Что такое SSL и почему вы должны заботиться?

В предыдущем отчете об изменении с HTTP на HTTPS он кратко затронул тему Single Socket Layer (SSL). Короче говоря, SSL и его преемник, Transport Layer Security (TLS), необходимы для безопасной работы в сети.

В этой статье давайте подробнее рассмотрим ответ на вопрос «что такое SSL», а также как SSL / TLS защищает вашу конфиденциальную информацию.

Почему вы должны заботиться о SSL / TLS?

Однако, прежде чем перейти к разделу «Как», давайте рассмотрим «Почему», в первую очередь вы хотите использовать SSL / TLS.

$config[code] not found

В наши дни безопасность данных золотая. Любой, у кого украли его или ее личность, может сказать вам это. Ключ к обеспечению безопасности вашей информации - убрать ее в безопасное место, где никто другой не сможет ее увидеть.

К сожалению, это невозможно в Интернете. Когда вы передаете информацию онлайн, есть всегда какой-то момент в процессе, когда вы и ваш клиент теряете контроль над данными.

Видите ли, в то время как ваш клиент может защитить устройство, на котором работает ваш браузер, и вы можете защитить свой веб-сервер, каналы онлайнового мира не в ваших руках.

Будь то кабельная компания, телефонная компания или правительственный подводный кабель, данные ваших клиентов будут передаваться через чужие руки в Интернете, и поэтому их необходимо шифровать с использованием SSL / TLS.

Вот несколько примеров типов информации, которую вы можете использовать SSL / TLS для защиты в сети:

Транзакции по кредитным картам
Вход на сайт
Передача личной и личной информации туда и обратно
Защита вашей электронной почты от snoopers.

Да, если вы ведете бизнес в Интернете, SSL / TLS имеет решающее значение для вашего дальнейшего успеха. Зачем? Так как:

Ваши клиенты должны чувствовать себя в безопасности, когда они ведут бизнес с вами в Интернете, или они не будут вести бизнес с вами; а также
Вы несете ответственность перед своим клиентом за защиту конфиденциальной информации, которую он решил передать вам.

Далее, давайте посмотрим, как работает SSL / TLS.

Ключи Public, Public и Session являются ключом

Когда вы используете SSL / TLS для передачи ваших конфиденциальных данных в режиме онлайн, ваш браузер и защищенный веб-сервер соединяются, чтобы использовать два отдельных ключа для настройки безопасного соединения: открытый и закрытый ключи. Как только соединение установлено, ключ третьего типа, сеансовый ключ, используется для шифрования и дешифрования информации, передаваемой туда и обратно.

$config[code] not found

Вот как это работает:

Когда вы подключаетесь к защищенному серверу (например, amazon.com), начинается процесс «рукопожатия»:
1. Во-первых, сервер передаст вашему браузеру сертификат SSL / TLS, а также его открытый ключ;
2. Затем ваш браузер проверит сертификат сервера, чтобы выяснить, может ли он доверять ему, используя такие факторы, как то, был ли сертификат выдан надежным источником, и не истек ли срок действия сертификата.
3. Если SSL / TLS можно доверять, ваш браузер отправит подтверждение обратно на сервер, сообщив, что оно готово к работе. Это сообщение будет зашифровано с использованием открытого ключа сервера и может быть расшифровано только с использованием личного ключа сервера. В это подтверждение включен открытый ключ вашего браузера.
  1. Если серверу нельзя доверять, вы увидите предупреждение в своем браузере. Вы всегда можете проигнорировать предупреждение, но оно не является мудрым.
4. Затем сервер создает ключ сеанса. Перед отправкой его в ваш браузер он шифрует сообщение с помощью вашего открытого ключа, так что только ваш браузер, используя свой закрытый ключ, может расшифровать его.
Теперь, когда рукопожатие закончено, и оба участника получили безопасный ключ сеанса, ваш браузер и сервер совместно используют защищенное соединение. И ваш браузер, и сервер используют сеансовый ключ для шифрования и дешифрования конфиденциальных данных, когда они отправляются туда и обратно через Интернет.
1. После окончания сеанса ключ сеанса сбрасывается. Даже если вы подключитесь через час, вам нужно будет выполнить этот процесс с самого начала, что приведет к новому ключу сеанса.

