Hvad er SSL og hvorfor skal du pleje?

Indholdsfortegnelse:

Anonim

I en tidligere rapport om ændring fra HTTP til HTTPS berørte den kort på Single Socket Layer (SSL). Kort sagt, SSL og dens efterfølger, Transport Layer Security (TLS), er nødvendige for at kunne fungere sikkert online.

I denne artikel skal vi se nærmere på spørgsmålet "Hvad er SSL", og hvordan SSL / TLS beskytter dine følsomme oplysninger.

Hvorfor skal du bekymre sig om SSL / TLS?

Før vi går i "Hvordan", lad os se på "Hvorfor" vil du gerne bruge SSL / TLS i første omgang.

$config[code] not found

Disse dage er datasikkerhed gyldig. Enhver, der har fået sin identitet stjålet, kunne fortælle det. Nøglen til at holde dine oplysninger sikre er at gemme det væk et sted sikkert, hvor ingen andre kan se det.

Desværre er det ikke muligt online. Når du overfører oplysninger online, er der altid noget punkt i processen, hvor både dig og din kunde taber styringen af ​​dataene.

Du ser, mens din kunde kan sikre den enhed, som din browser kører på, og du kan sikre din webserver, er rørene i onlineverdenen ude af begge hænder.

Uanset om det er kabelfirmaet, telefonselskabet eller et regeringsbaseret undersøiske kabel, vil dine kunders data passere gennem andres hænder online, og derfor skal det krypteres ved hjælp af SSL / TLS.

Her er nogle eksempler på de typer oplysninger, du kan bruge SSL / TLS til at sikre online:

  • Kreditkorttransaktioner
  • Website login
  • Passerer privat og personlig information frem og tilbage
  • Sikring af din email fra snoopers.

Ja, hvis du driver forretning online, er SSL / TLS afgørende for din fortsatte succes. Hvorfor? Fordi:

  • Dine kunder skal føle sig sikre, når de gør forretninger med dig online, eller de vil ikke gøre forretninger med dig; og
  • Du har ansvar for din kunde for at beskytte de følsomme oplysninger, de har valgt at dele med dig.

Lad os se, hvordan SSL / TLS fungerer.

Offentlige, offentlige og sessionstaster er den, uh … Nøgle

Når du bruger SSL / TLS til at overføre dine følsomme data online, bruger din browser og den sikrede webserver til at bruge to separate nøgler til at oprette en sikker forbindelse: en offentlig og en privat nøgle. Når forbindelsen er på plads, bruges en tredje type nøgle, sessionstasten, til at kryptere og dekryptere de informationer, der sendes frem og tilbage.

$config[code] not found

Sådan fungerer det:

  1. Når du opretter forbindelse til en sikker sever (f.eks. Amazon.com), begynder handshake-processen:
    1. Først vil serveren passere din browser, det er SSL / TLS certifikat såvel som det er den offentlige nøgle;
    2. Din browser vil derefter kontrollere serverens certifikat for at se, om det kan stole på det ved hjælp af faktorer som om certifikatet er udstedt af en pålidelig kilde, og hvis certifikatet ikke er udløbet.
    3. Hvis SSL / TLS kan stole på, sender din browser en bekræftelse tilbage til serveren, så den ved, at den er klar til at gå. Denne meddelelse bliver krypteret ved hjælp af serverens offentlige nøgle og kan kun dekrypteres ved hjælp af serverens private nøgle. Inkluderet i denne bekræftelse er din browsers offentlige nøgle.
      1. Hvis serveren ikke kan stole på, får du vist en advarsel i din browser. Du kan altid ignorere advarslen, men det er ikke klogt.
    4. Serveren opretter derefter sessionstasten. Inden du sender den til din browser, krypterer den beskeden med din offentlige nøgle, så kun din browser, der bruger den private nøgle, kan dekryptere den.
  2. Nu hvor håndtrykket er overstået, og begge partier har sikkert modtaget sessionstasten, deler din browser og serveren en sikker forbindelse. Både din browser og serveren bruger sessionstasten til at kryptere og dekryptere de følsomme data, da den sendes frem og tilbage over online.
    1. Når sessionen er slut, kasseres sessionstasten. Selvom du forbinder en time senere, skal du løbe igennem denne proces fra starten, hvilket vil resultere i en ny sessionstast.

