Добрый день, уважаемые подписчики, уверен, что в подавляющем большинстве вы слышали такие слова как сертификат безопасности или шифрования, либо SSL сертификат, и я уверен, что большинство из вас даже знает их назначение., если нет, то я вам об этом очень подробно расскажу на личных примерах, все как полагается, после этого вы уже будите более тонко понимать все рубежи безопасности, которые предоставляют нам SSL сертификаты, без них сейчас уже не возможно представить современный IT мир, с его банковскими переводами, электронной почтой smime или интернет магазинами.
Secure Socket Layer или ssl это, технология, призванная сделать доступ к сайтам более надежным и безопасным. Сертификат шифрования позволяет, надежно защитить трафик, передаваемый между браузером пользователя и веб ресурсом (сервером), к которому браузер обращается, все это происходит за счет протокола https. Сделано, это все после того, как бурное развитие интернета привело к огромному количеству сайтов и ресурсов, которые требуют от пользователя ввод личных, персональных данных:
Именно эти данные и являются добычей для хакеров, сколько уже было громких дел, с кражей персональной информации и сколько еще будет, ssl сертификат шифрования, призван это минимизировать. Разработкой технологии SSL выступила компания Netscape Communications, позднее она представила Transport Layer Security или проще TLS, это протокол основанный по спецификации SSL 3.0. И Secure Socket Layer и Transport Layer Security призваны обеспечить передачу данных между двумя узлами по интернету.
SSL и TLS не имеют принципиальных различий в своей работе, могут даже быть использованы на одном сервере одновременно, делается это исключительно из соображений обеспечения работы новых устройств и браузеров, так и устаревших, где Transport Layer Security не поддерживается.
Если рассматривать современный интернет, то там в качестве сертификата безопасности сервера и шифрования используется TLS, просто знайте это
Для примера откройте сайт Яндекса, я это делаю в Google Chrome, там на против адресной строки есть значок замка, щелкаем по нему. Тут будет написано, что подключение к веб-сайту защищено и можно нажать подробнее.
сразу видим значок Secure TLS connection, как я и говорил, большая часть интернет ресурсов именно на этой технологии. Давайте посмотрим сам сертификат, для этого жмем View certificate.
В поле о сведениях о сертификате видим его предназначение:
Всегда нужно знать историю, как сертификат шифрования эволюционировал и какие у него выходили версии. Так как зная это и принцип работы, будет проще искать решение проблем.
Давайте разбираться как работает протоколы SSL и TLS. Начнем с основ, все сетевые устройства имеют четко прописанный алгоритм общения друг с другом, называется он OSI, который порезан на 7 уровней. В ней есть транспортный уровень отвечающий за доставку данных, но так как модель OSI это некая утопия, то сейчас все работаю по упрощенной модели TCP/IP, из 4 уровней. Стек TCP/IP, сейчас стандарт передачи данных в компьютерных сетях и он включает в себя, большое количество известных вам протоколов прикладного уровня:
Список можно продолжать очень долго, так их более 200 наименований. Ниже представлена схема сетевых уровней.
Ну и схема стека SSL/TLS, для наглядности.
Теперь все тоже самое простым языком, так как не всем понятны эти схемы и принцип работы ssl и tls не понятен. Когда вы открываете например мой блог сайт, то вы обращаетесь по прикладному протоколу http, при обращении сервер видит вас и передает на ваш компьютер данные. Если это представить схематично, то это будет простая матрешка, прикладной протокол http, кладется в стек tcp-ip.
Если бы на сайт стоял бы сертификат шифрования TLS, то матрешка протоколов была бы посложнее и выглядела бы вот так. Тут прикладной протокол http, кладется в SSL/TLS, который в свою очередь кладется в стек TCP/IP. Все тоже самое, но уже зашифровано, и если хакер перехватит эти данные по пути их передачи, то получит всего навсего цифровой мусор, а вот расшифровать данные может только та машина, которая устанавливала соединение с сайтом.
Вот еще одна красивая и наглядная схема создания защищенного канала.
