Certyfikat SSL: Różnice pomiędzy wersjami
mNie podano opisu zmian |
m (cleanup bibliografii i rotten links) |
||
| (Nie pokazano 12 wersji utworzonych przez 2 użytkowników) | |||
| Linia 1: | Linia 1: | ||
'''[[Certyfikat]] SSL ''' ''(z ang. SSL Certificate)'' jest to narzędzie informatyczne, którego zadaniem jest poświadczenie wiarygodności domeny oraz jej właściciela. Głównym celem certyfikatu SSL jest potwierdzenie bezpieczeństwa przesyłanych danych między [[użytkownik]]iem a serwerem. Jest to najczęściej wykorzystywany protokół szyfrowania transmisji danych dzięki wbudowaniu go we wszystkie najważniejsze przeglądarki internetowe na rynku. SSL, czyli '''Secure Sockets Layer''' został opracowany przez firmę Netscape. | '''[[Certyfikat]] SSL ''' ''(z ang. SSL Certificate)'' jest to narzędzie informatyczne, którego zadaniem jest poświadczenie wiarygodności domeny oraz jej właściciela. Głównym celem certyfikatu SSL jest potwierdzenie bezpieczeństwa przesyłanych danych między [[użytkownik]]iem a serwerem. Jest to najczęściej wykorzystywany protokół szyfrowania transmisji danych dzięki wbudowaniu go we wszystkie najważniejsze przeglądarki internetowe na rynku. SSL, czyli '''Secure Sockets Layer''' został opracowany przez firmę Netscape. | ||
| Linia 25: | Linia 11: | ||
Certyfikat SSL jest narzędziem służącym do potwierdzenia wiarygodności domeny i jej właściciela oraz zapewnienia bezpieczeństwa przesyłanych danych między użytkownikiem a serwerem. Protokół SSL umożliwia utworzenie bezpiecznych kanałów komunikacji i zapewnia usługi zabezpieczeń, takie jak uwierzytelnianie serwera, integralność danych i poufność, oraz uwierzytelnianie klienta. Certyfikat SSL rozwijał się przez lata, zaczynając od wersji SSL, a obecnie zaleca się korzystanie z wersji TLS 1.1 i nowszych. Protokół SSL działa poprzez szyfrowanie danych przy użyciu klucza symetrycznego, który jest tworzony dla każdego połączenia. Proces nawiązywania połączenia poprzez certyfikat SSL obejmuje uwierzytelnianie serwera i wymianę kluczy sesji. Po nawiązaniu połączenia, wszystkie dane są szyfrowane, co można zobaczyć po zmianie prefiksu w adresie strony na "https://". | Certyfikat SSL jest narzędziem służącym do potwierdzenia wiarygodności domeny i jej właściciela oraz zapewnienia bezpieczeństwa przesyłanych danych między użytkownikiem a serwerem. Protokół SSL umożliwia utworzenie bezpiecznych kanałów komunikacji i zapewnia usługi zabezpieczeń, takie jak uwierzytelnianie serwera, integralność danych i poufność, oraz uwierzytelnianie klienta. Certyfikat SSL rozwijał się przez lata, zaczynając od wersji SSL, a obecnie zaleca się korzystanie z wersji TLS 1.1 i nowszych. Protokół SSL działa poprzez szyfrowanie danych przy użyciu klucza symetrycznego, który jest tworzony dla każdego połączenia. Proces nawiązywania połączenia poprzez certyfikat SSL obejmuje uwierzytelnianie serwera i wymianę kluczy sesji. Po nawiązaniu połączenia, wszystkie dane są szyfrowane, co można zobaczyć po zmianie prefiksu w adresie strony na "https://". | ||
==Historia i rozwój Certyfikatu SSL == | <google>n</google> | ||
==Historia i rozwój Certyfikatu SSL== | |||