Størrelse betyder noget

Alle tre typer nøgler består af lange strenge af tal. Jo længere strengen er, desto sikrere krypteringen. På den nedre side tager en længere streng mere tid til at kryptere og dekryptere data og sætter mere belastning på både serverens og din browsers ressourcer.

Derfor findes der sessionsnøgler. En sessionstast er meget kortere end både de offentlige og private nøgler. Resultatet: meget hurtigere kryptering og dekryptering, men mindre sikkerhed.

Vent - mindre sikkerhed? Er det ikke så slemt? Ikke rigtig.

Sessionstaster findes kun i en kort periode, før de slettes. Og mens de ikke er så lange som de to andre typer nøgler, er de sikre nok til at forhindre hacking i den korte tid, hvor forbindelsen mellem din browser og den sikre server eksisterer.

Krypteringsalgoritmer

Både de offentlige og private nøgler oprettes ved hjælp af en af ​​tre krypteringsalgoritmer.

Vi kommer ikke til at komme for dybt her, du har bogstaveligt talt brug for en matematikgrad (måske flere) for at forstå krypteringsalgoritmerne helt, men det er praktisk at kende det grundlæggende, når det kommer tid til at vælge den type, som din egen websider skal bruge.

De tre primære algoritmer er:

  • RSA - opkaldt efter dets skabere (Ron Rivest, adi Shamir og Leonard ENdlema), RSA har eksisteret siden 1977. RSA opretter nøgler ved at bruge to tilfældige primtal i en række beregninger. Lær mere…
  • Digital signaturalgoritme (DSA) - skabt af National Security Agency (NSA), skaber DSA nøgler ved hjælp af en to-trins proces, der bruger en "crptographic hash-funktion" i en række beregninger. Lær mere…
  • Elliptisk kurvekryptografi (EØF) - EØF skaber nøgler ved brug af "den algebraiske struktur af elliptiske kurver" i en kompleks række beregninger. Lær mere…
$config[code] not found

Hvilken krypteringsalgoritme skal du vælge?

Math til side, hvilket er den bedste krypteringsalgoritme at bruge?

I øjeblikket synes ECC at komme ind på toppen. Takket være matematikken er nøgler, der er oprettet med ECC-algoritmen, kortere, mens de stadig er så sikre som langt længere nøgler. Ja, ECC bryder "size matters" -reglen, hvilket gør den ideel til sikker forbindelse på mindre kraftfulde enheder, f.eks. Din mobiltelefon eller tablet.

Den bedste tilgang kan være en hybrid, hvor din server kan acceptere alle tre typer algoritmer, så det kan klare det, der kastes på det. De to ulemper ved denne tilgang kan være:

  1. Serveren bruger flere ressourcer, der håndterer RSA, DSA og ECC i modsætning til kun ECC; og
  2. Din SSL / TLS-certifikatudbyder kan muligvis opkræve dig mere. Kig rundt, men der er meget kreditable udbydere, der ikke opkræver ekstra for at bruge alle tre.

Hvorfor kaldes TLS stadig kaldes SSL?

Som vi nævnte øverst i dette indlæg, er TLS efterfølgeren til SSL. Mens SSL stadig er i brug, er TLS en mere raffineret løsning og plugger mange af sikkerhedshullerne, der plaget SSL.

De fleste hostingfirmaer og SSL / TLS-certifikatudbydere bruger stadig udtrykket "SSL-certifikat" i stedet for "TLS-certifikat".

Vær klar, men de bedre hosting- og certifikatudbydere bruger faktisk TLS-certifikater - de ville bare ikke ændre navnet, fordi det ville forvirre deres kunder.

Konklusion

Single Socket Layer (SSL), og dens efterfølger, Transport Layer Security (TLS), er nødvendige for at kunne fungere sikkert online. Ved hjælp af lange strenge af tal kaldet "Keys", muliggør SSL / TLS forbindelser, hvor både din og din kundes oplysninger krypteres, inden den sendes og dekrypteres, når den kommer.

Nederste linje: Hvis du driver forretning online, er SSL / TLS afgørende for din fortsatte succes, fordi den bygger tillid, samtidig med at du beskytter både dig og dine kunder.

Sikkerhedsfoto via Shutterstock

Mere i: Hvad er 5 kommentarer ▼