Kas ir SSL un kāpēc jums jārūpējas?

Iepriekšējā ziņojumā par pāreju no HTTP uz HTTPS, tas īsi pieskārās vienotā ligzdas slānim (SSL). Īsi sakot, SSL un tā pēctecis, Transporta slāņa drošība (TLS), ir nepieciešami, lai droši darbotos tiešsaistē.

Šajā rakstā apskatīsim atbildi uz jautājumu „Kas ir SSL” un arī to, kā SSL / TLS aizsargā jūsu konfidenciālo informāciju.

Kāpēc jums vajadzētu rūpēties par SSL / TLS?

Tomēr pirms ieiet “Kā”, paskatieties uz „Kāpēc”, kuru vispirms vēlaties izmantot SSL / TLS.

$config[code] not found

Šajās dienās datu drošība ir zelta. Ikviens, kuram ir nozagta viņa identitāte, to varēja pateikt. Galvenais, lai jūsu informācija būtu droša, ir noglabāt to drošā vietā, kur neviens to nevar redzēt.

Diemžēl tas nav iespējams tiešsaistē. Pārsūtot informāciju tiešsaistē, ir vienmēr procesā, kurā jūs un jūsu klients zaudē kontroli pār datiem.

Redzot, kamēr jūsu klients var nodrošināt ierīci, kurā darbojas jūsu pārlūkprogramma, un jūs varat aizsargāt savu tīmekļa serveri, tiešsaistes pasaules caurules ir ārpus abām rokām.

Neatkarīgi no tā, vai tas ir kabeļtelevīzijas uzņēmums, telefona kompānija vai zemūdens kabelis, kuru klienti darbojas, jūsu klientu dati tiks pārsūtīti caur kādu citu, un tāpēc tas ir jāšifrē, izmantojot SSL / TLS.

Tālāk ir minēti dažu veidu informācijas veidi, kurus varat izmantot SSL / TLS, lai aizsargātu tiešsaistē:

• Kredītkaršu darījumi
• Tīmekļa vietnes pieteikšanās
• Privātās un personiskās informācijas nodošana uz priekšu un atpakaļ
• Jūsu e-pasta nodrošināšana no snoopers.

Jā, ja jūs veicat uzņēmējdarbību tiešsaistē, SSL / TLS ir izšķirošs faktors jūsu nepārtrauktajiem panākumiem. Kāpēc? Jo:

• Klientiem ir jājūtas droši, kad viņi dara darījumus ar jums tiešsaistē vai viņi nesadarbosies ar jums; un
• Jūs esat atbildīgs par savu klientu, lai aizsargātu konfidenciālo informāciju, kuru viņi izvēlējās, lai dalītos ar jums.

Tālāk apskatīsim, kā darbojas SSL / TLS.

Publiskie, publiskie un sesiju taustiņi ir, … atslēga

Ja izmantojat SSL / TLS, lai nosūtītu savus sensitīvos datus tiešsaistē, pārlūkprogramma un drošais tīmekļa serveris, kas savieno, izmanto divus atsevišķus taustiņus, lai izveidotu drošu savienojumu: publisku un privātu atslēgu. Kad savienojums ir izveidots, trešais atslēgu veids, sesijas atslēga, tiek izmantots, lai šifrētu un atšifrētu informāciju, kas nodota tālāk un atpakaļ.

$config[code] not found

Lūk, kā tas darbojas:

1. Kad izveidojat savienojumu ar drošu atdalītāju (piemēram, amazon.com), sākas „rokasspiediena” process:
   1. Pirmkārt, serveris nodos jūsu pārlūkprogrammai SSL / TLS sertifikātu, kā arī tā publisko atslēgu;
   2. Pēc tam pārlūkprogramma pārbaudīs servera sertifikātu, lai pārliecinātos, vai tā var uzticēties tai, izmantojot tādus faktorus kā, vai sertifikāts ir izsniegts uzticamā avotā un vai sertifikāts nav beidzies.
   3. Ja SSL / TLS var uzticēties, jūsu pārlūkprogramma nosūtīs apstiprinājumu serverim, ļaujot tai zināt, ka tā ir gatava darbam. Šis ziņojums tiks šifrēts, izmantojot servera publisko atslēgu, un to var atšifrēt tikai, izmantojot servera privāto atslēgu. Šajā apstiprinājumā ir iekļauta jūsu pārlūkprogrammas publiskā atslēga.
      1. Ja serveri nevar uzticēt, pārlūkprogrammā redzēsiet brīdinājumu. Jūs vienmēr varat ignorēt brīdinājumu, bet tas nav gudrs.
   4. Pēc tam serveris izveido sesijas atslēgu. Pirms nosūtīšanas uz jūsu pārlūkprogrammu tā šifrē ziņojumu, izmantojot jūsu publisko atslēgu, lai tikai jūsu pārlūkprogramma, izmantojot savu privāto atslēgu, varētu to atšifrēt.
2. Tagad, kad rokasspiediens ir beidzies un abi partieri ir droši saņēmuši sesijas atslēgu, jūsu pārlūkprogrammai un serverim ir drošs savienojums. Gan pārlūkprogramma, gan serveris izmanto sesijas atslēgu, lai šifrētu un atšifrētu sensitīvos datus, kas tiek nosūtīti atpakaļ un atpakaļ tiešsaistē.
   1. Kad sesija ir beigusies, sesijas atslēga tiek atmesta. Pat tad, ja pievienosies vienu stundu vēlāk, jums no šī procesa būs jābrauc, sākot no sākuma, kas radīs jaunu sesijas atslēgu.