Początki protokołu SSL sięgają pierwszej połowy lat 90. XX wieku, gdy pierwsza jego wersja powstała w 1994 roku z ramienia firmy Netscape. Został on opracowany jako narzędzie do zabezpieczania transmisji danych, stosując ich szyfrowanie. Rok później podjęto się poszerzenia zakresu prac nad tym projektem, co skutkowało stworzeniem trzeciej wersji [[produkt]]u. Stało się to w 1996. Wówczas [[firma]] '''IETF ([[Internet]] Engineering Task Force)''' powołała specjalną jednostkę roboczą o nazwie '''[[Transport]] Lawyer Security''', której zadaniem był dalszy [[rozwój]] protokołu SSL. | Początki protokołu SSL sięgają pierwszej połowy lat 90. XX wieku, gdy pierwsza jego wersja powstała w 1994 roku z ramienia firmy Netscape. Został on opracowany jako narzędzie do zabezpieczania transmisji danych, stosując ich szyfrowanie. Rok później podjęto się poszerzenia zakresu prac nad tym projektem, co skutkowało stworzeniem trzeciej wersji [[produkt]]u. Stało się to w 1996. Wówczas [[firma]] '''IETF ([[Internet]] Engineering Task Force)''' powołała specjalną jednostkę roboczą o nazwie '''[[Transport]] Lawyer Security''', której zadaniem był dalszy [[rozwój]] protokołu SSL. | ||
W 1999 roku trzecia wersja protokołu o nazwie '''TSL 1.0''' została uznana za podstawową oraz rekomendowaną do powszechnego użycia. Wersja bezproblemowo działała w interakcji między relacjami klienta ze serwerem. Umożliwiała wykonanie bezpiecznych połączeń z pomocą certyfikatów. Pozwoliło to rozwinąć się znacznej ilości sklepów internetowych, którym umożliwiono przeprowadzenie bezpiecznych transakcji a sam protokół zapewniał również możliwość uwierzytelniania użytkowników. | W 1999 roku trzecia wersja protokołu o nazwie '''TSL 1.0''' została uznana za podstawową oraz rekomendowaną do powszechnego użycia. Wersja bezproblemowo działała w interakcji między relacjami klienta ze serwerem. Umożliwiała wykonanie bezpiecznych połączeń z pomocą certyfikatów. Pozwoliło to rozwinąć się znacznej ilości sklepów internetowych, którym umożliwiono przeprowadzenie bezpiecznych transakcji a sam protokół zapewniał również możliwość uwierzytelniania użytkowników. | ||
Pierwsza wersja protokołu miała spore luki w poziomie bezpieczeństwa, gdyż uzgadnianie szyfru nie było odpowiednio zabezpieczone. Osoby trzecie musiały stosować najsłabsze [[opcje]] szyfrowania, co powodowało, że osoby atakujące radzili sobie z nim łatwiej niż ze standardowym szyfrem. Wraz z następnymi wersjami stosowano coraz mocniejsze zabezpieczenia. Aktualnie rekomendowane jest użycie wersji od '''TLS 1.1''' wzwyż (Kania K. 2010). | Pierwsza wersja protokołu miała spore luki w poziomie bezpieczeństwa, gdyż uzgadnianie szyfru nie było odpowiednio zabezpieczone. Osoby trzecie musiały stosować najsłabsze [[opcje]] szyfrowania, co powodowało, że osoby atakujące radzili sobie z nim łatwiej niż ze standardowym szyfrem. Wraz z następnymi wersjami stosowano coraz mocniejsze zabezpieczenia. Aktualnie rekomendowane jest użycie wersji od '''TLS 1.1''' wzwyż (Kania K. 2010). | ||
==Zasada działania == | ==Zasada działania== | ||
