Phenquestions
Velkommen til nybegynnerveiledningen for TLS og SSL. Vi tar et dypdykk i applikasjonene til asymmetrisk eller offentlig nøkkelkartografi.
Hva er asymmetrisk kryptografi?
Kryptografi med offentlig nøkkel ble introdusert tidlig på 1970. Sammen med det kom ideen om at i stedet for å bruke en enkelt nøkkel til å kryptere og dekryptere et stykke informasjon, skulle to separate nøkler brukes: kryptering og dekryptering. Dette betyr at nøkkelen som brukes til å kryptere informasjonen ikke er relevant for spørsmålet om dekryptering av informasjonen. Det er også kjent som asymmetrisk kryptografi.
Dette er et nytt konsept, og å ytterligere utdype det vil kreve bruk av veldig intrikat kalkulus, så vi vil lagre den diskusjonen for en annen gang.
Hva er TLS og SSL?
TLS står for Transport Layer Security, mens SSL er en forkortelse for Secure Socket Layer. Begge er Public Key-kryptografiapplikasjoner, og sammen har de gjort internettbrukere i stand til å utføre kommunikasjon over internett.
Hva disse to er, blir forklart nedenfor.
Hvordan er TLS forskjellig fra SSL?
TLS og SSL bruker begge den asymmetriske tilnærmingen til kryptering for å sikre kommunikasjon over internett (håndtrykk). Kjerneforskjellen mellom de to er at SSL skyldes kommersiell innovasjon, og derfor en eiendom for morselskapet, som er Netscape. I motsetning er TLS en Internet Engineering Task Force Standard, en litt oppdatert versjon av SSL. Det ble kalt annerledes for å unngå problemer med opphavsrett og potensielt en søksmål.
For å være presis, har TLS noen attributter som skiller den fra SSL. I TSL etableres håndtrykk uten sikkerhet og styrkes av STARTTLS-kommandoen, noe som ikke er tilfelle i SSL.
TSL regnes som en forbedring av SSL fordi det gjør at håndtrykk som vanligvis er usikre eller usikre kan oppgraderes til sikret status.
Hva gjør TLS-tilkoblinger tryggere enn SSL?
Det har vært intens konkurranse i markedene for datasikkerhet. SSL 3.0 klarte ikke å følge med på internett og ble foreldet i 2015. Det er flere grunner bak dette, hovedsakelig å gjøre med sårbarhetene som ikke kunne blitt rettet. En slik følsomhet er SSLs kompatibilitet med krypter som er i stand til å motstå moderne nettangrep.
Sårbarheten forblir med TLS 1.0, da en inntrenger kan tvinge en SSL 3.0-forbindelse på klienten og deretter utnytte sårbarheten. Dette er ikke lenger tilfelle med TLSs nye oppgradering.
Hvilke tiltak kan vi ta?
Hvis du er i mottakersiden, holder du nettleseren din oppdatert. I dag kommer alle nettleserne med innebygd støtte for TLS 1.2, og derfor er det ikke så vanskelig å opprettholde sikkerheten for kundene. Imidlertid bør brukerne fortsatt ta forholdsregler når de ser røde flagg. Nesten alle advarsler fra nettleserne peker mot slike røde flagg. Moderne nettlesere er eksepsjonelle når de oppdager om noe lyssky foregår på et nettsted.
Serveradministratorene som hoster nettsteder har større ansvar på skuldrene. Det er mye du kan gjøre i denne forbindelse, men la oss begynne å vise en melding når en klient bruker utdatert programvare.
For eksempel bør de som bruker Apache-maskiner som servere prøve dette:
$ SSLOptions + StdEnvVars$ RequestHeader angi X-SSL-protokoll% SSL_PROTOCOL s
$ RequestHeader angi X-SSL-kryptering% SSL_CIPHER s
Hvis du bruker PHP, kan du søke etter $ _SERVER i skriptet. Skulle du komme over noe som indikerer at TLS er utdatert, vil en melding vises tilsvarende.
For bedre å styrke serversikkerheten din, er det gratis verktøy der ute som tester systemet for følsomhet for TLS- og SSL-mangler. Noen av dem kan enda bedre konfigurere serveren din. Hvis du liker den ideen, sjekk ut Mozilla SSL Configuration Generator, som i utgangspunktet gjør alt arbeidet for deg for å sette serveren din opp for å minimere TLS-risiko og slikt.
Hvis du vil teste serveren din for SSL-mottakelighet, kan du sjekke ut Qualys SSL Labs. Den kjører en automatisert konfigurasjon som er både omfattende og intrikat hvis du er detaljorientert.
Oppsummert
Alt i alt ligger ansvarsvekten på alles skuldre.
Med fremveksten av moderne datamaskiner og teknikker har nettangrep blitt stadig mer innflytelsesrike og storskala med tiden. Alle internettbrukere må ha tilstrekkelig kunnskap om systemene som beskytter deres personvern på nettet og ta nødvendige forholdsregler når de kommuniserer over internett.
I alle fall er det alltid bedre å bruke åpen kildekode, ettersom de er tryggere, gratis og kan få jobben gjort.
