Каждый раз, когда пользователь заходит на веб-страницу, он хочет убедиться в том, что она является безопасной: здесь можно оставлять данные (включая личные и контактные), которые будут защищены. Для подтверждения надежности разработчики формируют и получают специальную документацию. Она называется SSL-протоколами.
Далее предстоит разобраться с соответствующим типом сертификатов более подробно. Нужно выяснить, что собой представляют SSL, для каких целей и кем они используются, а также какими бывают. Эта информация рассчитана на широкий круг читателей. Она пригодится как обычным пользователям Интернета, так и IT-специалистам.
Описание
Современный Интернет функционирует за счет сетевой инфраструктуры OSI. Она включает в себя 7 уровней. На каждом осуществляется обмен данными между оборудованием и различными устройствами.
Работу каждого уровня обеспечивает специальный сетевой сертификат. Сетевой протокол – некоторый набор соглашений, в котором зафиксировано, по каким правилам осуществляется дальнейший обмен данными. Таких сертификатов очень много. Один из них – Secure Socket Layer.
SSL – это протокол защищенных сокетов (или конечных точек соединения). Он представляет собой криптографический сертификат, который будет отвечать за безопасную передачу данных на уровне сеанса.
SSL-сертификат – цифровой сертификат, удостоверяющий подлинность веб-сервиса (сайта), позволяющий использовать зашифрованное соединение. Протокол безопасности, который формирует зашифрованное соединение между браузером и веб-сервером.
Все данные, которые передаются через SSL, будут шифроваться при помощи одноразовых ключей. Этот прием обеспечивает конфиденциальность информации, а также их надежную защиту от перехвата и кражи.
SSL-сертификат – криптографический протокол, подразумевающий более безопасную связь. Он задействует асимметричную криптографию для аутентификации ключей обмена, симметричное шифрование для сохранения конфиденциальности, а также коды аутентификации сообщений для их целостности. SSL широко использовался для обмена «моментальными сообщениями» и передачи аудиосообщений (голоса) при помощи IP в различных приложениях: интернет-факс, почтовые сервисы. Сейчас разработчики заявили о наличии уязвимостей в сертификате. Его потихоньку исключают в пользу TLS.
Принцип работы
SSL-протокол нужен для того, чтобы обеспечить безопасную работу в Интернете. Его использование гарантирует, что данные, используемые в процессе обмена между пользователями и веб-страницами, невозможно прочитать сторонним лицам или системам/приложениям.
Рассматриваемый тип сертификата использует для шифрования данных различные алгоритмы. Этот прием не дает злоумышленникам считывать информацию через зашифрованные соединения.
Работают SSL-сертификаты так:
- Браузер или сервер пытается подключиться к веб-сайту или серверу, который заранее имеет SSL.
- Интернет-обозреватель отправляет запрос на идентификацию у сервера.
- В качестве ответа веб-сервер отправит браузеру или серверу копию SSL-протокола.
- Браузер или иное используемое приложение проверяет, является ли присланный сертификат достоверным. Если ответ положительный, об этом сообщается веб-серверу.
- Веб-сервер возвращает подтверждение с цифровой подписью. Начинается сеанс, который уже зашифрован при помощи SSL.
- Зашифрованные данные будут использоваться совместно браузером или сервером, а также веб-сервером.
Описанный процесс иногда коротко характеризуется подтверждением SSL-соединения. Несмотря на долгое и многоэтапное описание, операция отнимает не больше секунды.
Как только браузер убедится в том, что веб-страница защищена, в адресной строке появится надпись HTTPS и изображение замка. Последняя буква аббревиатуры указывает на то, что установленное соединение является защищенным (S – secured). Если достоверность сертификата не была подтверждена, надпись будет HTTP. Это указывает на то, что данные передаются на сервер без шифрования.
Принцип работы HTTPS
Сертификат безопасности SSL после установки соединения с сервером предлагает использовать HTTPS. Так называется протокол безопасного подключения. Он будет защищать передаваемые данные на уровне браузера.
HTTP – это предшественник HTTPS. Он характеризует протокол передачи данных в Сети. За счет него пользователи могут запрашивать информацию при помощи браузеров, а также получать цифровые материалы с серверов. HTTP является первым протоколом, разработанным для функционирования веб-пространства.