На иллюстрации, черные стрелки показывают сообщения, которые отправляются открытым текстом, синие - это сообщения, подписанные открытым ключом, а зеленые - это сообщения, отправленные с помощью шифрования объёмных данных и того MAC, о которых стороны договорились в процессе переговоров.
Ну и подробно про каждый этап обмена сетевых сообщений протоколов SSL/TLS.
Давайте теперь поймем где взять сертификат шифрования, или как получить ssl сертификат безопасности. Способов конечно несколько, есть как платные, так и бесплатные.
Этот способ, подразумевает использование самоподписного сертификата (self-signed), его можно сгенерировать на любом веб-сервере с ролью IIS или Apache. Если рассматривать современные хостинги, то в панелях управления, таких как:
там это штатный функционал. Самый большой плюс в самоподписных сертификатах шифрования, это то, что они бесплатные и начинаются, сплошные минусы, так как никто кроме вас не доверяет этому сертификату, вы наверняка видели в браузерах вот такую картину, где сайт ругается на сертификат безопасности.
Если у вас самоподписный сертификат, используется исключительно для внутренних целей, то это нормально, а вот для публичных проектов, это будет огромный минус, так как ему никто не доверяет и вы лишитесь большого числа клиентов или пользователей, которые у видя ошибку сертификата безопасности в браузере, сразу его закроют.
Давайте смотреть как можно получить ssl сертификат безопасности, для этого формируется запрос на выпуск сертификата, называется он CSR запрос (Certificate Signing Request). Делается это чаще всего у специальной компании в веб форме, которая спросит вас несколько вопросов, про ваш домен и вашу компанию. Как только вы все внесете, сервер сделает два ключа, приватный (закрытый) и публичный (открытый). Напоминаю открытый ключ не является конфиденциальным, поэтому вставляется в CSR запрос. Вот пример Certificate Signing Request запроса.
Все эти не понятные данные легко можно интерпретировать специальными CSR Decoder сайтами.
Примеры двух сайтов CSR Decoder:
Состав CSR запроса
Как только Certificate Signing Request сгенерирован, можно начинать оформлять заявку на выпуск сертификата шифрования. Центр сертификации будет производить проверку, всех данных указанных вами в CSR запросе, и если все хорошо, вы получите свой ssl сертификат безопасности и вы его сможете использовать для https. Теперь ваш сервер, автоматом сопоставит выпущенный сертификат, со сгенерированным приватным ключом, все вы можете шифровать трафик подключения клиента к серверу.
Что такое CA - Certification Authority или центр сертификации, читайте по ссылке слева, я подробно рассказал об этом там.
В сертификате хранится следующая информация:
Основных видов сертификатов безопасности три:
И так сертификаты шифрования, подтверждающие только домен ресурса, это самые распространенные в сети сертификаты, их делают всех быстрее, автоматически. Когда вам нужно проверить такой сертификат безопасности, отправляется email с гиперссылкой, кликая по которой подтверждается выпуск серта. Хочу отметить, что письмо вам отправят, только не подтвержденный email (approver email), указанный при заказе сертификата шифрования.
approver email так же имеет требования, логично, что если вы заказываете сертификаты шифрования для домена, то и электронный ящик должен быть из него, а не mail или rambler, либо он должен быть указан в whois домена и еще одно требование название approver email, должно быть по такому шаблону:
Я обычно беру ящик postmaster@ваш домен
Сертификат tls-ssl подтверждающие доменное имя выпускаются, когда CA произвел валидацию того, что заказчик обладает правами на доменное имя, все остальное, что касается организации в сертификате не отображается.
Сертификаты шифрования tls-ssl, будет содержать название вашей организации, его получить частное лицо просто не сможет, его культурно пошлют регистрировать ИП. Делается он от 3 до десяти рабочих дней, все зависит от центра сертификации, который его будет выпускать.
И так, вы направили CSR запрос на выпуск сертификата шифрования для вашей организации, CA начинает проверять, реально ли ИП рога и копыта существуют, как в CSR и принадлежит ли ей домен указанный в заказе.
Сам сертификат шифрования extendet Validation - EV, самый дорогой и получается всех сложнее, у них кстати есть green bar, вы его точно видели, это когда на сайте в адресной строке посетитель видит зеленую стоку с названием организации. Вот пример клиент банка от сбербанка.