Izmēram ir nozīme

Visi trīs atslēgu veidi sastāv no garām virkņu virknēm. Jo ilgāka ir virkne, jo drošāka ir šifrēšana. Apakšējā pusē garāka virkne aizņem vairāk laika, lai šifrētu un atšifrētu datus, un rada lielāku spriedzi gan servera, gan pārlūkprogrammas resursiem.

Tāpēc pastāv sesijas atslēgas. Sesijas atslēga ir daudz īsāka nekā publiskajām un privātajām atslēgām. Rezultāts: daudz ātrāk šifrēšana un atšifrēšana, bet mazāk drošības.

Pagaidiet - mazāk drošības? Vai nav tik slikti? Ne īsti.

Sesijas atslēgas pastāv tikai īsu laiku, pirms tās tiek izdzēstas. Lai gan tie nav tik ilgi, cik pārējie divu veidu taustiņi, tie ir pietiekami droši, lai nepieļautu hakeru darbību laikā, kad pastāv savienojums starp jūsu pārlūkprogrammu un drošo serveri.

Šifrēšanas algoritmi

Gan publiskā, gan privātā atslēga tiek veidota, izmantojot vienu no trim šifrēšanas algoritmiem.

Mēs šeit neparedzēsim pārāk dziļi, jums burtiski ir vajadzīgs matemātikas grāds (varbūt vairāki), lai pilnībā izprastu šifrēšanas algoritmus, taču ir ērti zināt pamatus, kad ir pienācis laiks izvēlēties veidu, ko izmanto jūsu vietnes palodze.

Trīs galvenie algoritmi ir:

• RSA - nosaukts tās radītāju vārdā (Rons Rivest, Adi SHamira un Leonards ARSA ir izveidojusi atslēgas, izmantojot divus nejaušus primāros numurus virknē aprēķinu. Uzzināt vairāk…
• Digitālā paraksta algoritms (DSA) - Nacionālās drošības aģentūras (NSA) izveidotā DSA izveido atslēgas, izmantojot divpakāpju procesu, kurā virknē aprēķinu izmanto “krptogrāfisko hash funkciju”. Uzzināt vairāk…
• Elipsveida līknes kriptogrāfija (EEK) - EEK rada atslēgas, izmantojot kompleksu aprēķinu virkni, izmantojot „elipsveida līkņu algebrisko struktūru”. Uzzināt vairāk…

$config[code] not found

Kurš šifrēšanas algoritms būtu jāizvēlas?

Matemātika malā, kas ir labākais izmantotais šifrēšanas algoritms?

Pašlaik šķiet, ka ECC nāk uz augšu. Pateicoties matemātikai, taustiņi, kas izveidoti ar ECC algoritmu, ir īsāki, bet joprojām ir tikpat droši kā daudz ilgāki taustiņi. Jā, ECC pārkāpj „lieluma jautājumus”, padarot to ideāli piemērotu drošam savienojumam ar mazāk spēcīgām ierīcēm, piemēram, mobilo tālruni vai planšetdatoru.

Labākā pieeja var būt hibrīds, kurā jūsu serveris var pieņemt visus trīs algoritmu veidus, lai tā varētu rīkoties neatkarīgi no tā, kas tiek izmests. Šīs pieejas divas nepilnības var būt:

1. Serveris izmanto vairāk resursu, apstrādājot RSA, DSA un ECC, nevis tikai ECC; un
2. Jūsu SSL / TLS sertifikāta sniedzējs var prasīt vairāk maksas. Aplūkojiet apkārt, tomēr ir ļoti uzticami pakalpojumu sniedzēji, kas nepieprasa papildu maksu par visu trīs lietošanu.

Kādēļ TLS joprojām tiek saukts par SSL?

Kā mēs minējām šīs ziņas augšpusē, TLS ir SSL pēctecis. Lai gan SSL joprojām tiek izmantots, TLS ir izsmalcinātāks risinājums un pieslēdz daudzus drošības caurumus, kas skāra SSL.

Lielākā daļa hostinga uzņēmumu un SSL / TLS sertifikātu sniedzēji joprojām izmanto terminu “SSL sertifikāts”, nevis “TLS sertifikāts”.

Tomēr ir skaidrs, ka labāki hostinga un sertifikātu sniedzēji patiešām izmanto TLS sertifikātus - viņi vienkārši negribēja mainīt vārdu, jo tas sajaukt savus klientus.

Secinājums

Lai darbotos droši tiešsaistē, ir nepieciešams vienotā ligzda slānis (SSL) un tā pēctecis, transporta slāņa drošība (TLS). Izmantojot garus numurus, ko sauc par “atslēgas”, SSL / TLS ļauj savienojumus, kuros gan jūsu, gan jūsu klienta informācija tiek šifrēta, pirms tas tiek nosūtīts un atšifrēts, kad tas tiek saņemts.

Grunts līnija: ja jūs veicat uzņēmējdarbību tiešsaistē, SSL / TLS ir izšķirošs faktors jūsu nepārtrauktajam panākumam, jo ​​tas veido uzticību, vienlaikus aizsargājot gan jūs, gan jūsu klientus.

Drošība Foto caur Shutterstock

Vairāk: Kas ir 5 komentāri ▼