[[Dane]], które protokół przesyła, szyfrowane są '''szyfrem symetrycznym'''. Klucz do tego szyfrowania tworzony jest za każdym razem, gdy tworzone jest nowe połączenie. Nazywane jest to kluczem sesji. Do największych wyzwań należą zapewnienie bezpiecznej transmisji kluczy, które nie mogą być transmitowane w postaci jawnej oraz uwierzytelnienie po obydwóch stronach. Aby bezpiecznie wymienić klucz symetryczny oraz go poprawnie autentykować używa się algorytmów kryptograficznych. Uzgadnianie klucza symetrycznego składa się z następujących etapów (Papińska-Kacperek J. 2008): | [[Dane]], które protokół przesyła, szyfrowane są '''szyfrem symetrycznym'''. Klucz do tego szyfrowania tworzony jest za każdym razem, gdy tworzone jest nowe połączenie. Nazywane jest to kluczem sesji. Do największych wyzwań należą zapewnienie bezpiecznej transmisji kluczy, które nie mogą być transmitowane w postaci jawnej oraz uwierzytelnienie po obydwóch stronach. Aby bezpiecznie wymienić klucz symetryczny oraz go poprawnie autentykować używa się algorytmów kryptograficznych. Uzgadnianie klucza symetrycznego składa się z następujących etapów (Papińska-Kacperek J. 2008): | ||
# Po nawiązaniu przez użytkownika połączenia z serwerem oprogramowanie klienta wysyła komunikat o sposobie w jakim szyfrowane są dane oraz używanej przez niego wersji protokołu SSL. | # Po nawiązaniu przez użytkownika połączenia z serwerem oprogramowanie klienta wysyła komunikat o sposobie w jakim szyfrowane są dane oraz używanej przez niego wersji protokołu SSL. | ||
# Serwer w odpowiedzi odsyła podobne [[informacje]], dodatkowo dołączając cyfrowy certyfikat serwera WWW | # Serwer w odpowiedzi odsyła podobne [[informacje]], dodatkowo dołączając cyfrowy certyfikat serwera WWW - w momencie, gdy jest potrzebne uwierzytelnienie serwera. | ||
# Serwer WWW jest uwierzytelniany przez klienta poprzez [[proces]] porównania certyfikatu przesłanego przez niego z wzorcem przechowywanym w [[archiwum]] wydawcy certyfikatu. Serwer nie może zostać uwierzytelniony w razie jakiejkolwiek niezgodności danych. Nie musi być to związane z nieuprawnionym wejściem lub atakiem hakerskim, gdyż powodem tego może być nie odnowienie certyfikatu w odpowiednim momencie. | # Serwer WWW jest uwierzytelniany przez klienta poprzez [[proces]] porównania certyfikatu przesłanego przez niego z wzorcem przechowywanym w [[archiwum]] wydawcy certyfikatu. Serwer nie może zostać uwierzytelniony w razie jakiejkolwiek niezgodności danych. Nie musi być to związane z nieuprawnionym wejściem lub atakiem hakerskim, gdyż powodem tego może być nie odnowienie certyfikatu w odpowiednim momencie. | ||
# Gdy serwer zostaje uwierzytelniony przez certyfikat SSL, [[klient]] i serwer wymieniają między sobą serie komunikatów. Zadaniem klienta jest przesyłanie komunikatów poprzez otrzymany i uwierzytelniony klucz publiczny, a serwera deszyfracja ich przez użycia klucza prywatnego. Efektem tych działań jest uzgodnienie jednakowego klucza sesji do szyfrowania oraz deszyfrowania. | # Gdy serwer zostaje uwierzytelniony przez certyfikat SSL, [[klient]] i serwer wymieniają między sobą serie komunikatów. Zadaniem klienta jest przesyłanie komunikatów poprzez otrzymany i uwierzytelniony klucz publiczny, a serwera deszyfracja ich przez użycia klucza prywatnego. Efektem tych działań jest uzgodnienie jednakowego klucza sesji do szyfrowania oraz deszyfrowania. | ||
Uzgodnienie kluczy sesji jest końcem procesu nawiązywania połączenia poprzez certyfikat SSL. Gdy to nastąpi, wszystkie połączenia i przesył danych są szyfrowane. Dla użytkownika jest to widoczne poprzez zmianę prefiksu w adresie przeglądanej strony. Zmienia się "http: | Uzgodnienie kluczy sesji jest końcem procesu nawiązywania połączenia poprzez certyfikat SSL. Gdy to nastąpi, wszystkie połączenia i przesył danych są szyfrowane. Dla użytkownika jest to widoczne poprzez zmianę prefiksu w adresie przeglądanej strony. Zmienia się "http:" na "https:". Obecnie używane przeglądarki posiadają również symbol odpowiadający zadaniu szyfrowanego połączenia - może być to '''kłódka lub kluczyk'''. | ||