К расширенным сертификатам шифрования (extendet Validation - EV) самое большое доверие, это и логично вы сразу видите, что компания существует и прошла жесткие требования к выдаче сертификата. SSL cертификаты extendet Validatio делаются CA, только при выполнении двух требований, что организация владеет нужным доменом и, что она сама существует в природе. При выпуске EV SSL сертификатов, существует строгий регламент, в котором описаны требования перед выпуском EV сертификата
SSL cертификаты extendet Validatio выпускаются примерно от 10-14 дней, подходят как для некоммерческих организаций, так и для государственных учреждений.
Следующим важным вопросом, будет какие типы SSL - TLS сертификатов шифрования существуют, и их отличия и стоимость.
список сертификатов, у которых есть такая поддержка, IDN доменов:
В будущих статьях, мы еще сами по настраиваем CA и будем на практике использовать SSL/TLS сертификаты шифрования.
Как вы можете увидеть, соединение с сервером компании происходит по безопасному соединению. Это можно заметить, как по названию протокола https (в адресной строке вместо стандартного https://адрес_сайта.домен имеется https://адрес_сайта.домен ), так и по статусной строке, где имеется значок, напоминающий по форме замок (рис. 10.6).
Рис. 10.6 . Шаг 6
Итак, чтобы посмотреть сертификат (цифровую подпись сайта), дважды щелкните по значку-замку. Появится следующее окно - информация о сертификате (рис. 10.7).
Рис. 10.7
. Окно Сертификат, вкладка Общие
В окне имеется несколько вкладок - Общие (General), Состав (Details), Путь сертификации (Certification Path).
Общие (General) - в данной вкладке дается общая информация о сертификате, в частности для чего он нужен, кому выдан, срок его годности.
Итак, сертификат:
Как вы можете увидеть, соединение с сервером компании происходит по безопасному соединению. Это можно заметить, как по названию протокола https (в адресной строке вместо стандартного httр ://адрес_сайта.домен имеется httрs ://адрес_сайта.домен), так и по статусной строке, где имеется значок, напоминающий по форме замок (рис. 10.6).
Рис. 10.6. Шаг 6
Итак, чтобы посмотреть сертификат (цифровую подпись сайта), дважды щелкните по значку-замку. Появится следующее окно - информация о сертификате (рис. 10.7).
В окне имеется несколько вкладок - Общие (General), Состав (Details), Путь сертификации (Certification Path).
Рис. 10.7. Окно Сертификат, вкладка Общие
Итак, сертификат:
После изучения вкладки Общие (General) уже можно прийти к предварительным выводам - компания та, за кого себя выдает. Но пока e-mail еще не пришел, продолжаем изучение сертификата.
Данные, находящиеся во вкладке Состав (Details), вы можете скопировать в файл. Для этого достаточно нажать кнопку Копировать в файл (Copy to File).
За время изучения вами сертификатов GlobalSign уже прошло достаточно времени для генерации и получения ссылки на вашу персональную электронную подпись. Проверьте почтовый ящик.
Пришло письмо следующего содержания:
Рис. 10.8. Окно Сертификат, вкладка Состав
Рис. 10.9. Окно Сертификат, вкладка Путь сертификации
Dear Sir, Madam, You have requested a GlobalSign digital certificate. We are certain that you will enjoy the advantages! In order to download your certificate, please use the hyperlink below: http://secure.globalsign.net/en/receive/index.cfm?id=******* For an optimal use we would like to inform you that: - You have to notify GlobalSign immediately if there i s an error in your certificate. Without reaction from your side within, 15 days after receipt you have accepted the certificate. - When data are changed in your certificate, you have to revoke your certificate. - By accepting a certificate, the subscriber assumes a duty to retain control of the subscriber"s private key, to use a trustworthy system, and to take reasonable precautions to prevent its loss, disclosure or unauthorized use. If you experience any technical problems, please visit our support center for further help at http://support.globalsign.net Good luck with your certificate! Do not hesitate to contact us for any information: [email protected] Kind regards, GlobalSign.
