Сертификаты Secure Sockets Layer (SSL) — это то, что заставляет ваш браузер отображать значок замка, указывающий, что ваше соединение с веб-сайтами безопасно. Хотя вскоре замок может быть скрыт от глаз, сертификаты никуда не денутся.

Давайте начнем с некоторых определений и поясним некоторые термины.

На строго техническом уровне много лет назад SSL был фактически вытеснен TLS (Transport Layer Security), но это название прижилось. Итак, в этой статье мы будем использовать SSL для обозначения всего семейства протоколов SSL/TLS.

SSL — это технология безопасности для установления зашифрованной связи между сервером и клиентом, например веб-сайтом и браузером, или парой почтовых серверов. Сертификат SSL — это цифровой сертификат, который удостоверяет личность веб-сайта и обеспечивает шифрованное соединение.

 

Для чего нужны SSL-сертификаты?

SSL-сертификаты служат двум важным целям:

• Аутентификация. Он удостоверяет личность компьютера, с которым вы разговариваете.
• Конфиденциальность. Это гарантирует, что соединение между двумя компьютерами зашифровано.

В интернете SSL делает соединение с веб-сайтом более надежным: вы разговариваете с веб-сайтом, указанным в сертификате, и никто не слушает и не вмешивается в обмен данными между вами. Это особенно важно, когда вы обмениваетесь личной информацией, такой как данные кредитной карты или пароли.

Однако это не делает сайт более надежным, а только общение между ним и вами. Не каждому веб-сайту, имеющему сертификат SSL, можно доверять. Злые веб-сайты, такие как фишинговые, могут иметь сертификаты SSL, и вы можете устанавливать безопасные, надежные соединения со злыми сайтами с помощью SSL!

Несмотря на множество (теперь уже устаревших) советов, сертификаты SSL и замки не должны использоваться в качестве индикатора того, что веб-сайт «безопасен». Точно так же, если у веб-сайта нет сертификата, это не значит, что ему нельзя доверять.

 

Как работают SSL-сертификаты?

SSL-шифрование возможно благодаря паре открытого и закрытого ключей, которую облегчают сертификаты SSL. Браузер посетителя веб-сайта получает открытый ключ, необходимый для открытия зашифрованного соединения, из SSL-сертификата сервера. Открытый ключ не является секретным, и любой может его увидеть, поэтому не имеет значения, был ли он перехвачен. Любой, у кого есть открытый ключ, может использовать его для шифрования сообщения, но только соответствующий закрытый ключ на сервере может его расшифровать.

В зависимости от типа сертификата он также предоставляет посетителю информацию о держателе сертификата:

• Доменное имя, для которого действует сертификат
• Информация о держателе сертификата
• Какой центр сертификации выдал сертификат
• Дата выдачи и истечения срока действия сертификата
• Открытый ключ, необходимый для шифрования

SSL-сертификаты обычно делятся на три типа:

Сертификаты с подтверждением домена (DV). Сертификаты DV подтверждают связь между сертификатом и доменом. Такие проекты, как Let’s Encrypt, который предоставляет бесплатные сертификаты и автоматизирует процесс их создания и установки, полагаются на проверку домена.

Сертификаты, подтвержденные организацией (OV). Сертификаты OV подтверждают связь между сертификатом и организацией. Орган, выдающий сертификат, должен подтвердить юридическое и физическое существование организации.

Сертификаты с расширенной проверкой (EV). Сертификаты EV подтверждают связь между сертификатом и организацией, использующей более тщательный процесс проверки, чем сертификаты OV.

 

Где взять SSL-сертификаты?

Сертификаты SSL выдаются центром сертификации (CA). Большинство браузеров принимают сертификаты, выданные сотнями различных центров сертификации.

Если вы ищете сертификат для своего веб-сайта, один из вариантов — обратиться к своему хостинг-провайдеру. Обычно они могут указать вам правильное направление и, вероятно, смогут снабдить одним. Укажите, какой тип сертификата вы ищете, так как это важная информация для начала вашего квеста. Кроме того, вы можете автоматизировать процесс создания и установки сертификатов с помощью таких сервисов, как Let’s Encrypt.

 

Требуется ли SSL-сертификат для веб-сайта?

Большая часть интернета теперь зашифрована, что делает сайты без SSL исключением. SSL защищает передаваемые личные данные, например данные кредитной карты. Даже когда он не защищает конфиденциальные данные, он останавливает атаки, которые могут направить вас на поддельные веб-сайты, и предотвращает внедрение злоумышленниками добавлений или вредоносных программ в ваш трафик.

Если вам этого недостаточно, есть и другие причины использовать SSL.

Помимо защиты трафика, наличие сертификата SSL также помогает повысить рейтинг вашего сайта в поисковых системах. Текущий алгоритм Google награждает сайты с SSL, повышая их рейтинг (или, лучше сказать, наказывает сайты, которые не используют SSL).

SSL также делает сайт более профессиональным и безопасным. В зависимости от браузера посетителя сайты без сертификата SSL могут вызывать предупреждение о том, что сайт небезопасен.

Все большее количество функций браузера требует для работы SSL. Такие функции, как определение местоположения пользователя, доступ к его микрофону или хранение данных локально на их устройстве, требуют, чтобы ваш веб-сайт поддерживал HTTPS, который использует SSL. Это имеет смысл, поскольку вы предоставляете таким сайтам конфиденциальную информацию. Это создает угрозу безопасности, если эти функции могут быть изменены человеком-посредником или другим сетевым вмешательством или выдачей себя за другое лицо.

 

Оригинал материала