Данные, которые используются клиентом при обмене с сервером, по протоколам HTTPS, в отличие от HTTP, защищены. HTTPS обеспечивает защиту в несколько этапов:
- Шифрует передаваемые данные. За счет этого мошенники не смогут отслеживать действия клиентов, а также получать доступ к имеющейся информации.
- Проводит аутентификацию. С ее помощью клиенты понимают, что веб-порталу можно доверять. Личные данные здесь не попадут в руки злоумышленников.
- Обеспечивает целостность информации. Все транзакции и изменения данных будут фиксироваться. Соответствующий прием позволяет отслеживать действия и вовремя предотвращать инциденты при подозрительной активности.
HTTP работает по порту 80, а HTTPS – по 443.
Несколько слов о ключах
Протокол Secure-Sockets-Layer в процессе своей работы использует различные ключи. Они могут быть:
- Асимметричными. Здесь каждая сторона будет иметь два ключа: частный и публичный. Публичный доступен всем, а частный – только непосредственным владельцам. Если браузеры хотят отправлять сообщения, они находят публичные серверные ключи, шифруют данные и отправляют их на сервер. Далее сервер расшифровывает сообщение за счет своего частного ключа. Для формирования ответа пользователю сервер проделывает аналогичные действия: ищет публичный ключ собеседника, шифрует данные, отправляет их потенциальному получателю.
- Симметричными. В этом случае у обеих сторон имеется один ключ. С его помощью осуществляется передача данных. Между двумя сторонами уже должен быть установлен первичный контакт. Без него браузер и сервер не поймут, на каком языке им необходимо общаться.
Знать об особенностях ключей необходимо всем, кто планирует работать в Интернете. И не обязательно по SSL-сертификатам.
Как посмотреть
Просмотреть информацию о SSL может каждый пользователь. Для этого ему достаточно кликнуть по миниатюре замка в браузерной панели (у адресной строки). Среди информации, отображающейся в SSL-сертификате, выделяются следующие сведения:
- доменное имя, для которого был произведен выпуск сертификата;
- лицо, организация или устройство, для которого выпущен сертификат;
- центр сертификации, оформивший документ;
- цифровая подпись соответствующего центра сертификации;
- поддомены;
- когда сертификат оформлен (выдан);
- срок действия документа;
- открытый ключ (закрытые ключи не раскрываются).
Прочие сведения о безопасном SSL-соединении обычно не распространяются.
Для чего нужен
У пользователей и разработчиков-новичков нередко возникает вопрос о том, зачем нужен SSL. Такие протоколы необходимы для обеспечения безопасности пользовательской информации, повреждения прав собственности на веб-портал, предотвращения создания копий злоумышленниками, а также для повышения уровня доверия со стороны потенциальных и реальных посетителей.
Если веб-портал предусматривает вход в систему (авторизацию), SSL-протоколы обеспечивают конфиденциальность соответствующих цифровых материалов. Они защищают онлайн-транзакции, а также гарантируют пользователям подлинность веб-портала и безопасность для ввода и сохранения личных сведений.
SSL-протоколы в бизнесе тоже имеют значение. Они требуются для веб-адресов HTTPS. Если в браузере стоит отметка HTTP (без S на конце) – это явный сигнал о том, что соответствующий портал небезопасен.
SSL-сертификаты помогают защищать такие сведения как:
- учетные данные для авторизаций;
- операции по банковским (в том числе – кредитным) картам и счетам;
- личные сведения;
- юридические документы и контракты;
- медицинские справки/сведения;
- конфиденциальная информация.
Теперь понятно, зачем нужен Secure-Sockets-Layer (SSL). Соответствующие сертификаты бывают разными. Каждый вид имеет свои ключевые особенности и нюансы.
Кто оформляет
Оформить сертификат безопасности можно в центрах сертификации. Они называются удостоверяющими центрами. Самые крупные из них:
- DigiCert;
- Symantec;
- GlobalSign.
Все эти компании занимаются подтверждением ключей для шифрования. Получение сертификата сводится к тому, что услугу нужно оплатить. Лишь после этого получится быть уверенными в том, что документ является подлинным.
