SSL/TLS

SSL (Secure Socket Layer) är en specifikation av en teknik som används för att överföra Uppgifter är säkrad på Internet. De uppgifter som ska överföras krypteras med hjälp av HTTPS-protokollet och skyddas därmed mot spionage av tredje part. Krypteringen kompletteras av kravet på autentisering av kommunikationsdeltagarna. Termen SSL har nu ersatts av TLS (Transport Layer Security). Det är bara namnet som har ändrats. Den underliggande tekniken har förblivit densamma och vissa programpaket och bibliotek har fortfarande SSL i sitt namn av historiska skäl, även om de är baserade på TLS, som sedan dess har vidareutvecklats.

Från SSL till TLS - likheter och skillnader

Tekniken, som har införts många gånger och är allmänt känd under förkortningen SSL, fortsätter att användas och utvecklas i dag under namnet TLS. Teknikens grundkoncept har inte förändrats. Det är fortfarande HTTPS som används som ett hybridkrypteringsprotokoll, vars senaste version som SSL-protokoll var vers. 3.0. Det utvecklades senare vidare och standardiserades som TLS-protokollet, med början i vers. 1.0. I vanligt språkbruk används de två termerna ofta synonymt, även om versnumret bör noteras. SSL 1.0 motsvarar till exempel inte TSL 1.0. I den här presentationen används förkortningen SSL eftersom den är mer känd och det fortfarande är vanligt att tala om SSL, även när man hänvisar till TLS-teknik. De grundläggande begreppen presenteras, som är identiska för både SSL och TSL. För specifika användningsområden finns det dock olika implementeringar med olika namn, t.ex. OpenSSL, GnuTLS och LibreSSL.

Kryptografi och identitetskontroll - SSL:s funktionsprincip

Funktionsprincipen för Secure Socket Layer eller Transport Layer Security är tvådelad. Förutom kryptering av data bygger det också på autentisering. Användningen av SSL är utbredd och används ofta för säker hämtning av konfidentiella uppgifter från och säker överföring av konfidentiella uppgifter till en HTTP-server (webbserver). Den uppringda serverns äkthet verifieras av en Certifikat garanteras och anslutningen mellan server och klient är krypterad. Eftersom SSL är mycket populärt idag har det nästan blivit en standard för tillägg till tillämpningsprotokoll som inte ensamma kan skapa en säker anslutning genom kryptering.

Certifiering och autentisering

Certifiering och autentisering innan en dataöverföring via en SSL-anslutning påbörjas delas in i följande steg:

- Certifiering av den offentliga nyckeln sker när
Servern får på begäran en certifiering från ett certifierings- och valideringsorgan.

- Autentisering av servern
Anslutningen mellan klient och server upprättas genom en SSL-förfrågan från klienten och servern autentiserar sig med sitt certifikat.

- Validering av det överförda certifikatet
Klienten låter certifikatet från servern kontrolleras av certifierings- och valideringsmyndigheten.

- Krypterad dataöverföring.
Om serverns identitet kan identifieras utan tvivel på grundval av det validerade certifikatet, börjar överföringen av de krypterade uppgifterna.

Förvränga och avförvränga.

Kärnan i SSL-protokollets kryptering och dekryptering är ett digitalt nyckelpar som består av en offentlig nyckel och en privat nyckel. Båda nycklarna är olika. Avsändaren (klienten) får den offentliga nyckeln från mottagaren (servern) efter att mottagaren har autentiserat sig med sitt certifikat. Förfarandet kallas "asymmetrisk kryptering" eller "förfarande med offentlig nyckel". Avsändaren använder sedan den offentliga nyckeln för att kryptera de data som skickas till mottagaren. Efter kryptering kan uppgifterna inte längre dekrypteras med den offentliga nyckeln, utan endast med serverns motsvarande privata nyckel, som därför måste hållas hemlig i vilket fall som helst.

Certifikaten

Både SSL och TLS arbetar med så kallade PKIX-certifikat, vilket betyder "Public Key Infrastructure enligt X.509v3". Det finns tre typer av certifikat, för vilka verifieringsarbetet under certifieringen är olika och därmed garanteras olika nivåer av äkthet:

- Domänvaliderade certifikat (DV-SSL) är det billigaste certifikatet. Domänen valideras endast av E-post valideras och certifikatet utfärdas vanligtvis efter bara några minuter.

- Organisationsvalideringscertifikatet (OV-SSL) ökar domänens pålitlighet genom att organisationen/operatören verifieras fullständigt.

- Extended Validation Certificate (EV-SSL) bygger på den högsta valideringsnivån och är vanligt förekommande inom bland annat banksektorn.

Begränsningarna med SSL/TLS

SSL-protokollet säkrar endast överföringen av data. Vad som sedan händer hos mottagaren är utanför det som SSL-protokollet reglerar.