{{infobox5|list1={{i5link|a=[[TLS]]}} — {{i5link|a=[[Komunikator internetowy]]}} — {{i5link|a=[[Spoofing]]}} — {{i5link|a=[[SQL]]}} — {{i5link|a=[[Identyfikacja drogą radiową]]}} — {{i5link|a=[[HTTP]]}} — {{i5link|a=[[Autentykacja]]}} — {{i5link|a=[[Firewall]]}} — {{i5link|a=[[Ebanking]]}} }} | |||
==Bibliografia== | ==Bibliografia== | ||
* Aumasson J | <noautolinks> | ||
* Chaładyniak D. (2015) | * Aumasson J. (2018), ''Nowoczesna kryptografia'', Wydawnictwo Naukowe PWN, Warszawa | ||
* Chrząszcz A. (2012) | * Chaładyniak D. (2015), ''[https://zeszyty-naukowe.wwsi.edu.pl/zeszyty/zeszyt13/Wybrane_zagadnienia_bezpieczenstwa_danych_w_sieciach_komputerowych.pdf Wybrane zagadnienia bezpieczeństwa danych w sieciach komputerowych]'', Zeszyty Naukowe Warszawskiej Wyższej Szkoły Informatyki, nr 13 | ||
* Kania K. (2010) | * Chrząszcz A. (2012), ''[https://yadda.icm.edu.pl/baztech/element/bwmeta1.element.baztech-8efb3858-be9a-4455-b00d-efcc640c6356/c/Chrzaszcz_A_Bezpieczenstwo_It_7_2012.pdf Bezpieczeństwo IT - Siedem grzechów głównych]'', Zeszyty Naukowe Warszawskiej Wyższej Szkoły Informatyki, nr 7 | ||
* Kosiński J. (2017) | * Kania K. (2010), ''Technologie informatyczne firmy 2.0'', Wydawnictwo Uniwersytetu Ekonomicznego w Katowicach, Katowice | ||
* Pamuła A. (2015) | * Kosiński J. (2017), ''Przestępczość teleinformatyczna 2016'', Wyższa Szkoła Policji w Szczytnie, Szczytno | ||
* Papińska-Kacperek J. | * Pamuła A. (2015), ''[https://wnus.edu.pl/epu/file/article/view/1425.pdf Cyberbezpieczeństwa w sieci elektroenergetycznej]'', Zeszyty Naukowe Uniwersytetu Szczecińskiego, nr 852 | ||
* Papińska-Kacperek J. (red.) (2008), ''Społeczeństwo informacyjne'', Wydawnictwo Naukowe PWN, Warszawa | |||
</noautolinks> | |||
{{a| Wojciech Chajdaś}} | {{a| Wojciech Chajdaś}} | ||
[[Kategoria: | [[Kategoria:Bezpieczeństwo informacji]] | ||
[[en:Internet]] | [[en:Internet]] | ||
{{#metamaster:description|Narzędzie informatyczne, którego zadaniem jest poświadczenie wiarygodności domeny oraz jej właściciela. Dowiedz się więcej o jego funkcjach i znaczeniu.}} | {{#metamaster:description|Narzędzie informatyczne, którego zadaniem jest poświadczenie wiarygodności domeny oraz jej właściciela. Dowiedz się więcej o jego funkcjach i znaczeniu.}} | ||
Aktualna wersja na dzień 18:38, 18 sty 2024
Certyfikat SSL (z ang. SSL Certificate) jest to narzędzie informatyczne, którego zadaniem jest poświadczenie wiarygodności domeny oraz jej właściciela. Głównym celem certyfikatu SSL jest potwierdzenie bezpieczeństwa przesyłanych danych między użytkownikiem a serwerem. Jest to najczęściej wykorzystywany protokół szyfrowania transmisji danych dzięki wbudowaniu go we wszystkie najważniejsze przeglądarki internetowe na rynku. SSL, czyli Secure Sockets Layer został opracowany przez firmę Netscape.
