V kontekstu digitalne tehnologije ne gre več za rekorde à la Olympia po načelu "hitreje, višje, dlje". Ena stvar je zmogljivost končnih naprav, vedno hitrejši prenos podatkov ali različne priročne aplikacije. Druga stvar je, da med brskanjem, uporabo družbenih omrežij in drugih storitev na internetu praktično vsako sekundo razkrijemo dejstva o sebi, ki ne bi smela priti v roke vsakomur. To vključuje naslove, bančne račune, številke kreditnih kartic in druge občutljive podatke.
Modna beseda dneva je varnost. Ali: Kako lahko aktivno in pasivno zagotovim, da so moji podatki, ki jih razkrivam prek interneta in pošiljam po vsem svetu, zaščiteni pred nepooblaščenim dostopom tretjih oseb? Pri tem so lahko v pomoč funkcije, kot sta SSL in TLS, metode šifriranja, ki zagotavljajo varnost v digitalnem svetu.
Kako deluje potrdilo SSL
SSL (Secure Sockets Layer) je protokol za preverjanje pristnosti in šifriranje povezav v internetu. Prvotni postopek SSL je zastarel in ga je nadomestil postopek TLS (Transport Layer Security). Vendar se je izraz SSL v splošni rabi ohranil do danes.
Za razlago delovanja vzemimo za primer naročilo stranke v Spletna trgovina. Šifrirano povezavo SSL vedno vzpostavi odjemalec (v tem primeru stranka). Prvi korak je tako imenovani handshake, v katerem se ustvari šifrirni parameter za sejo. Strežnik trgovine se nato odzove tako, da stranki pošlje svoj javni ključ s potrdilom SSL. Ta nato pošlje Potrdilo avtentikacija na podlagi seznama znanih overiteljev - overitelj ali certifikacijski organ = overitelj za digitalna potrdila. Če CA ni znan, večina brskalnikov odpre okno, v katerem lahko uporabnik potrdilo sprejme ali zavrne na lastno odgovornost.
Odjemalec ustvari simetrični ključ, ki ga šifrira s strežnikovim javnim ključem, in ga pošlje nazaj. Odjemalec in strežnik poznata kodo za šifriranje uporabniških podatkov in vzpostavi se varna povezava.
Razlike med običajnimi potrdili SSL
Obstajajo različne različice potrdil SSL, ki so odvisne od potreb prosilca in se razlikujejo tudi po ceni. Dejavniki so na primer moč šifriranja (standardni vrednosti sta 128 bitov ali 256 bitov), vrsta potrditve in združljivost ali sprejemljivost brskalnika.
Potrdila, potrjena z domeno (potrjevanje domene)
Najbolj razširjena so potrdila, potrjena z domeno. Certifikacijski organ prek reguliranega e-poštnega prometa preveri, ali je prosilec za potrdilo SSL res lastnik domene. Po potrditvi je potrdilo izdano v zelo kratkem času. Ta različica se večinoma uporablja za majhna spletna mesta, bloge, forume, poštne strežnike in intranetne aplikacije ter je najcenejša možnost.
Potrjena potrdila organizacije (Potrjevanje organizacije)
Postopek je nekoliko bolj zapleten za potrdilo, ki ga potrdi organizacija. Pri tem se ne preverja le domena, temveč tudi identiteta. Upravljavec spletnega mesta - običajno podjetje - mora z določenimi dokumenti dokazati, da je res lastnik domene. Preverjanje identitete za potrdilo se razlikuje od ponudnika do ponudnika. Običajno se zahteva izpisek iz poslovnega registra, opravi se primerjava z bančnimi podatki ter vzpostavi telefonski stik med vlagateljem in ponudnikom. Potrjena potrdila organizacije so primerna za spletna mesta podjetij, spletne trgovine in spletno pošto.
Razširjeno potrjevanje
Tretja različica je razširjeno preverjanje. Takšna certificirana spletna mesta prepoznate po zeleni pisavi v naslovni vrstici brskalnika. Ta vizualna povratna informacija kaže, da je povezava še posebej zanesljiva. Tisti, ki plačilne transakcije opravljajo prek spletnega bančništva, to poznajo iz bank in hranilnic. Certifikacijski organ ravna podobno kot pri potrdilih, ki jih potrjuje organizacija, vendar dodatno preveri, ali je prosilec res zaposlen v zadevnem podjetju in ima dovoljenje za pridobitev razširjenega potrdila.
Potrdila EV so vedno šifrirana z 256 biti in dosegajo največjo možno sprejemljivost v vseh brskalnikih. Poleg že omenjenih zelenih črk sta v naslovni vrstici navedena tudi ime in sedež podjetja.
Kateri certifikacijski organ je pravi?
V različnih državah obstaja veliko število organov za izdajo potrdil (CA), tako da lahko zainteresirana stranka zlahka izgubi pregled nad vsemi. Pogosto ni mogoče ugotoviti, katero podjetje ali vladna agencija stoji za njimi. Kritiki zdaj govorijo o "loteriji certificiranja", ki je malo pregledna in zanesljiva. V vsakem primeru je Bundesdruckerei s svojo podružnico D-Trust v celoti v nemških rokah. Številne druge agencije delajo z ameriškimi vmesnimi potrdili, vendar je najpozneje od afere tajne službe NSA treba dvomiti, ali so z njimi lastni podatki res zaščiteni.
Google daje prednost stranem s šifriranjem SSL
Leta 2014 je Google objavil, da ima zdaj iskalnik algoritem, ki prednostno obravnava strani s certifikatom SSL in jim daje večjo težo pri razvrščanju kot stranem brez certifikata. Med poznavalci se je ta korak takrat zdel skorajda senzacionalen, saj Google o naravi in načinu delovanja svojih algoritmov običajno molči. Vendar si je podjetje zastavilo cilj, da bo vedno bolj izboljševalo varnost na internetu. To je bil verjetno razlog za javno izjavo.
Pogled v prihodnost šifriranja
V prihodnost usmerjen projekt na področju šifriranja je "Let's Encrypt", ki ga spodbuja kalifornijska skupina ISRG (Internet Security Research Group). V prihodnosti bi moral imeti vsak upravljavec spletišča možnost, da svojo domeno preprosto in popolnoma brezplačno opremi s potrdilom SSL, ki velja za zanesljivo in ga sprejemajo običajni brskalniki. Šifrirane povezave HTTPS bi tako lahko kmalu postale spletni standard ter zagotovile večjo varnost in zaščito podatkov. Člani skupine ISRG so Fundacija Mozilla, Cisco, Akamai in Electronic Frontier Foundation.
