Какво е SSL и защо трябва да се грижите?

В предишен доклад за промяната от HTTP на HTTPS, тя засегна за кратко един слой Socket (SSL). Накратко, SSL и неговият наследник, Transport Layer Security (TLS), са необходими, за да работят безопасно онлайн.

В тази статия, нека да разгледаме по-отблизо отговора на въпроса „какво е SSL“, както и как SSL / TLS защитава чувствителната ви информация.

Защо трябва да се грижите за SSL / TLS?

Преди да се отправим към „Как“ обаче, нека да разгледаме „Защо“ искате да използвате SSL / TLS на първо място.

$config[code] not found

Тези дни сигурността на данните е златна. Всеки, който е откраднал своята идентичност, може да ви каже това. Ключът към запазването на сигурността на информацията е да го отстраним някъде на сигурно място, където никой друг не може да го види.

За съжаление това не е възможно онлайн. Когато прехвърляте информация онлайн, има винаги някакъв момент в процеса, където вие и вашият клиент губите контрол върху данните.

Виждате, докато клиентът ви може да осигури устройството, на което работи браузърът ви и можете да защитите уеб сървъра си, тръбите на онлайн света са от двете ви ръце.

Независимо дали е кабелната компания, телефонната компания или управляваният от правителството подводен кабел, данните на вашите клиенти ще преминават през нечии други ръце онлайн и затова трябва да бъдат криптирани с помощта на SSL / TLS.

Ето няколко примера за типовете информация, които можете да използвате SSL / TLS за защита онлайн:

Транзакции с кредитни карти
Влизане в уебсайтове
Предаване на лична и лична информация напред и назад
Осигуряване на електронната ви поща от snoopers.

Да, ако провеждате онлайн бизнес, SSL / TLS е от решаващо значение за вашия непрекъснат успех. Защо? Защото:

Вашите клиенти трябва да се чувстват сигурни, когато правят бизнес с вас онлайн или няма да правят бизнес с вас; и
Вие носите отговорност пред клиента си да защитава чувствителната информация, която са избрали да споделят с вас.

След това нека да разгледаме как работи SSL / TLS.

Публичните, публичните и сесионните ключове са ключът

Когато използвате SSL / TLS за предаване на поверителни данни онлайн, браузъра и защитения уеб сървър се свързва, за да използвате два отделни ключа за настройка на защитена връзка: публичен и частен ключ. След като връзката е установена, се използва трети тип ключ, ключът за сесия, за да се шифрова и декриптира информацията, предавана напред и назад.

$config[code] not found

Ето как работи:

Когато се свържете със защитен север (напр. Amazon.com), процесът „ръкостискане“ започва:
1. Първо, сървърът ще премине през браузъра ви SSL / TLS сертификата, както и публичния ключ;
2. След това браузърът ви ще провери сертификата на сървъра, за да провери дали може да му се довери, като използва фактори като дали сертификатът е издаден от надежден източник и дали сертификатът не е изтекъл.
3. Ако SSL / TLS може да се вярва, вашият браузър ще изпрати потвърждение обратно на сървъра, като го уведомят, че е готов за работа. Това съобщение ще се шифрира с публичния ключ на сървъра и може да се декриптира само чрез частния ключ на сървъра. В това потвърждение е включен публичният ключ на браузъра ви.
  1. Ако сървърът не може да се довери, ще видите предупреждение в браузъра си. Винаги можете да игнорирате предупреждението, но не е разумно.
4. След това сървърът създава ключа на сесията. Преди да го изпратите на браузъра си, той криптира съобщението с вашия публичен ключ, така че само вашият браузър, използвайки личния си ключ, може да го дешифрира.
Сега, когато ръкостискането е приключило и и двете страни са получили сигурен ключ за сесия, вашият браузър и сървърът споделят сигурна връзка. Както браузърът, така и сървърът използват ключа за сесията, за да шифроват и дешифрират чувствителните данни, когато се изпращат обратно и отново онлайн.
1. След приключване на сесията ключът за сесията се отхвърля. Дори ако се свържете един час по-късно, ще трябва да изпълните този процес от самото начало, което ще доведе до нов ключ за сесията.

