SSL/TLS

SSL (Secure Socket Layer) to specyfikacja technologii, dzięki zastosowaniu której możliwe jest przesyłanie danych w sposób bezpieczny dla użytkownika. Dane jest zabezpieczona w Internecie. Przesyłane dane są szyfrowane na podstawie protokołu HTTPS i w ten sposób chronione przed podglądem osób trzecich. Szyfrowanie uzupełnione jest o wymóg uwierzytelnienia uczestników komunikacji. Termin SSL został obecnie zastąpiony przez TLS (Transport Layer Security). Zmieniła się tylko nazwa. Podstawowa technologia pozostała niezmieniona, a niektóre pakiety oprogramowania i biblioteki ze względów historycznych nadal mają w nazwie SSL, chociaż opierają się na TLS, który od tego czasu został bardziej rozwinięty.

Od SSL do TLS - podobieństwa i różnice

Szeroko rozpowszechniona technologia, powszechnie znana pod skrótem SSL, jest obecnie kontynuowana i rozwijana pod nazwą TLS. Podstawowe pojęcia dotyczące technologii nie uległy zmianie. Jest to nadal wykorzystanie HTTPS jako hybrydowego protokołu szyfrującego, którego ostatnia wersja jako protokół SSL była Vers. 3.0. Następnie został on rozwinięty i ustandaryzowany jako protokół TLS, począwszy od Vers. 1.0. W ogólnym użyciu językowym te dwa terminy są często używane jako synonimy, chociaż należy zwrócić uwagę na numer wiersza. Na przykład, SSL 1.0 nie odpowiada TSL 1.0. W niniejszej prezentacji stosowany jest skrót SSL, ponieważ jest on bardziej znany i nadal powszechnie mówi się o nim, nawet jeśli chodzi o technologię TLS. Przedstawiono podstawowe pojęcia, które są identyczne zarówno dla SSL, jak i TSL. Jednak dla konkretnych zastosowań istnieją różne implementacje o różnych nazwach, takie jak OpenSSL, GnuTLS i LibreSSL.

Kryptografia i weryfikacja tożsamości - zasada funkcjonalności SSL

Zasada działania Secure Socket Layer lub Transport Layer Security jest dwuczęściowa. Oprócz szyfrowania danych opiera się ona również na wykorzystaniu uwierzytelniania. Stosowanie SSL jest szeroko rozpowszechnione i często wykorzystywane do bezpiecznego pobierania poufnych danych z serwera HTTP (serwera WWW) i bezpiecznego przesyłania poufnych danych do tego serwera. Autentyczność wybieranego serwera jest weryfikowana przez Certyfikat jest gwarantowane, a połączenie między serwerem a klientem jest szyfrowane. Ponieważ SSL jest dziś niezwykle popularny, stał się niemalże standardem uzupełniającym protokoły aplikacyjne, z którymi bezpieczne połączenie nie może być zrealizowane jedynie poprzez szyfrowanie.

Certyfikacja i uwierzytelnianie

Certyfikacja i uwierzytelnianie przed rozpoczęciem transmisji danych za pomocą połączenia SSL jest podzielone na następujące etapy przetwarzania:

- Certyfikacja klucza publicznego odbywa się jednorazowo
Na żądanie, serwer otrzymuje certyfikat od organu certyfikującego i zatwierdzającego.

- Uwierzytelnianie serwera
Połączenie między klientem a serwerem nawiązywane jest poprzez żądanie SSL od klienta, a serwer uwierzytelnia się swoim certyfikatem.

- Zatwierdzenie przekazanego świadectwa
Klient ma otrzymany od serwera certyfikat sprawdzony przez organ certyfikujący i zatwierdzający.

- szyfrowana transmisja danych
Jeżeli tożsamość serwera jest wyraźnie określona na podstawie zatwierdzonego certyfikatu, rozpoczyna się przesyłanie zaszyfrowanych danych.

Szyfrowanie i odszyfrowywanie

Szyfrowanie i odszyfrowywanie protokołu SSL opiera się na parze klucza cyfrowego składającej się z klucza publicznego i prywatnego. Oba klucze są różne. Nadawca (klient) otrzymuje klucz publiczny od odbiorcy (serwera) po tym, jak odbiorca uwierzytelni się swoim certyfikatem. Procedura ta nazywana jest "szyfrowaniem asymetrycznym" lub "procedurą klucza publicznego". Nadawca używa następnie klucza publicznego do szyfrowania danych, które wysyła do odbiornika. Po zaszyfrowaniu dane nie mogą być już odszyfrowane przy użyciu klucza publicznego, lecz tylko przy użyciu pasującego klucza prywatnego serwera, który w związku z tym musi zachować je w tajemnicy.

Świadectwa

Zarówno SSL jak i TLS pracują z tzw. certyfikatami PKIX, co oznacza "Infrastruktura klucza publicznego wg X.509v3". Istnieją trzy rodzaje certyfikatów, w przypadku których wysiłek związany z weryfikacją podczas certyfikacji jest różny, a tym samym zagwarantowany jest inny poziom bezpieczeństwa autentyczności:

- Certyfikat DV-SSL (Domain Validated Certificate) jest najtańszym certyfikatem. Domena jest zatwierdzana tylko przez E-mail zatwierdzona, a certyfikat jest zazwyczaj wydawany po kilku minutach.

- Certyfikat walidacji organizacji (OV-SSL) zwiększa wiarygodność domeny poprzez pełną weryfikację firmy/operatora.

- Certyfikat Extended Validation Certificate (EV SSL) opiera się na najwyższym poziomie walidacji i jest powszechny m.in. w sektorze bankowym.

Ograniczenia SSL/TLS

Tylko transmisja danych jest zabezpieczona protokołem SSL. To co dzieje się z odbiorcą jest poza zakresem protokołu SSL.