Phenquestions
Tere tulemast TLS ja SSL algajate juhendisse. Sukeldume asümmeetrilise või avaliku võtme kartograafia rakendustesse.
Mis on asümmeetriline krüptograafia?
Avaliku võtmega krüptograafia võeti kasutusele 1970. aasta alguses. Koos sellega tuli idee, et teabe krüptimiseks ja dekrüpteerimiseks tuleks kasutada ühte võtit, selle asemel tuleks kasutada kahte eraldi võtit: krüptimine ja dekrüpteerimine. See tähendab, et teabe krüptimiseks kasutatav võti ei ole selle teabe dekrüpteerimise küsimuses asjakohane. Seda tuntakse ka kui asümmeetrilist krüptograafiat.
See on uudne kontseptsioon ja selle edasiseks täpsustamiseks oleks vaja kasutada väga keerukat arvutust, nii et salvestame selle arutelu veel üheks ajaks.
Mis on TLS ja SSL?
TLS tähistab transpordikihi turvalisust, SSL aga lühend Secure Socket Layerist. Mõlemad on avaliku võtme krüptograafiarakendused ja koos on need võimaldanud Interneti-kasutajatel Interneti kaudu suhelda.
Mis need kaks täpselt on, selgitatakse allpool.
Kuidas TLS erineb SSL-ist?
Nii TLS kui SSL kasutavad asümmeetrilist lähenemist krüptimiseks Interneti-ühenduse tagamiseks (käepigistused). Põhiline erinevus nende kahe vahel on see, et SSL tulenes ärilisest innovatsioonist ja seega kinnisvara tema emaettevõttele, milleks on Netscape. Seevastu TLS on Internet Engineering Task Force Standard, SSL-i veidi uuendatud versioon. Autoriõiguste ja potentsiaalselt kohtuasjade vältimiseks nimetati seda teisiti.
Täpsusena võib öelda, et TLS-il on mõned atribuudid, mis eraldavad selle SSL-ist. TSL-is luuakse käepigistused ilma turvalisuseta ja neid tugevdab käsk STARTTLS, mida pole SSL-is.
TSL-i peetakse SSL-i täiustuseks, kuna see võimaldab tavapäraselt ohtlikke või ebaturvalisi käepigistusi uuendada turvalisele olekule.
Mis muudab TLS-ühendused SSL-ist turvalisemaks?
Arvutiturbe turgudel on olnud tihe konkurents. SSL 3.0 ei suutnud Internetiga sammu pidada ja see muudeti 2015. aastal vananenuks. Selle taga on mitu põhjust, mis on peamiselt seotud haavatavustega, mida polnud võimalik kõrvaldada. Üheks selliseks vastuvõtlikkuseks on SSL-i ühilduvus šifridega, mis on võimelised vastu pidama tänapäevastele küberrünnakutele.
Haavatavus püsib TLS 1 puhul.0, kuna sissetungija võib sundida SSL-i 3.0 klienti ühendada ja seejärel ära kasutada selle haavatavust. See pole enam TLS-i uue versiooniuuenduse puhul.
Milliseid meetmeid saame võtta?
Kui olete vastuvõtvas otsas, hoiate oma brauserit lihtsalt värskendatud. Tänapäeval on kõigil brauseritel TLS 1 sisseehitatud tugi.2, mistõttu pole turvalisuse säilitamine klientidele nii keeruline. Kuid punaseid lippe nähes peaksid kasutajad siiski ettevaatusabinõusid kasutama. Praktiliselt kõik teie brauserite hoiatussõnumid osutavad sellistele punastele lippudele. Kaasaegsed veebibrauserid on erakordsed tuvastamaks, kas veebisaidil toimub midagi varjulist.
Veebisaitide majutamise serveriadministraatoritel on suurem vastutus nende õlul. Selles osas saate teha palju, kuid alustame sõnumi kuvamist siis, kui klient kasutab aegunud tarkvara.
Näiteks peaksid need, kes kasutavad Apache masinaid serveritena, seda proovima:
$ SSLOptions + StdEnvVars$ RequestHeader määras X-SSL-protokolli% SSL_PROTOCOL s
$ RequestHeader määras X-SSL-šifri% SSL_CIPHER s
Kui kasutate PHP-d, otsige skriptist $ _SERVER. Kui peaksite leidma midagi, mis näitab, et TLS on aegunud, kuvatakse vastavalt ka teade.
Serveri turvalisuse paremaks tugevdamiseks on olemas tasuta utiliidid, mis kontrollivad süsteemi vastuvõtlikkust TLS-i ja SSL-i puudustele. Mõni neist saab teie serveri veelgi paremini konfigureerida. Kui teile see idee meeldib, vaadake Mozilla SSL-i konfiguratsioonigeneraatorit, mis põhimõtteliselt teeb teie jaoks kõik tööd oma serveri seadistamiseks, et minimeerida TLS-i riske ja muud.
Kui soovite oma serveris testida SSL-vastuvõtlikkust, vaadake Qualys SSL Labsi. See töötab automatiseeritud konfiguratsiooniga, mis on nii põhjalik kui ka keerukas, kui olete detailidele orienteeritud.
Kokkuvõttes
Kõiki asju arvestades on vastutuse kaal kõigi õlul.
Tänapäevaste arvutite ja tehnikate tulekuga on küberrünnakud aja jooksul muutunud üha mõjukamaks ja ulatuslikumaks. Kõigil Interneti-kasutajatel peavad olema piisavad teadmised nende võrgus privaatsust kaitsvatest süsteemidest ja nad peavad Interneti kaudu suhtlemisel võtma vajalikke ettevaatusabinõusid.
Igal juhul on teil alati palju parem kasutada avatud lähtekoodiga, kuna need on turvalisemad, tasuta ja saavad tööga hakkama.