Размерът има значение

И трите типа ключове се състоят от дълги низове от числа. Колкото по-дълъг е низът, толкова по-сигурно е криптирането. От друга страна, по-дългият низ отнема повече време за шифроване и дешифриране на данните и поставя по-голямо напрежение върху ресурсите на сървъра и браузъра ви.

Ето защо съществуват ключовете за сесия. Ключът за сесията е много по-кратък от публичните и частните ключове. Резултатът: много по-бързо криптиране и декриптиране, но по-малко сигурност.

Изчакайте - по-малко сигурност? Не е ли лошо? Не точно.

Ключовете за сесия съществуват само за кратко време, преди да бъдат изтрити. И макар че не са толкова дълги, колкото останалите два типа ключове, те са достатъчно сигурни, за да предотвратят хакерството по време на краткото време, че връзката между браузъра и защитения сървър съществува.

Алгоритми за криптиране

Както публичните, така и частните ключове се създават с помощта на един от трите алгоритъма за шифроване.

Тук няма да стигнем прекалено дълбоко, буквално се нуждаете от математическа степен (може би няколко), за да разберете напълно алгоритмите за шифроване, но е удобно да знаете основите, когато дойде време да изберете типа, който вашият собствен уебсайт да използва.

Трите основни алгоритми са:

RSA - носи името на неговите създатели (Рон Rivest, Ади СХамир и Ленард АRSA създава ключове, като използва две случайни прости числа в серия от изчисления. Научете повече…
Алгоритъм за цифров подпис (DSA) - създаден от Националната агенция за сигурност (NSA), DSA създава ключове, използвайки двуетапен процес, който използва „crptographic hash” функция в поредица от изчисления. Научете повече…
Криптография на елиптичната крива (ЕИО) - EEC създава ключове, използвайки “алгебричната структура на елиптичните криви” в сложна серия от изчисления. Научете повече…

$config[code] not found

Кой алгоритъм за шифроване трябва да изберете?

Математиката настрана, кой е най-добрият алгоритъм за шифроване, който да се използва?

Понастоящем ECC изглежда се появява на върха. Благодарение на математиката, ключовете, създадени с ECC алгоритъма, са по-къси, докато все още са толкова сигурни, колкото и по-дългите ключове. Да, ECC нарушава правилото за размера, което го прави идеален за сигурна връзка на по-малко мощни устройства като мобилния си телефон или таблет.

Най-добрият подход може да бъде хибриден, където вашият сървър може да приеме и трите вида алгоритми, така че да може да се справя с всичко, което е хвърлено в него. Двата недостатъка на този подход могат да бъдат:

Сървърът използва повече ресурси за обработка на RSA, DSA и ECC, за разлика от само ECC; и
Доставчикът на SSL / TLS сертификати може да ви таксува повече. Огледайте се наоколо, обаче, има много похвални доставчици, които не начисляват допълнителни такси за използването на трите.

Защо TLS все още се нарича SSL?

Както споменахме в началото на този пост, TLS е наследник на SSL. Докато SSL все още се използва, TLS е по-прецизно решение и включва много от дупките в сигурността, които измъчват SSL.

Повечето хостинг компании и доставчиците на SSL / TLS сертификати все още използват термина "SSL сертификат" вместо "TLS сертификат".

Ясно е обаче, че по-добрите доставчици на хостинг услуги и сертификати наистина използват сертификатите TLS - те просто не искаха да променят името, защото това би объркало клиентите им.

заключение

Една Socket Layer (SSL) и неговият наследник, Transport Layer Security (TLS), са необходими, за да работят безопасно онлайн. Използването на дълги низове на числа, наречени „Клавиши“, SSL / TLS дава възможност за връзки, при които и информацията, и информацията на клиента ви са кодирани, преди да бъдат изпратени и дешифрирани, когато пристигнат.

В крайна сметка: ако провеждате онлайн бизнес, SSL / TLS е от решаващо значение за вашия непрекъснат успех, защото изгражда доверие, като същевременно защитава вас и вашите клиенти.

Снимка за сигурност чрез Shutterstock

Още в: Какво е 5 Коментара ▼