Когато въвеждате данните на банковата си карта в сайт за

Когато въвеждате данните на банковата си карта в уебсайт за онлайн извършване на покупки, те ви минават през десетки сървъри и маршрутизатори. По пътя от вашето устройство до крайния сървър информацията може да бъде прихваната във всеки един миг. Ето за какво съществуват протоколи за сигурност – те трансформират четимите данни в криптирана поредност от знаци.

Малкият катанец в адресната лента на браузъра се е трансформирал в прочут детайл от интерфейса, само че малко хора се замислят за комплицираните процеси, които се правят зад този елементарен знак. HTTPS и SSL са технологии, които трансформираха радикално интернет, като направиха допустимо онлайн банкирането, електронната търговия и поверителната връзка.

Откъде се появи потребността от криптиране

Първите години на World Wide Web приличаха на научна химера. HTTP беше основан за продан на университетски документи сред университетите, където главната цел беше елементарност и експедитивност на достъпа до информация. Сигурността изглеждаше излишно затруднение – кой би желал да прихваща университетски документи?

Ситуацията бързо се промени. Още при започване на 90-те години на 20-ти век стана ясно, че интернет ще се трансформира в комерсиално пространство. Netscape, основателят на един от първите известни браузъри се сблъска с явен проблем: по какъв начин да отбрани финансовите данни на потребителите, когато пазарят онлайн?

Първият протокол SSL се появява през 1994 година, само че е толкоз уязвим, че даже не е пуснат за необятна приложимост. SSL 2.0 също съдържаше сериозни неточности в осъществяването си. Едва третата версия на протокола, показана през 1995 година постави основите на актуалните стандарти за сигурност.

Интересно е, че наименованието „ SSL “ се е наложило толкоз трайно в професионалния диалект, че продължава да се употребява даже и в този момент, когато механически става въпрос за протокола TLS, който е развиване и стандартизация на концепциите на SSL.

Механика на сигурната връзка

Установяването на сигурна връзка сред браузър и сървър следва комплицирана скица, която взема решение фундаментален проблем на криптографията: по какъв начин да се контракти конфиденциален ключ по нерешителен информационен канал?

Асиметричната криптография като основа на доверието

В основата на HTTPS е асиметричното криптиране – елегантно решение, изобретено през 70-те години на предишния век. Всеки сървър има двойка математически свързани ключове: един обществен, който популяризира свободно и един частен, който се пази в загадка.

Процесът е следният:

Браузърът ви декларира предпазена връзка. Сървърът изпраща своя дигитален документ, съдържащ обществения ключ. Браузърът удостоверява достоверността на документа в приближен орган за издаване на документи – организация, която работи като поръчител, че документът в действителност принадлежи на декларирания притежател.

След удостоверяването браузърът генерира случаен ключ за симетрично криптиране и го криптира с обществения ключ на сървъра. Тъй като единствено притежателят на частния ключ може да декриптира това известие, браузърът и сървърът споделят загадка, незнайна за никой различен.

Симетрично криптиране за скорост

Асиметричното криптиране е мощно, само че постепенно – всяка интервенция изисква комплицирани математически калкулации. Симетричното криптиране се употребява за предаване на огромни количества данни, при което за криптиране и декриптиране на информацията се употребява еднакъв ключ.

Този хибриден метод обезпечава най-благоприятен баланс сред сигурност и продуктивност. Цялата следваща преписка сред браузъра и сървъра се реализира благодарение на симетричния ключ, основан при започване на сесията.

HTTP против HTTPS: повече от прибавяне на една писмен знак

Разликата сред сигурните и несигурните протоколи не е единствено в съществуването на криптиране. HTTP и HTTPS основават радикално друго прекарване при взаимоотношение с интернет.

При елементарния HTTP цялата информация се предава в чист тип. Това значи, че всеки мрежов възел, през който минават вашите данни, може да ги прочете и проучва. В днешната интернет инфраструктура, където трафикът може да минава през доста междинни сървъри, тази неприкритост основава съществени опасности.

Особено уязвими са потребителите на публични Wi-Fi мрежи. В кафенета, летища, хотели нападателите могат елементарно да прихванат беззащитен трафик, получавайки достъп до пароли, персонална преписка и друга поверителна информация.

