Phenquestions
Dobrodošli v začetniškem priročniku za TLS in SSL. Poglobili se bomo v uporabo kartografije asimetričnega ali javnega ključa.
Kaj je asimetrična kriptografija?
Kriptografija z javnimi ključi je bila uvedena v začetku leta 1970. Skupaj z njim je prišla ideja, da bi morali namesto uporabe enega ključa za šifriranje in dešifriranje podatkov uporabiti dva ločena ključa: šifriranje in dešifriranje. To pomeni, da ključ za šifriranje informacij ni pomemben za vprašanje njihovega dešifriranja. Znana je tudi kot asimetrična kriptografija.
To je nov koncept in za nadaljnjo obdelavo bi bila potrebna uporaba zelo zapletenega računa, zato bomo to razpravo shranili za drugič.
Kaj sta TLS in SSL?
TLS pomeni Transport Layer Security, medtem ko je SSL okrajšava za Secure Socket Layer. Oba sta šifrirni aplikaciji z javnim ključem in skupaj sta uporabnikom interneta omogočila komunikacijo prek interneta.
Kaj natančno sta to dvoje, je razloženo spodaj.
Kako se TLS razlikuje od SSL?
TLS in SSL uporabljata asimetrični pristop k šifriranju za zaščito komunikacije prek interneta (rokovanje). Bistvena razlika med obema je v tem, da je SSL izhajal iz komercialnih inovacij in je torej last matičnega podjetja, ki je Netscape. Nasprotno pa je TLS standard delovne skupine za internetni inženiring, nekoliko posodobljena različica SSL. Imenovali so ga drugače, da bi se izognili težavam z avtorskimi pravicami in potencialno tožbo.
Natančneje, TLS ima nekaj atributov, ki ga ločujejo od SSL. V TSL se rokovanje stori brez varnosti in se okrepi z ukazom STARTTLS, kar pa ne velja za SSL.
TSL velja za izboljšanje SSL, ker omogoča nadgradnjo rokovanja, ki je običajno nevarno ali negotovo, v zaščiten status.
Kaj naredi povezave TLS varnejše od SSL?
Na trgih računalniške varnosti se dogaja močna konkurenca. SSL 3.0 ni mogel slediti internetu in je bil leta 2015 zastarel. Za tem je več razlogov, predvsem za ranljivosti, ki jih ni bilo mogoče odpraviti. Takšna dovzetnost je združljivost SSL s šiframi, ki lahko prenesejo sodobne kibernetske napade.
Ranljivost ostaja pri TLS 1.0, saj bi vsiljivec lahko vsilil SSL 3.0 na odjemalca in nato izkoristite njegovo ranljivost. To ne velja več za novo nadgradnjo TLS.
Katere ukrepe lahko sprejmemo?
Če ste na koncu prejema, samo posodabljajte brskalnik. Danes imajo vsi brskalniki vgrajeno podporo za TLS 1.2, zato ohranjanje varnosti za stranke ni tako težko. Vendar bi morali uporabniki vseeno upoštevati previdnostne ukrepe, ko vidijo rdeče zastavice. Skoraj vsa opozorilna sporočila vaših brskalnikov kažejo na takšne rdeče zastavice. Sodobni spletni brskalniki izjemno zaznajo, ali se na spletnem mestu dogaja kaj senčnega.
Skrbniki strežnikov, ki gostijo spletna mesta, imajo na svojih ramenih večje odgovornosti. V zvezi s tem lahko veliko storite, vendar začnimo prikazovati sporočilo, ko odjemalec uporablja zastarelo programsko opremo.
Na primer, tisti, ki uporabljajo stroje Apache kot strežnike, bi morali to preizkusiti:
$ SSLOptions + StdEnvVars$ RequestHeader nastavi X-SSL-protokol% SSL_PROTOCOL s
$ RequestHeader nastavi X-SSL-Cipher% SSL_CIPHER s
Če uporabljate PHP, poiščite $ _SERVER v skriptu. Če naletite na karkoli, kar kaže, da je TLS zastarel, se bo ustrezno prikazalo sporočilo.
Za boljšo varnost strežnika obstajajo brezplačni pripomočki, ki preizkušajo sistem za dovzetnost za pomanjkljivosti TLS in SSL. Nekateri od njih lahko še bolje konfigurirajo vaš strežnik. Če vam je ta ideja všeč, si oglejte Mozilla SSL Configuration Generator, ki v bistvu opravi vse, da nastavite strežnik tako, da zmanjšate tveganja TLS in podobno.
Če želite na strežniku preizkusiti občutljivost za SSL, obiščite Qualys SSL Labs. Izvaja samodejno konfiguracijo, ki je celovita in zapletena, če ste usmerjeni v podrobnosti.
V povzetku
Če upoštevamo vse, je teža odgovornosti na vseh ramenih.
S prihodom sodobnih računalnikov in tehnik so kibernetski napadi s časom postajali vedno bolj učinkoviti in obsežni. Vsi uporabniki interneta morajo imeti ustrezno znanje o sistemih, ki ščitijo njihovo spletno zasebnost, in med komunikacijo prek interneta sprejeti potrebne varnostne ukrepe.
V vsakem primeru vam je vedno veliko bolje, če uporabljate odprtokodno kodo, saj so ti varnejši, brezplačnejši in lahko opravijo delo.