Сертификаты безопасности большинства «платных центров» идут вместе с печатью доверия. Она указывает на то, что соединение является надежно защищенным.
SSL-сертификат может быть оформлен бесплатно. Пример – сервисы Let’s Encrypt или Cloudflare. Они оформляют протоколы безопасности на три месяца, по истечении которых возможно продление. У бесплатных центров сертификации существуют свои недостатки. Примеры – один сертификат выдается на множество веб-порталов или отсутствие поддержки некоторых Интернет-обозревателей. Такими вариантами пользоваться не рекомендуется.
Разновидности
SSL-протоколы могут быть разными. Глобально они делятся на два типа:
- Самоподписанные. Такие «документы» подписываются непосредственно на сервере организации. Их может сделать любой пользователь. Каждый раз при посещении портала с самоподписанным сертификатом на экране будет отображаться сообщение о незащищенном соединении.
- Подписанные в центрах. Их можно оформить только в специализированных организациях, причем за деньги. Подлинность документации подтверждается во всех браузерах.
Протокол SSL, подписанный в центре, подразделяется на еще несколько классов. В зависимости от того, как происходит проверка данных. Соответствующая классификация выделяет следующие протоколы:
- DV (Domain Validation) – шифрует данные, но ничего не знает об организации. Базовый сертификат безопасности. Он является самым дешевым. Подходит абсолютно всем компаниям.
- OV (Organization Validation) – шифрует данные и знает о существовании организации. Рекомендован для использования юридическими лицами.
- EV (Extended Validation) – необходим тем, кто планирует обеспечить самый высокий уровень защиты. Для его получения организация подвергается долгим и сложным проверкам. Необходимо подтвердить законность, а также предоставить права на конкретный домен.
Все перечисленные Secure Sockets Layer обеспечивают надежное шифрование информации при передаче данных от браузеров к серверам. Есть некоторые специфические протоколы. К ним относят:
- Wildcard – используется для объединения доменов с поддоменами. Защищает установленное соединение.
- SAN – защищает только домены, указанные в SSL–сертификате.
Простые сайты могут обойтись бесплатными протоколами, если они не собирают и не используют в своей деятельности персональные сведения. Для тех, кто планирует заниматься онлайн-транзакциями или создавать системы личных профилей, требуется «платный» (подтвержденный) Secure Sockets Layer.
Рекомендации по выбору
Чтобы не тратить много денег, сначала необходимо решить, какой именно протокол подойдет для определенного веб-портала. Вот самые распространенные ситуации, с которыми сталкиваются пользователи и разработчики:
- Личные блоги. Сертификат на сайт личного блока может быть оформлен на бесплатных сервисах. Если их условия не по вкусу, можно остановиться на платном протоколе DV. Это лучшее (и бюджетное) решение.
- Интернет-магазины. К сертификации и безопасности таких проектов необходимо подойти более серьезно. В интернет-магазинах пользователи покупают товары, тратят деньги и выбирают место доставки посылки. Без надежного соединения здесь не обойтись. Требуется обеспечить предельную защиту персональных сведений. Лучшим выбором станет EV. Он поможет подтвердить подлинность информации о компании, а также обеспечит надежную защиту пользовательских сведений. Подойдет также OV – если веб-магазин небольшой, а клиентов относительно мало.
- Новостные порталы. Здесь все зависит от тематики и специфики сервиса. Пример – медиа, где пользователи входят в свои профили, оставляют комментарии, ставят лайки и так далее. В таком случае подойдет протокол SSL типа OV. Если речь идет о простейшем новостном издании, где размещаются статьи (без дополнительных опций), можно обойтись DV.
Для выбора оптимального варианта протокола необходимо учитывать:
- совместимость «документации» с популярными браузерами;
- уровень защиты персональных данных;
- сложность проверки организации;
- печать доверия.
Если каждый из предложенных пунктов устраивает, можно оформлять соответствующий SSL-сертификат.
P. S. Интересуют компьютерные сети, сетевые технологии, протоколы передачи данных? Обратите внимание на следующие курсы в Otus:
Также, возможно, вам будут интересны курсы по информационной безопасности.