HTTPS взема решение тези проблеми изцяло. Протоколът обезпечава освен дискретност, само че и целокупност на данните – гаранция, че информацията не е била изменена по време на предаването. Освен това цифровите документи удостоверяват достоверността на уеб страницата, предпазвайки го от офанзиви за замяна.

Еволюция от SSL към TLS

Терминологичното комплициране към SSL и TLS отразява комплицираната история на развиването на протоколите за сигурност. След като в края на 90-те години на предишния век Internet Engineering Task Force пое стандартизацията на протокола, SSL беше преименуван на TLS (Transport Layer Security), само че остарялото име се наложи толкоз добре, че се употребява и до през днешния ден.

Съвременните версии на протокола са се отдалечили от истинския SSL. TLS 1.2, признат през 2008 година се трансформира във в действителност стандарт за сигурност за множеството уеб страници. Истинският пробив обаче беше TLS 1.3, утвърден през 2018 година.

Новата версия на протокола опрости процеса на определяне на връзка, като отстрани ненужния кръг от известия. Това освен форсира нещата, само че и усъвършенства сигурността – по-малко известия значи по-малко благоприятни условия за офанзиви. Остарелите логаритми за криптиране бяха отстранени от протокола, а останалите бяха подсилени, с цел да се оправят със актуалните закани, в това число евентуалната заплаха от квантови компютри.

Как да определяте сигурността на сайтoвете

Съвременните браузъри дават на потребителите много подробна информация за сигурността на връзката, само че би трябвало да интерпретирате тези сигнали вярно.

Иконата на катанец в адресната лента е първият и най-очевиден знак. Зеленият катанец нормално значи, че уеб сайтът употребява годен HTTPS документ. Струва си обаче да запомните, че съществуването на HTTPS не подсигурява сигурността на самия уебсайт – измамниците също могат да получат SSL документи.

Предупрежденията на браузъра за проблеми със документите би трябвало да се одобряват със съществено внимание. Червените вести или зачеркнатите катинари могат да значат изминал период на годност на документите, противоречие на имената на домейните или опити за посреднически офанзиви. В такива случаи е по-добре да се въздържате от въвеждане на персонални данни.

Щракването върху иконата на катанец отваря спомагателна информация за документа: кой го е издал, интервал на годност и логаритми за криптиране. Тези данни са изключително значими при работа с финансови услуги или при предаване на сензитивна информация.

Смесеното наличие като източник на уязвимости

Един от най-често срещаните проблеми е смесеното наличие, когато главната страница се зарежда посредством HTTPS, а някои детайли (изображения, скриптове, стилове) се зареждат посредством беззащитен HTTP. Тази настройка основава евентуални точки за офанзива и провокира предизвестия от страна на браузъра.

От решаващо значение за уеб страниците е да обезпечат цялостно прекосяване към HTTPS, в това число за всички запаси. Това се отнася освен за личното им наличие, само че и за външни услуги, като системи за разбор, рекламни мрежи и обществени уиджети.

Класификация на SSL документите

Сертификационната промишленост предлага няколко равнища на валидиране, всяко от които е уместно за разнообразни задания и бюджети.

Domain Validated (DV) документите удостоверяват единствено контрола върху домейна. Процесът е автоматизиран и може да отнеме от няколко минути до часове. Услуги като Let’s Encrypt дават тези документи гратис, което способства за всеобщото разпространяване на HTTPS през последните години.

Organization Validated (OV) документите изискват спомагателна инспекция на съществуването и легитимността на организацията. Сертифициращият център преглежда документите за регистрация, ревизира данните за контакт и от време на време организира телефонни изявленията. Процесът може да отнеме няколко дни, само че полученият документ съдържа повече информация за притежателя.

Extended Validation (EV) съставлява най-строгото равнище на инспекция. В допълнение към всички предходни стъпки се прави подробна инспекция на правния статут на организацията, нейното физическо местонахождение и правото да кандидатства за документ. EV документите обичайно се употребяват от огромни финансови институции и онлайн търговци на дребно, макар че през последните години практическата им стойност е сложена под въпрос.

Практически аспекти на сигурността

Разбирането на техническите аспекти на HTTPS е значимо, само че също толкоз значими са и практическите умения за безвредно потребление на интернет.