Model SSL zapewnia możliwość utworzenia kanałów komunikacji pomiędzy dowolną liczbą podmiotów. Jest on modelem point-to-point security, dlatego że ochrona informacji odbywa się w całości w warstwie sieci modelu ISO/OSI. Jest to trzecia warstwa tego modelu i jej zadaniem jest routing oraz przesyłanie komunikatów. Protokół ten umożliwia przerwanie połączenia w sytuacji, gdy wykryje atak potencjalnego intruza, czego przyczyną może być przerwanie fizycznego kanału komunikacyjnego oraz zniekształcenie treści przesyłanej informacji.
Certyfikat SSL zapewnia usługi zabezpieczeń w obszarach:
- Uwierzytelnienia serwera - aplikacje, które używają protokołu SSL, używają certyfikatu X.509 w celu uwierzytelnienia na serwerze,
- Usług integralności danych i poufności - SSL zapewnia usługi bezpiecznych kanałów, czyli zapewnia szyfrowanie kanałów. Polega to na zabezpieczeniu ruchu między klientem używającym SSL a serwerem,
- Uwierzytelnienia klienta - SSL w tym miejscu używa również certyfikatu X.509, aby uwierzytelnić klienta. Jest to opcjonalna funkcjonalność usługi SSL.
TL;DR
Certyfikat SSL jest narzędziem służącym do potwierdzenia wiarygodności domeny i jej właściciela oraz zapewnienia bezpieczeństwa przesyłanych danych między użytkownikiem a serwerem. Protokół SSL umożliwia utworzenie bezpiecznych kanałów komunikacji i zapewnia usługi zabezpieczeń, takie jak uwierzytelnianie serwera, integralność danych i poufność, oraz uwierzytelnianie klienta. Certyfikat SSL rozwijał się przez lata, zaczynając od wersji SSL, a obecnie zaleca się korzystanie z wersji TLS 1.1 i nowszych. Protokół SSL działa poprzez szyfrowanie danych przy użyciu klucza symetrycznego, który jest tworzony dla każdego połączenia. Proces nawiązywania połączenia poprzez certyfikat SSL obejmuje uwierzytelnianie serwera i wymianę kluczy sesji. Po nawiązaniu połączenia, wszystkie dane są szyfrowane, co można zobaczyć po zmianie prefiksu w adresie strony na "https://".
Historia i rozwój Certyfikatu SSL
Początki protokołu SSL sięgają pierwszej połowy lat 90. XX wieku, gdy pierwsza jego wersja powstała w 1994 roku z ramienia firmy Netscape. Został on opracowany jako narzędzie do zabezpieczania transmisji danych, stosując ich szyfrowanie. Rok później podjęto się poszerzenia zakresu prac nad tym projektem, co skutkowało stworzeniem trzeciej wersji produktu. Stało się to w 1996. Wówczas firma IETF (Internet Engineering Task Force) powołała specjalną jednostkę roboczą o nazwie Transport Lawyer Security, której zadaniem był dalszy rozwój protokołu SSL.
W 1999 roku trzecia wersja protokołu o nazwie TSL 1.0 została uznana za podstawową oraz rekomendowaną do powszechnego użycia. Wersja bezproblemowo działała w interakcji między relacjami klienta ze serwerem. Umożliwiała wykonanie bezpiecznych połączeń z pomocą certyfikatów. Pozwoliło to rozwinąć się znacznej ilości sklepów internetowych, którym umożliwiono przeprowadzenie bezpiecznych transakcji a sam protokół zapewniał również możliwość uwierzytelniania użytkowników.
Pierwsza wersja protokołu miała spore luki w poziomie bezpieczeństwa, gdyż uzgadnianie szyfru nie było odpowiednio zabezpieczone. Osoby trzecie musiały stosować najsłabsze opcje szyfrowania, co powodowało, że osoby atakujące radzili sobie z nim łatwiej niż ze standardowym szyfrem. Wraz z następnymi wersjami stosowano coraz mocniejsze zabezpieczenia. Aktualnie rekomendowane jest użycie wersji od TLS 1.1 wzwyż (Kania K. 2010).
