SSL (Secure Sockets Layer, Слой защищённых сокетов) – это международно-признанный протокол передачи данных с применением криптографии. Технические специалисты компании Deltahost на основе статьи «Что такое SSL-сертификат и зачем он нужен?», опубликованной по адресу https://deltahost.ua/chto-takoe-ssl-sertifikat-i-zachem-on-nuzhen.html, подготовили для читателей Mediasat небольшое руководство по SSL-протоколу.
Протокол SSL используется для проведения авторизации на сервере перед передачей данных из приложений, а также – для согласования алгоритмов шифрования и ключей сеанса.
Как работает SSL?
Как упоминалось выше, сертификат SSL является важной частью процесса шифрования данных, который обеспечивает безопасность пересылки критически важной информации через интернет.
В основе работы Сертификатов SSL лежит использование типа криптографии, который опирается на возможности частных и публичных ключей, представляющих собой последовательности случайным образом сгенерированных цифр. Эти ключи шифруют отправляемые и принимаемые сообщения, действуя подобно цифровому паспорту, обеспечивая аутентификацию для защиты конфиденциальности и целостности взаимодействия web-сайта с браузерами.
Ниже представлены основные принципы, необходимые для понимания работы сертификата SSL:
- Если ваш web-сайт имеет сертификат SSL, безопасное общение начинается с рукопожатия SSL. Именно на этом этапе две взаимодействующие стороны открывают безопасное соединение. Затем следует приглашение обменять открытый ключ.
- Во время рукопожатия SSL обе стороны генерируют сессионные ключи. Браузер/сервер проводит ряд тестов, призванных установить, стоит ли доверять сертификату SSL. В случае положительного ответа сообщение будет отправлено на web-сервер.
- Web-сервер отвечает подтверждением с цифровой подписью, которое называется «рукопожатие SSL», чтобы начать сеанс передачи данных с шифрованием SSL. Затем ключи сеанса шифруют и дешифруют все соединения, имеющие место после рукопожатия SSL.
- Наконец, клиент и сервер начинают обмен шифрованными сообщениями.
С целью обеспечения безопасности для каждой новой сессии используется отдельный ключ шифрования связи. Таким образом, SSL обеспечивает гарантию подлинности пользователя на стороне сервера или подлинности пользователя Web-ресурса.
Помимо этого SSL использует Код аутентификации сообщения (Mac), который должен гарантировать то, что данные не были изменены.
При использовании SSL все данные HTTP, которые пользователи отправляют на ваш web-сайт (заполняя формы, нажимая на иконки и т.д.), а также все данные, которые ваш web-сайт отправляет пользователям, пересылаются в зашифрованном виде.
Все зашифрованные данные должны быть расшифрованы получателем путём использования ключа.
Где используется SSL
Протокол SSL применяется при просмотре содержимого web-страниц, передаче факсов, сообщений электронной почты и VoIP, а также на крупных платформах и социальных сетях – таких как YouTube, Twitter, Facebook, Google, Yahoo и многие другие.
Использование SSL является необходимостью на web-сайтах, которые собирают личные данные – такие, как информация о кредитных картах, пароли, номера телефонов, информацию из медицинских карт, физические адреса и так далее.
Такие web-ресурсы, как онлайн-магазины, поставщики банковских услуг и банковского программного обеспечения используют протокол SSL для шифрования информации, необходимой для осуществления платежей или проведения прочих финансовых транзакций.
Протокол SSL используется также в ряде прикладных программ – таких, как Yahoo Messenger, Trillian, Skype, которые имеют формы для входа пользователя и дают возможность приобретения дополнительного контента, а также в Steam, League of Legends, Smite, которые можно использовать для покупки игр или различных дополнений к играм.
Типы атак на SSL
Как и любая другая цифровая технология, протокол SSL подвержен бесчисленному количеству атак, направленных на взлом зашифрованного соединения. Детально останавливаться на каждом типе атаки нет смысла, просто перечислим ключевые из них:
- Атака BEAST.
- Атака CRIME.
- Атака BREACH.
- Атака отката версии (Version rollback attack).
- Атака по времени (Timing attack).
- Атака перезаключения (Renegotiation attack).
- Атака POODLE.
- Атака с отсечением (Truncation attack).
- Атака RC4.
- Атака BERserk.
- Атака понижения уровня (Downgrade attack).
- Атака «Бар-Мицва».
- Атака на ключи с помощью факторинга (Freak attack).
- Атака SSLstrip (Stripping attack).
Как получить Сертификат SSL?
Наиболее важным компонентом сертификата SSL является цифровая подпись публично доверенной третьей стороны – сертификат, который проверяет подлинность организаций для подписи. Три наиболее известных Центра сертификации – Symantec, GoDaddy и DigiCert – выпустили более 75% всех SSL-сертификатов, выданных на сегодняшний день. Однако по всему миру работают и сотни других Центров сертификации. Если вы затрудняетесь с выбором поставщика сертификата SSL, обратитесь в компанию Deltahost, где вам окажут квалиффицированную помощь.
Сертификаты SSL подписываются и выдаются за оплату (как правило), которая производится в форме подписки на услуги доверенного Центра сертификации на определённый период. В мире существует множество поставщиков сертификатов SSL, услугами которых можно воспользоваться. Ваш выбор будет зависеть от ваших потребностей в безопасности, бюджета и web-сайта, которым вы управляете.
Какова стоимость Сертификата SSL?
Защита одного доменного имени с помощью стандартного Сертификата SSL, подписанного Центром сертификации, является практически бесплатной. Однако стоимость SSL-сертификации для полной защиты бизнеса и домена колеблется от 150 до 2000 долларов США в год.
Сертификаты SSL обычно предоставляются с гарантией. Гарантия действует как страховка и финансово защищает вас от ошибок в работе Центра сертификации, таких как неверный выданный сертификат или катастрофический сбой протокола SSL. Размер гарантии варьируется от 0 до 1,75 млн. долларов США в зависимости от приобретённого Сертификата SSL.