Размер имеет значение

Все три типа ключей состоят из длинных цепочек цифр. Чем длиннее строка, тем надежнее шифрование. С другой стороны, более длинная строка занимает больше времени для шифрования и дешифрования данных и увеличивает нагрузку на ресурсы сервера и браузера.

Вот почему существуют сеансовые ключи. Ключ сеанса намного короче, чем открытый и закрытый ключи. Результат: намного более быстрое шифрование и дешифрование, но меньшая безопасность.

Подождите - меньше безопасности? Разве это не плохо? На самом деле, нет.

Ключи сеанса существуют только в течение короткого времени, прежде чем они будут удалены. И хотя они не такие длинные, как два других типа ключей, они достаточно безопасны, чтобы предотвратить взлом в течение короткого времени, в течение которого соединение между вашим браузером и защищенным сервером существует.

Алгоритмы шифрования

И открытый, и закрытый ключи создаются с использованием одного из трех алгоритмов шифрования.

Мы не будем вдаваться в подробности, вам буквально нужна математическая степень (возможно, несколько), чтобы полностью понять алгоритмы шифрования, однако, полезно знать основы, когда придет время выбирать тип, который будет использовать ваш собственный веб-сайт.

Три основных алгоритма:

RSA - назван в честь его создателей (Рон ривест, ади SХамир и Леонард dlema), RSA существует с 1977 года. RSA создает ключи, используя два случайных простых числа в серии вычислений. Учить больше…
Алгоритм цифровой подписи (DSA) - Созданный Агентством национальной безопасности (NSA), DSA создает ключи, используя двухэтапный процесс, который использует «криптографическую хэш-функцию» в серии вычислений. Учить больше…
Криптография с эллиптической кривой (EEC) - EEC создает ключи, используя «алгебраическую структуру эллиптических кривых» в сложной серии расчетов. Учить больше…

$config[code] not found

Какой алгоритм шифрования выбрать?

Помимо математики, какой алгоритм шифрования лучше всего использовать?

В настоящее время ECC, похоже, находится на вершине. Благодаря математике ключи, созданные с помощью алгоритма ECC, становятся короче, но при этом остаются такими же надежными, как и более длинные ключи. Да, ECC нарушает правило «размер имеет значение», что делает его идеальным для безопасного соединения на менее мощных устройствах, таких как мобильный телефон или планшет.

Наилучшим подходом может быть гибридный, когда ваш сервер может принимать все три типа алгоритмов, чтобы он мог обрабатывать все, что ему брошено. Два недостатка этого подхода могут быть:

Сервер использует больше ресурсов для обработки RSA, DSA и ECC, а не только ECC; а также
Ваш поставщик сертификатов SSL / TLS может взимать с вас больше. Посмотрите, однако, есть очень заслуживающие доверия провайдеры, которые не взимают дополнительную плату за использование всех трех.

Почему TLS все еще называют SSL?

Как мы упоминали в начале этого поста, TLS является преемником SSL. Хотя SSL все еще используется, TLS является более совершенным решением и устраняет многие дыры в безопасности, которые мешают SSL.

Большинство хостинговых компаний и провайдеров сертификатов SSL / TLS по-прежнему используют термин «SSL-сертификат» вместо «TLS-сертификат».

Однако следует понимать, что лучшие провайдеры хостинга и сертификатов действительно используют сертификаты TLS - они просто не хотят менять имя, потому что это может смутить их клиентов.

Заключение

Single Socket Layer (SSL) и его преемник, Transport Layer Security (TLS), необходимы для безопасной работы в сети. Используя длинные цепочки чисел, называемые «Ключи», SSL / TLS позволяет устанавливать соединения, в которых информация как для вас, так и для вашего клиента шифруется перед отправкой и дешифруется по прибытии.

Итог: если вы ведете бизнес в сети, SSL / TLS имеет решающее значение для вашего дальнейшего успеха, потому что он укрепляет доверие, защищая вас и ваших клиентов.

Фото безопасности через Shutterstock

Подробнее: Что такое 5 комментариев ▼