TLS vs. SSL – 5 dolog, amit tudni kell (különbségek, protokollok és kézfogások)

Az online biztonság kiemelkedően fontos a weboldal sikeréhez, és a TLS és az SSL közötti különbség megértése egy másik lépés az érzékeny adatok védelmében..


Hallotta a szóbeszédeket: online adatvédelem, számítógépes bűnözés, rosszindulatú programok, adathalászat, DDoS támadások és így tovább. A saját és webhelyének ezen biztonsági résekkel szembeni védelmének alapvető eleme a kommunikációs adatok végpontok közötti titkosítása a számítógépek (PC, telefon stb.) És a webszerverek között..

Az egyre inkább digitálisan összekapcsolt világban élünk, ahol a Transport Layer Security (TLS) hálózati protokoll kiemelkedő jelentőségű az emberek védelme érdekében a digitális károktól. A TLS protokollt a HTTPS protokoll használja (többek között) az internetes kommunikációban részt vevő számítógépek titkosításához és hitelesítéséhez. Szóval hol kezdjük? Nézzük be a TLS, SSL és HTTPS tanúsítványok világába.

1. Hostok INGYENES SSL / TLS tanúsítvánnyal

A múltban a tanúsítvány megszerzése gyakran bonyolult volt a webhelytulajdonosok számára. A tárhelyszolgáltatók rendkívül sok időt töltöttek a különféle eszközök integrálásával és a kézi folyamatok adminisztrálásával vállalkozásukban. És a tanúsítvány költségei néha tiltó tényezőt jelentettek a kisebb és / vagy a nem kereskedelmi webtulajdonosok számára.

2014-ben egy vállalatcsoport és nonprofit szervezet, köztük az Electronic Frontier Foundation, a Mozilla, a Cisco és az Akamai, bejelentette a Let’s Encrypt – egy ingyenes, automatizált és nyílt tanúsító hatóságot. Ez a projekt úttörőnek bizonyult a manapság használt tartomány-érvényesített tanúsítványok száma szempontjából. További információ az automatikus tanúsítványkezelő környezet (ACME) eszközökről és az indulásról itt.

2016-ban a Symantec elindította a Titkosítás mindenhol kezdeményezést, amelynek célja, hogy minden legitim webhely 2018-ig biztonságos legyen, gondtalan tanúsítási eljárás használatával..

A Symantec programja segíti a web hosting partnereket az alapvető titkosítás nyújtásában, hozzáadott költségek nélkül a tárhely ügyfelének. A Symantec alapvető tanúsítványokat biztosít a házigazdák számára, akik viszont teljes mértékben integrált SSL titkosítást biztosíthatnak minden új vagy megújuló ügyfél számára (a cPanel interfészen keresztül).

Tehát az ingyenes tanúsítványok, az alacsonyabb költségű ipari minőségű tanúsítványok és a sokkal jobb tanúsítványkezelő eszközök napjaiban kevesebb érv szól a HTTPS webhelytulajdonosként történő használata ellen. Itt vannak a legjobban ajánlott tárhely-szolgáltatók ingyenes SSL tanúsítvánnyal:

2. A TLS a modern titkosítási szabvány (az SSL régebbi)

Dióhéjban: A TLS az a titkosítás, amelyet manapság mindenki használ. Az SSL elavult. Amikor az emberek SSL-t mondnak, akkor TLS-re gondolnak!

Az SSL / TLS azt jelenti, hogy a „biztonságos socket réteg” és a „transport réteg biztonság”

A szállítási réteg biztonsága és a biztonságos socket réteg (SSL) egyaránt hálózati protokollok, amelyek lehetővé teszik az adatok titkos és biztonságos továbbítását egy webszerver és egy böngésző között.

Technikailag a TLS két részből áll:

  1. Az TLS kézfogás réteg kezeli, hogy mely rejtjelet (a titkosítási algoritmus típusa) fogja használni, a hitelesítést (a domain nevére és a szervezetére vonatkozó tanúsítvány felhasználásával) és a kulcscserét (a tanúsítvány nyilvános-magán kulcspárja alapján). A kézfogás csak egyszer hajtható végre, hogy mindkét fél biztonságos hálózati kapcsolatot hozzon létre.
  2. Az TLS rekordréteg adatokat gyűjt a felhasználói alkalmazásoktól, titkosítja, megfelelő méretre töredezi (a rejtjel határozza meg), és elküldi a hálózati szállítási rétegre.

A TLS titkosított, kétirányú hálózati alagutat hoz létre az önkényes adatok számára a két gazdagép között. A TLS-et leginkább más internetes protokollokkal, például HTTPS, SSH, FTPS és biztonságos e-mailekkel együtt használják..

