Phenquestions
Velkommen til begyndervejledningen til TLS og SSL. Vi dykker dybt ned i anvendelserne af asymmetrisk eller offentlig nøglekartografi.
Hvad er asymmetrisk kryptografi?
Public-key kryptografi blev introduceret i begyndelsen af 1970. Sammen med det kom ideen om, at i stedet for at bruge en enkelt nøgle til at kryptere og dekryptere et stykke information, skulle der bruges to separate nøgler: kryptering og dekryptering. Dette betyder, at nøglen, der bruges til at kryptere informationen, ikke er relevant for spørgsmålet om dekryptering af disse oplysninger. Det er også kendt som asymmetrisk kryptografi.
Dette er et nyt koncept, og at yderligere uddybe det vil kræve brug af meget indviklet beregning, så vi gemmer denne diskussion for en anden gang.
Hvad er TLS og SSL?
TLS står for Transport Layer Security, mens SSL er en forkortelse for Secure Socket Layer. Begge er Public Key-kryptografiapplikationer, og sammen har de gjort internetbrugere i stand til at udføre kommunikation over internettet.
Hvad disse to præcist er, forklares nedenfor.
Hvordan adskiller TLS sig fra SSL?
TLS og SSL bruger begge den asymmetriske tilgang til kryptering for at sikre kommunikation over internettet (håndtryk). Den grundlæggende forskel mellem de to er, at SSL skyldes kommerciel innovation, og derfor en ejendom til dets moderselskab, som er Netscape. I modsætning hertil er TLS en Internet Engineering Task Force Standard, en lidt opdateret version af SSL. Det blev navngivet forskelligt for at undgå ophavsretlige problemer og potentielt en retssag.
For at være præcis kommer TLS med nogle attributter, der adskiller den fra SSL. I TSL oprettes håndtryk uden sikkerhed og styrkes af STARTTLS-kommandoen, hvilket ikke er tilfældet i SSL.
TSL betragtes som en forbedring af SSL, fordi det gør det muligt at opgradere håndtryk, der typisk er usikre eller usikre, til sikret status.
Hvad gør TLS-forbindelser sikrere end SSL?
Der har været intens konkurrence på markederne for computersikkerhed. SSL 3.0 kunne ikke følge med på internettet og blev forældet i 2015. Der er flere grunde bag dette, primært at gøre med de sårbarheder, der ikke kunne have været rettet. En sådan modtagelighed er SSL's kompatibilitet med cifre, der er i stand til at modstå moderne cyberangreb.
Sårbarheden forbliver hos TLS 1.0, da en ubuden gæst kan tvinge en SSL 3.0-forbindelse på klienten og derefter udnytte dens sårbarhed. Dette er ikke længere tilfældet med TLSs nye opgradering.
Hvilke foranstaltninger kan vi tage?
Hvis du er i den modtagende ende, skal du bare holde din browser opdateret. I dag leveres alle browsere med indbygget support til TLS 1.2, hvorfor det ikke er svært at opretholde sikkerheden for kunderne. Brugere skal dog stadig tage forholdsregler, når de ser røde flag. Næsten alle advarsler fra dine browsere peger på sådanne røde flag. Moderne webbrowsere er usædvanlige til at opdage, om noget skyggefuldt foregår på et websted.
Serveradministratorer, der hoster websteder, har større ansvar på deres skuldre. Der er meget, du kan gøre i denne henseende, men lad os begynde at vise en besked, når en klient bruger forældet software.
For eksempel skal de, der bruger Apache-maskiner som servere, prøve dette:
$ SSLOptions + StdEnvVars$ RequestHeader indstillet X-SSL-protokol% SSL_PROTOCOL s
$ RequestHeader indstillet X-SSL-kryptering% SSL_CIPHER s
Hvis du bruger PHP, skal du søge efter $ _SERVER i scriptet. Hvis du støder på noget, der indikerer, at TLS er forældet, vises en meddelelse i overensstemmelse hermed.
For bedre at styrke din serversikkerhed er der gratis hjælpeprogrammer derude, der tester system for modtagelighed for TLS- og SSL-mangler. Nogle af dem kan endnu bedre konfigurere din server. Hvis du kan lide den idé, skal du tjekke Mozilla SSL Configuration Generator, som stort set gør alt arbejdet for dig for at indstille din server for at minimere TLS-risici og sådan.
Hvis du vil teste din server for SSL-modtagelighed, skal du tjekke Qualys SSL Labs. Det kører en automatisk konfiguration, der er både omfattende og indviklet, hvis du er detaljeret orienteret.
Sammenfattende
Alt i alt ligger ansvarsvægten på alles skuldre.
Med fremkomsten af moderne computere og teknikker er cyberangreb blevet mere og mere imponerende og i stor skala med tiden. Alle internetbrugere skal have tilstrækkelig viden om de systemer, der beskytter deres online privatliv og træffe de nødvendige forholdsregler, mens de kommunikerer over internettet.
Under alle omstændigheder har du altid det bedre at bruge open source, da de er sikrere, gratis og kan få jobbet gjort.
