I samband med den digitala tekniken handlar det inte längre om rekord på Olympia enligt mottot "snabbare, högre, längre". Slutenheternas prestanda, de allt snabbare överföringshastigheterna och de många praktiska apparna är en sak. En annan sak är att när vi surfar, använder sociala medier och andra tjänster på Internet avslöjar vi nästan varje sekund fakta om oss själva som inte borde komma i allas händer. Detta inkluderar adresser, bankkonton, kreditkortsnummer och andra känsliga uppgifter.
Dagens modeord är säkerhet. Eller: Hur kan jag aktivt och passivt se till att de uppgifter som jag lämnar ut via Internet och skickar runt om i världen är skyddade från obehörig åtkomst av tredje part? Funktioner som SSL och TLS, krypteringsmetoder som är utformade för att garantera att jag är säker i den digitala världen, kan vara till hjälp här.
Hur ett SSL-certifikat fungerar
SSL (Secure Sockets Layer) är ett protokoll för autentisering och kryptering av anslutningar på Internet. Det ursprungliga SSL-förfarandet är nu föråldrat och har ersatts av TLS (Transport Layer Security). I allmänt bruk har dock termen SSL behållits fram till i dag.
För att förklara hur det fungerar tar vi som exempel en beställning från en kund i en Onlinebutik. En krypterad SSL-anslutning upprättas alltid av klienten (här kunden). Det första steget är det så kallade handshake, där en krypteringsparameter genereras för sessionen. Butikens server svarar sedan genom att skicka sin offentliga nyckel till klienten tillsammans med sitt SSL-certifikat. Detta skickar i sin tur Certifikat autentiseras på grundval av en förteckning över kända certifikatutfärdare - Certifikat eller certifieringsmyndighet = certifieringsmyndighet för digitala certifikat. Om certifikatutfärdaren inte är känd öppnar de flesta webbläsare ett fönster som ger användaren möjlighet att acceptera eller avvisa certifikatet på eget ansvar.
Nu genererar klienten en symmetrisk nyckel som krypteras med serverns offentliga nyckel och skickar tillbaka den. Därefter känner både klienten och servern till koden för att kryptera användardata och den säkra anslutningen upprättas.
Skillnader mellan populära SSL-certifikat
Det finns olika versioner av SSL-certifikat, som beror på sökandens behov och varierar också i pris. Faktorer är till exempel krypteringsstyrkan (standardvärdena är 128 bit eller 256 bit), valideringstypen och webbläsarens kompatibilitet eller acceptans.
Domänvaliderade certifikat (domänvalidering)
Domänvaliderade certifikat är de mest utbredda. Via reglerad e-posttrafik kontrollerar certifieringsmyndigheten om den som ansöker om ett SSL-certifikat verkligen är domänens ägare. Efter bekräftelse utfärdas certifikatet inom mycket kort tid. Denna variant används främst för små webbplatser, bloggar, forum, e-postservrar och intranät och är det billigaste alternativet.
Organisationsvaliderade certifikat (organisationsvalidering)
Processen är något mer komplicerad för ett organisationsvaliderat certifikat. Här kontrolleras inte bara domänen utan även identiteten. Webbplatsoperatören - vanligtvis ett företag - måste bevisa med vissa dokument att han verkligen är domänens ägare. Identitetskontrollen för certifikatet varierar från leverantör till leverantör. Normalt begärs ett utdrag ur handelsregistret, en jämförelse med bankuppgifter görs och telefonkontakt upprättas mellan den sökande och leverantören. Organisationsvaliderade certifikat lämpar sig för företags webbplatser, webbutiker och e-post.
utökad validering
En tredje version är den utvidgade valideringen. Sådana certifierade webbplatser känns igen på den gröna texten i adressfältet i webbläsaren. Denna visuella återkoppling visar att anslutningen är särskilt pålitlig. De som sköter sina betalningstransaktioner via internetbanken känner till detta från banker och sparbanker. Certifieringsmyndigheten går till väga på samma sätt som för organisationsvaliderade certifikat, men kontrollerar dessutom om den sökande verkligen är anställd på respektive företag och har behörighet att förvärva ett utökat valideringscertifikat.
EV-certifikat är alltid krypterade med 256 bitar och får största möjliga acceptans i alla webbläsare. Förutom det gröna teckensnittet som redan nämnts visas även företagets namn och säte på adressraden.
Vilket certifieringsorgan är rätt?
Det finns ett stort antal certifikatutfärdare (CA) i olika länder, vilket gör att en intresserad part lätt kan förlora kontakten med dem. Ofta är det inte möjligt att spåra vilket företag eller vilken myndighet som står bakom dem. Kritiker talar nu om ett "certifieringslotteri" som inte ger någon större insyn och tillförlitlighet. I vilket fall som helst är Bundesdruckerei med dess dotterbolag D-Trust helt och hållet i tyska händer. Många andra myndigheter arbetar med amerikanska mellanliggande certifikat, men senast sedan affären med underrättelsetjänsten NSA måste man tvivla på att ens egna uppgifter verkligen är skyddade med dem.
Google föredrar sidor med SSL-kryptering
2014 meddelade Google att sökmotorn numera har en algoritm som föredrar SSL-certifierade sidor och ger dem större vikt i rankingen än sidor utan certifikat. Bland kännare ansågs detta steg nästan sensationellt vid den tidpunkten, eftersom Google vanligtvis är helt tyst om hur algoritmerna fungerar och hur de fungerar. Företaget har dock börjat förbättra säkerheten på Internet mer och mer. Detta var förmodligen anledningen till det offentliga uttalandet.
En titt på framtidens kryptering
Ett framåtblickande projekt om kryptering är "Let's Encrypt", som främjas av den kaliforniska Internet Security Research Group (ISRG). Detta bör i framtiden göra det möjligt för varje webbplatsoperatör att på ett enkelt sätt och helt gratis förse sin domän med ett SSL-certifikat som anses vara pålitligt och accepteras av de vanliga webbläsarna. Krypterade HTTPS-anslutningar kan därför snart bli webbstandard och ge ökad säkerhet och dataskydd. Medlemmar i ISRG är Mozilla Foundation, Cisco, Akamai och Electronic Frontier Foundation.