SSL kézfogás és rétegek grafikus

A TLS / SSL két rétegből áll az Internet Protocol Suite (TCP / IP) alkalmazásrétegében.

1999-ben a TLS lecseréli a régebbi SSL protokollt, mint a legtöbb titkosítás. Ezt a változást elsősorban az SSL-t létrehozó Netscape társasággal fennálló jogi kérdések elkerülése érdekében hozták létre, így a protokollt nyílt, mindenki számára ingyenes szabványként lehetett kifejleszteni..

HTTP vs. HTTPS

A HTTPS a TLS protokollba ágyazott HTTP protokoll. A HTTP gondoskodik az internetes szörfözés minden mechanikájáról, a TLS pedig a hálózaton keresztül elküldött adatok titkosításáért és a szerver gazdagépének identitásának igazolással történő ellenőrzéséért.

Egyre több webszerver használja a HTTPS-t is, nemcsak biztonsági okokból, hanem más gyakorlati érvek miatt is:

  • Néhány böngészőgyártó most bizonyos böngészőfunkciókhoz HTTPS-t igényel (például földrajzi elhelyezkedés). A Google és a Firefox szándékában áll a nem titkosított HTTP-k fokozatos megszüntetése böngészőiben. Tehát a böngészőközösség a HTTPS-t kívánja szabványként alkalmazni.
  • A felhasználók bizalmi és biztonsági jelző URL-sávra számítanak (például lakat ikon) biztonsági figyelmeztetések nélkül, különösen az e-kereskedelem webhelyein és más, a magánélet szempontjából érzékeny adatokkal rendelkező webhelyeken.

Ez növeli a keresőmotor rangsorolását is, bár ezt a Google még nem erősítette meg.

3. Különbségek az SSL, SSL v3 és TLS protokollok között

Az évek során számos SSL és TLS verzió jelent meg:

  • 1995: Az SSL v2 volt a Netscape első SSL nyilvános kiadása.
  • 1996: Az SSL v3 egy új verzió, amely javította az SSL v2 számos biztonsági tervezési hibáját. 2004-re a v3 bizonytalannak bizonyult a POODLE támadás miatt.
  • 1999: A TLS v1.0 egy SSL tartalék mechanizmussal került kiadásra a visszamenőleges kompatibilitás érdekében.
  • 2006: TLS v1.1
  • 2008: A TLS v1.2 a jelenlegi TLS szabvány, amelyet a legtöbb esetben használnak.
  • TLS v1.3 jelenleg még csak működő specifikációs tervezet.

A legtöbb alkalmazás, például a böngészők, szintén kompatibilis a régebbi SSL protokoll verziókkal, bár az SSL lassan fokozatosan megszűnik a jobb TLS biztonság érdekében.

4. Előnyök és hátrányok

Nagyon sok előnye származik azoknak, akik titkosítást használnak webhelyük (és az ügyfelek) érzékeny adatainak védelme érdekében. Ez különösen igaz az e-kereskedelemre és az egészségügyhez kapcsolódó webhelyekre.

Előnyök: SSL / TLS biztonság

A webhely forgalmának kétféle előnye van a TLS biztonságából:

  1. A betolakodók megakadályozása a webhely és a böngészők közötti kommunikációval. A betolakodók lehetnek rosszindulatú támadók vagy jóindulatú betolakodók, például az internetszolgáltatók vagy a szállodák, amelyek hirdetéseket fecskendeznek az oldalakba. Az érzékeny adatokat, például a felhasználó bejelentkezési adatait, hitelkártya-adatait és e-mail adatait soha nem szabad a hálózaton átfedni..
  2. A betolakodók megakadályozzák a passzív hallgatást a szerverrel való kommunikációhoz. Ez kissé megfoghatatlan, de növekvő biztonsági fenyegetés (ezt a Snowden szivárgások is megerősítik).

Ezen előnyök fontosságát nem lehet túlbecsülni – különös tekintettel az e-kereskedelemmel foglalkozó webhelyekre, amelyek attól függnek, hogy megszerzik és megtartják-e a felhasználók bizalmát az értékesítés szempontjából.

Hátrányok: SSL / TLS “Handshake”

Bármennyire is hangzik, a TLS-nek van néhány hátránya:

  1. A TLS késleltetést fog hozzáadni a webhely forgalmához.
  2. A kézfogás erőforrás-igényes. Aszimmetrikus titkosítást használ egy munkamenet-kulcs létrehozására, amely lehetővé teszi az ügyfél és a szerver számára, hogy gyorsabb szimmetrikus titkosításra váltson..
  3. A TLS összetettebbé teszi a kiszolgálókezelést. Be kell szereznie egy igazolást a webszerverre telepítve, és meg kell őriznie az igazolás érvényességét. Manapság vannak automatikus eszközök a (domain-validált) tanúsítványkezeléshez.
  4. A MaxCDN 5 ms késleltetést talált titkosított kapcsolatok tesztelésekor a titkosítatlan kapcsolatokkal szemben. A tesztek azt is mutatták, hogy a CPU-felhasználás csúcsteljesítményét körülbelül 2% -kal növelték. Ugyanakkor “még tucatnyi párhuzamos kérés és több száz egymást követő kérés esetén a CPU-használat soha nem haladta meg az 5% -ot”.

