nekaj načinov, kako to preveriti. Prva je prek baze znanja spletnega gostitelja. GoDaddy ima na primer majhno tabelo, ki prikazuje, katero različico TLS podpira vaš strežnik, odvisno od načrta gostovanja, ki ga uporabljate (preberite naš pregled GoDaddy).

Svoj spletni strežnik lahko preizkusite tudi s testom SSL strežnika iz SSL Labs. Pokazal vam bo, kateri protokol uporablja vaš strežnik, in način šifriranja ter vam dal splošno oceno.

Vrste certifikatov SSL in TLS

Še enkrat, SSL certifikate bolje opredelimo kot “potrdila, ki lahko uporabljajo SSL in TLS”, zato jih bomo poimenovali SSL certifikati, da se v tem razdelku ne bi zmedli. Kjerkoli preberete SSL ali TLS brez protokolarne različice, bo to ista stvar.

Potrdila o domeni

Najbolj osnovna oblika potrdila SSL je potrjeno domensko potrdilo, ki se preverja glede registra domene. V bistvu preveri, ali domena, ki jo uporabnik poskuša dostopati do točk do pravilnega strežnika DNS.

To je najcenejši certifikat, ki ga lahko pogosto vključimo v pakete brezplačno. Jimdo, eden naših najboljših izdelovalcev spletnih mest, vključuje brezplačno DV-jevo šifriranje DV, kot tudi mnogi graditelji spletnih strani in spletni gostitelji (preberite naš Jimdo pregled).

Potrdila DV so zelo tvegana, saj brskalniki pogosto ne morejo preveriti, ali je posel na spletnem mestu zakonit. V Chromu navadno vidite protokol https z rdečo ključavnico, na levi strani je poševnica.

DV potrdilo

Če imate blog ali osebno spletno mesto, je potrdilo DV v redu, če pa zahtevate osebne podatke, zlasti podatke o kreditni kartici, bi morali uporabiti nekaj močnejšega.

Organizacijsko potrjena potrdila

Potrjena potrdila organizacije preverjajo sklad podjetja ali organizacije. Zastopniki organa za potrjevanje bodo preverili baze podatkov državnih registrov, da bi zagotovili resničnost spletnega mesta. Vsi podatki znotraj potrdila o OV so zakoniti.

Če imate spletno komercialno podjetje, je to potrdilo, ki ga morate uporabiti. Vaš URL še vedno uporablja https, vendar bo zraven naslovne vrstice ključavnica. V Chromu je zelene barve z besedo “varno” na desni.

OV Potrdilo

Razširjeno validacijsko potrdilo

OV potrdila so dobra, potrdila o podaljšanju veljavnosti pa boljša. Certifikati OV zahtevajo eno samo preverjanje s strani CA, medtem ko potrdila EV zahtevajo nenehno spremljanje na podlagi smernic za podaljšano validacijo.

Postopek preverjanja je veliko strožji, cena pa veliko višja. Za večja spletna mesta pa certifikat EV lahko izboljša zaupanje potrošnikov in poveča spletno prodajo.

Za kaj drugega je certifikat v glavnem nepotreben. Tudi večja spletna mesta, ki ne zbirajo uporabniških informacij, ne uporabljajo certifikatov EV. Če ga uporabljate, brskalnik prikaže zeleno naslovno vrstico s ključavnico, skupaj z imenom vašega podjetja.

EV potrdilo

Končne misli

Pri kibernetski varnosti ne manjka nejasnih kratic in sprememba s SSL na TLS ne pomaga. Čeprav so protokoli različni, dosegajo isti cilj: varno povezavo med strežnikom in uporabnikom.

Kar zadeva potrdila, so pogoji izmenljivi, zato ne skrbite za nadgradnjo SSL certifikata na certifikat TLS. So ista stvar.

Če iščete ponudnike spletnih gostovanj, ki vas bodo vodili skozi postopek, si preberite naše najboljše poceni spletno gostovanje, če želite izvedeti, kako to storiti brez veliko kovancev.

Se še kaj zanima, če imate povezave SSL ali TLS? Sporočite nam v spodnjih komentarjih in kot vedno hvala za branje.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map