Для тех, кто не понимает по-английски, привожу перевод:
Дорогой сэр, мадам! Вы сделали запрос на получение цифрового сертификата GlobalSign. Мы уверены, что вам понравятся наши преимущества. Для того чтобы загрузить ваш сертификат, пожалуйста, следуйте по ссылке: http://secure.globalsign.net/en/receive/index.cfm?id=******* Для оптимального использования, мы бы хотели вас проинформировать: - Вы должны немедленно сообщить об ошибке в вашем сертификате. Не получив никакой реакции от вас в течение 15 дней, мы решаем, что вы приняли сертификат. - При изменении информации в вашем сертификате, вы должны его отозвать. - Принимая сертификат, подписчик понимает обязанность следить за "личным ключом", использовать надежную систему, и не создавать ситуаций, ведущих к потере ключа. При возникновении каких-либо технических проблем, пожалуйста, посетите страницу технической поддержки, расположенную по адресу http://support.globalsign.net. Удачи с вашим сертификатом!
Нажатие на кнопку Install вызовет диалоговое окно, в котором будет сообщено об успешной или неуспешной инсталляции сертификата.
Рис. 10.10. Шаг 7
Сертификат
компании GlobalSign
Как вы можете
увидеть, соединение с сервером компании происходит по безопасному соединению.
Это можно заметить, как по названию протокола https (в адресной строке вместо
стандартного fttрs://адрес_сайта.домен
имеется fttрs://адрес_сайта.домен),
так и по статусной строке, где имеется значок, напоминающий по форме замок
(рис. 10.6).
Рис. 10.6.
Шаг 6
Итак, чтобы
посмотреть сертификат (цифровую подпись сайта), дважды щелкните по значку-замку.
Появится следующее окно - информация о сертификате (рис. 10.7).
В окне имеется
несколько вкладок - Общие
(General), Состав
(Details), Путь
сертификации
(Certification Path).
Рис. 10.7.
Окно Сертификат,
вкладка Общие
Итак, сертификат:
После изучения
вкладки Общие
(General) уже можно прийти к предварительным выводам -
компания та, за кого себя выдает. Но пока e-mail еще не пришел, продолжаем изучение
сертификата.
Данные, находящиеся
во вкладке Состав
(Details), вы можете скопировать в файл. Для этого
достаточно нажать кнопку Копировать в файл
(Copy to File).
За время изучения
вами сертификатов GlobalSign уже прошло достаточно времени для генерации и получения
ссылки на вашу персональную электронную подпись. Проверьте почтовый ящик.
Пришло письмо
следующего содержания:
Dear
Sir, Madam,
You
have requested a GlobalSign digital certificate. We are certain that you will
enjoy the advantages!
In
order to download your certificate, please use the hyperlink below: http://secure.globalsign.net/en/receive/index.cfm?id=4272140124
Рис. 10.8.
Окно Сертификат,
вкладка Состав
Рис. 10.9.
Окно Сертификат,
вкладка Путь сертификации
For
an optimal use we would like to inform you that:
You have to notify GlobalSign immediately if there i s an error in your certificate.
Without reaction from your side within, 15 days after receipt you have accepted
the certificate.
When data are changed in your certificate, you have to revoke your certificate.
By accepting a certificate, the subscriber assumes a duty to retain control
of the subscriber"s private key, to use a trustworthy system, and to take reasonable
precautions
to
prevent its loss, disclosure or unauthorized use.
If
you experience any technical problems, please visit our support center for further
help at http://support.globalsign.net
Good
luck with your certificate!
Do
not hesitate to contact us for any information: [email protected]
Kind
regards, GlobalSign.
Для
тех, кто не понимает по-английски, привожу перевод:
Дорогой
сэр, мадам!
Вы сделали
запрос на получение цифрового сертификата GlobalSign. Мы уверены, что вам понравятся
наши преимущества.
Для того чтобы
загрузить ваш сертификат, пожалуйста, следуйте по ссылке:
http://secure.globalsign.net/en/receive/index.cfm?id=*******
Для оптимального
использования, мы бы хотели вас проинформировать:
Принимая сертификат,
подписчик понимает обязанность следить за "личным ключом", использовать
надежную систему, и не создавать ситуаций, ведущих к потере ключа.