Ami a teljes kapcsolat teljesítményét illeti, a MaxCDN arra a következtetésre jutott: „A titkosítás hozzáad egy lépést a kezdeti csatlakozási folyamathoz. A folyamatban lévő kapcsolatok fölénye elhanyagolható a titkosítatlan kapcsolatokhoz képest. ”

A közelgő HTTP / 2 szabványnak köszönhetően a TLS kapcsolat felállítása lényegesen gyorsabb lesz annak párhuzamos kialakítása miatt (kevesebb hálózati körút szükséges az adatcseréhez).

Ezen túlmenően, bár maga a HTTP / 2 szabvány nem igényel titkosítást, a legtöbb ügyfél-megvalósítás (Firefox, Chrome, Safari, Opera, IE, Edge) azt mondta, hogy csak a TLS-n keresztül támogatják a HTTP / 2-t, ami a titkosítást de facto teszi kötelező.

5. A TLS / SSL tanúsítványok típusai

Későtől kezdve úgy tűnik, hogy az egész web a HTTPS felé mutat. Tanúsítványokat kérhetünk a tanúsító hatóságoktól, amelyeknek számos szolgáltatója van. Olvassa el az SSL-tanúsítvány kiválasztásáról szóló cikkben található különféle tanúsítási lehetőségeket, vagy olvassa el az alábbiakban röviden bemutatva a három fő típust..

Kiterjesztett érvényesítés (EV)

Az EV tanúsítványok a zöld címsorral érkeznek – a bizalom elismert szimbóluma az interneten. Az EV tanúsítványok a legelső TLS tanúsítványok. Azokon a webhelyeknél, ahol alapvető fontosságú a biztonság és a fogyasztói bizalom, például a nagy e-kereskedelmi webhelyeknél, komolyan fontolóra kell venni az EV tanúsítványt.

A címsávok képernyőképe, az EV tanúsítvánnyal a helyén

Az EV tanúsítvánnyal rendelkező webhelyek a zöld bizalmi sávot tükrözik a böngésző címsorában.

Ezek a tanúsítványok azonban a legdrágábbok, mivel ezen kiadási kritériumok alapján kiterjesztett szervezeti hitelesítési folyamatot végeznek.

Szervezet validálása (OV)

Az OV tanúsítványok nem szerepelnek a zöld címsorral de aktiválja a böngésző számos megbízhatósági mutatóját. Az OV tanúsítvány megköveteli, hogy egy vállalkozást a Tanúsító Hatóság igazoljon. A szervezet nevét fel fogjuk tüntetni a tanúsítványon, ami megerősíti a bizalmat.

Az OV-kat olyan vállalatok, kormányok és más szervezetek használják, amelyek extra bizalmat kívánnak biztosítani a látogatók számára. Az OV tanúsítványok különösen fontosak az e-kereskedelem webhelyein, ha az EV tanúsítvány bármilyen okból nem érhető el.

Domain érvényesítés (DV)

A DV-tanúsítványok ipari szabványú titkosítást kínálnak (a többi tanúsítványtípussal megegyező szinten), de nem sokat. Az alacsony (vagy akár ingyenes) költségeken kívül a Domain Validified (DV) tanúsítvány másik előnye, hogy csak néhány perc alatt adható ki, mivel a Hitelesítés-szolgáltatónak csak azt kell igazolnia, hogy Ön a biztonságos domainhez tartozik – ami gyakran automatizált folyamat.

Kezdje el SSL-védett webhelyének felépítését perc alatt

Most, hogy tudja, hogy mi szükséges a webhely biztonságához a HTTPS használatával, a rendelkezésre álló TLS tanúsítvány lehetőségeivel és az internetfelhasználók bizalmi elvárásaival, megkezdheti a titkosításra vonatkozó bevált gyakorlatok bevezetését a saját webhelyén..

Menjen át az SSL Store-ba, amely kiváló partner ezen a webes tanúsítványok és biztonsági rövidítések ebben a kissé zavaró világban. Barátságos, biztonsági minõségû és 24 órás ügyfélszolgálatot fognak nyújtani – nem szabad meghaladni a legjobb webgazdákat.

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map