Потребителите би трябвало да придобият навика да ревизират URL адресите, преди да вкарват поверителна информация. Фишинг уеб страниците постоянно употребяват домейни, които образно наподобяват на истинските – заменят се знаци с сходни букви от други писмености, прибавят се или се отстраняват тирета, употребяват се поддомейни, с цел да се имитират публични уеб сайтове.

Предупрежденията на браузъра за проблеми със документите не би трябвало да се подценяват даже при познати уеб сайтове. Понякога техническите проблеми могат да крият съществени закани за сигурността.

Собствениците на уеб страници би трябвало да обезпечат цялостна миграция към HTTPS, в това число да настроят автоматизирани пренасочвания от HTTP версии. Важно е също по този начин да се приложи HTTP Strict Transport Security (HSTS) – механизъм, който инструктира браузърите постоянно да употребяват предпазената връзка за даден домейн.

Автоматизирането на ръководството на документите се трансформира в общоприета процедура. Изтеклите документи освен основават проблеми със сигурността, само че и оказват отрицателно въздействие върху потребителското преживяване и SEO класирането.

Развенчаване на постоянно срещани легенди

Няколко устойчиви мита пречат на вярното схващане на ролята на HTTPS в уеб сигурността.

Твърдението, че HTTPS доста забавя уебсайтовете беше настоящо в ерата на слабите процесори и неоптимизираните логаритми. Съвременният хардуер може да се оправи с криптирането без видимо влияние върху продуктивността. Освен това HTTPS отваря достъп до усъвършенствани протоколи като HTTP/2, които могат да ускорят зареждането на страниците.

Друго неправилно разбиране е обвързвано с надценяването на цената на зеления катанец. HTTPS пази канала за данни, само че не подсигурява неприкосновеността на притежателя на уеб страницата. Измамническите запаси също употребяват SSL документи, тъй че сериозното мислене остава най-важният инструмент за отбрана.

По-малките уеб сайтове без търговски съставен елемент също се нуждаят от HTTPS. Търсачките вземат поради криптирането при класирането на резултатите, а потребителите от ден на ден чакат да видят предпазена връзка, без значение от типа на ресурса.

Поглед към бъдещето на уеб сигурността

Развитието на квантовите технологии изправя криптографията пред нови провокации. Достатъчно мощните квантови компютри ще могат да разбият множеството от сегашните логаритми за криптиране, употребявани в HTTPS. Тази опасност към момента е теоретична, само че изследователските лаборатории към този момент работят върху постквантова криптография.

Националният институт по стандартизация и технологии на Съединени американски щати (NIST) стандартизира логаритми, които са устойчиви на квантови офанзиви. Някои от тези логаритми към този момент се тестват в пробни реализации на TLS.

Автоматизацията и машинното образование трансформират пейзажа на сигурността и от двете страни. ИИ оказва помощ да се откриват аномалии в мрежовия трафик и да се разпознават подправени документи, само че същите технологии се употребяват от нападателите за основаване на по-убедителни офанзиви.

Прозрачността на документите – самодейност за обществено вписване на всички издадени SSL документи може бързо да открие неоторизирани документи за всеки домейн. Тази технология към този момент е помогнала за идентифицирането на доста офанзиви и неточности в сертификационните органи.

Заключителни съображения

HTTPS се трансформира от профилиран инструмент за отбрана на финансови транзакции в главен стандарт на актуалния интернет. Днес неналичието на криптиране на даден уеб страница се възприема като знак за стар или обезсърчителен запас.

Технологиите за сигурност не престават да се развиват, адаптирайки се към новите закани и благоприятни условия. От първите опити с SSL в средата на 90-те години на предишния век до днешните реализации на TLS 1.3, пътуването демонстрира по какъв начин техническата общественост може да работи дружно за решение на комплицирани проблеми на сигурността.

На потребителите на интернет са предоставени мощни принадлежности за сигурност, само че успеваемостта на тези принадлежности зависи от разбирането на техните благоприятни условия и ограничавания. Зеленият катанец в адресната лента не е магическа отбрана против всички закани, а единствено един от детайлите на по-широка тактика за цифрова сигурност.