Zasada działania
Dane, które protokół przesyła, szyfrowane są szyfrem symetrycznym. Klucz do tego szyfrowania tworzony jest za każdym razem, gdy tworzone jest nowe połączenie. Nazywane jest to kluczem sesji. Do największych wyzwań należą zapewnienie bezpiecznej transmisji kluczy, które nie mogą być transmitowane w postaci jawnej oraz uwierzytelnienie po obydwóch stronach. Aby bezpiecznie wymienić klucz symetryczny oraz go poprawnie autentykować używa się algorytmów kryptograficznych. Uzgadnianie klucza symetrycznego składa się z następujących etapów (Papińska-Kacperek J. 2008):
- Po nawiązaniu przez użytkownika połączenia z serwerem oprogramowanie klienta wysyła komunikat o sposobie w jakim szyfrowane są dane oraz używanej przez niego wersji protokołu SSL.
- Serwer w odpowiedzi odsyła podobne informacje, dodatkowo dołączając cyfrowy certyfikat serwera WWW - w momencie, gdy jest potrzebne uwierzytelnienie serwera.
- Serwer WWW jest uwierzytelniany przez klienta poprzez proces porównania certyfikatu przesłanego przez niego z wzorcem przechowywanym w archiwum wydawcy certyfikatu. Serwer nie może zostać uwierzytelniony w razie jakiejkolwiek niezgodności danych. Nie musi być to związane z nieuprawnionym wejściem lub atakiem hakerskim, gdyż powodem tego może być nie odnowienie certyfikatu w odpowiednim momencie.
- Gdy serwer zostaje uwierzytelniony przez certyfikat SSL, klient i serwer wymieniają między sobą serie komunikatów. Zadaniem klienta jest przesyłanie komunikatów poprzez otrzymany i uwierzytelniony klucz publiczny, a serwera deszyfracja ich przez użycia klucza prywatnego. Efektem tych działań jest uzgodnienie jednakowego klucza sesji do szyfrowania oraz deszyfrowania.
Uzgodnienie kluczy sesji jest końcem procesu nawiązywania połączenia poprzez certyfikat SSL. Gdy to nastąpi, wszystkie połączenia i przesył danych są szyfrowane. Dla użytkownika jest to widoczne poprzez zmianę prefiksu w adresie przeglądanej strony. Zmienia się "http:" na "https:". Obecnie używane przeglądarki posiadają również symbol odpowiadający zadaniu szyfrowanego połączenia - może być to kłódka lub kluczyk.
| Certyfikat SSL — artykuły polecane |
| TLS — Komunikator internetowy — Spoofing — SQL — Identyfikacja drogą radiową — HTTP — Autentykacja — Firewall — Ebanking |
Bibliografia
- Aumasson J. (2018), Nowoczesna kryptografia, Wydawnictwo Naukowe PWN, Warszawa
- Chaładyniak D. (2015), Wybrane zagadnienia bezpieczeństwa danych w sieciach komputerowych, Zeszyty Naukowe Warszawskiej Wyższej Szkoły Informatyki, nr 13
- Chrząszcz A. (2012), Bezpieczeństwo IT - Siedem grzechów głównych, Zeszyty Naukowe Warszawskiej Wyższej Szkoły Informatyki, nr 7
- Kania K. (2010), Technologie informatyczne firmy 2.0, Wydawnictwo Uniwersytetu Ekonomicznego w Katowicach, Katowice
- Kosiński J. (2017), Przestępczość teleinformatyczna 2016, Wyższa Szkoła Policji w Szczytnie, Szczytno
- Pamuła A. (2015), Cyberbezpieczeństwa w sieci elektroenergetycznej, Zeszyty Naukowe Uniwersytetu Szczecińskiego, nr 852
- Papińska-Kacperek J. (red.) (2008), Społeczeństwo informacyjne, Wydawnictwo Naukowe PWN, Warszawa
Autor: Wojciech Chajdaś
