Дата-центр Nerus Dot Com

Информационная безопасность: протокол SSL

Мы ищем информацию, читаем новости, слушаем музыку, смотрим фильмы, покупаем товары в Глобальной Сети. Порой сайты запрашивают приватные данные: как правило, это происходит, когда мы желаем воспользоваться какими-то либо сервисами: зарегистрироваться в социальной сети, создать почтовый ящик, поучаствовать в обсуждении на форуме и т.п.

Что же говорить об оплате товаров он-лайн в интернет-магазинах, когда система запрашивает доступ к личной кредитной карточке. про случаи мошенничества в Интернет, мы допускаем, что информация может попасть в «нехорошие руки».

Как уберечь себя от кражи личной информации в сети? И как работает такой алгоритм? В этой статье я постараюсь дать ответ на эти вопросы.

На сегодняшний день стандартом защищенной передачи данных является SSL-протокол.

Что такое протокол SSL

SSL (Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, обеспечивающий безопасную передачу данных в сети Интернет. Протокол SSL обеспечивает безопасность, аутентификацию на базе SSL-сертификатов и согласование безопасности по установленному сетевому соединению, поэтому множество компаний и продуктов приняли SSL в качестве коммуникационного протокола.

Протокол SSL обеспечивает выполнение следующих задач:
• обеспечение защищенности информации: данные, находящиеся в процессе передачи между сервером и клиентом, защищены от перехвата и должны иметь возможность быть прочитанными только адресатом. Это требование обязательно как для данных, относящихся к самому протоколу (диалог безопасности во время установления связи), так и для данных приложения, посылаемых в течение самой сессии;
• аутентификация клиента и сервера друг для друга: протокол SSL поддерживает использование стандартных технологий криптографии с публичным и приватным ключами с целью аутентификации взаимодействующих сторон друг для друга. Хотя более распространен случай аутентификации сервера для клиента, SSL может использовать те же методы для аутентификации клиента;
• обеспечение целостности информации: во время сессии данные не должны быть подвержены внешнему и внутреннему влиянию.

История протокола SSL

Протокол SSL разработан компанией Netscape (известной по одноименному браузеру) в 1994 году. Разработчикам была поставлена задача: разработать зашифрованный путь обмена данными между клиентом и сервером, независимо от операционной системы.

Через несколько месяцев после релиза SSL 1.0 Netscape выпустила усовершенствованную версию, обозначив SSL 2.0. Стоит отметить, что первые релизы не были доступны IT-аудитории. И лишь в конце 1995 года Netscape выпустила SSL 3.0, публичный релиз, и именно эта версия по сей день является стандартом безопасной передачи данных в Интернет. Именно, версию SSL 3.0 поддерживает большинство веб-браузеров в наше время.

Принцип работы

Протокол SSL состоит из двух уровней. На нижнем уровне транспортного протокола (TCP/IP) он является протоколом записи и используется для инкапсуляции (то есть формирования пакета) разнообразных протоколов (HTTP, FTP, POP3 и SMTP). Для каждого из выше перечисленных протоколов SSL обеспечивает условия, при которых сервер и клиент подтверждают друг другу свою подлинность, выполняют алгоритмы шифрования и производят обмен криптографическими ключами, прежде чем протокол прикладной программы начнёт обмен данные.

На самом деле SSL объединяет в себе два протокола: согласования и передачи данных. Протокол передачи данных управляет потоком данных между двумя конечными системами соединения SSL.

Протокол согласования служит для идентификации одной или обеих конечных систем соединения SSL и создания уникального симметричного ключа, с помощью которого генерируются ключи для шифрования и расшифровки данных, передаваемых по этому соединению. Для идентификации конечных систем в протоколе SSL применяется асимметричное шифрование, цифровые SSL-сертификаты и процедуры согласования SSL. Обычно SSL идентифицирует сервер, но может использоваться и для идентификации клиента. Цифровой SSL-сертификат, выданный SSL-сертификатной организацией(Certificate Authority), может быть связан с каждой из конечной систем или с приложениями, применяющими протокол SSL в конечных системах.

Цифровой SSL-сертификат состоит из публичного ключа и идентификационной информации с цифровой подписью уполномоченной SSL-сертификатной организации. С каждым публичным ключом связан приватный ключ. Приватный ключ не входит в состав SSL-сертификата и хранится отдельно от него. При идентификации клиента или сервера конечная система должна предоставить доказательство наличия приватного ключа, соответствующего публичному ключу цифрового SSL-сертификата.

Существуют 2 вида SSL-сертификатов по степени доверия веб-браузерами:
• Trusted (доверительные);
• Self-Signed (самоподписанные).

Доверительный SSL-сертификат — это SSL-сертификат, выписанный уполномоченным органом, сертификатной организацией. SSL-сертификат выписывается на определенное доменное имя, указывается срок действия SSL-сертификата (до 5 лет), содержит цифровые печати и подписи. Популярные Web-браузеры заранее настроены доверять SSL-сертификатам, выданным сертификатными организациями, так что не нужно никакой дополнительной конфигурации для подключения клиента через SSL к серверу, для которого был выдан SSL-сертификат. При заходе на веб-сайт, обеспеченный SSL-сертификатом, в адресной или статусной строке браузера появляется иконка «замка». Кликнув на нее, вы можете узнать об обладателе SSL-сертификата следующее:
• имя человека или организации выпускающего SSL-сертификат;
• для кого был выпущен данный SSL-сертификат (субъект SSL-сертификата);
• имя владельца домена;
• географическое расположение сервера, на котором расположен сайт;
• публичный ключ субъекта;
• временные параметры (срок действия SSL-сертификата и т.д.).

В Microsoft Internet Explorer v.7 «замок» находится справа в адресной строке. 

Подобным образом «замок» отобразится и в браузере Opera.

В новом браузере Google Chrome помимо иконки «замка» в адресной строке зеленым цветом выделено название протокола HTTPS.

В браузере Mozilla Firefox 3 «замок» отображается в статусной строке справа.

Self-Signed SSL-сертификат (самоподписанный) можно сгенерировать самостоятельно, при этом подлинность SSL-сертификата подтверждается его создателем ( недоверительным лицом). Схема использования самоподписанного SSL-сертификата предполагает, что подпись SSL-сертификата можно проверить, только используя публичный ключ, часть которого находится в самом SSL-сертификате. Таким образом, SSL-сертификат подтверждает сам себя. Именно по этой причине браузеры не доверяют самоподписанным SSL-сертификатам. При заходе на сайт выскакивает сообщение о нежелательности его посещения. Вряд ли от увиденного у рядового пользователя останется желание находиться на таком сайте. 

Если вы желаете вызвать доверие у посетителей сайта, рекомендуется использовать доверительный SSL-сертификат, выданный сертификационной организацией.

Как определить безопасное соединение

Когда вы просматриваете веб-страницы в Интернете, происходит обмен данными между компьютером веб-сервером. Передача данных, как правило, передается «простым текстом». Каждый фрагмент данных проходит через трансферные узлы для достижения цели. При желании грамотному системному администратору не составит большого труда выдернуть данные из потока.

А теперь проверим. Для пользователей Windows:

Для определения количества трансферных узлов, через которые проходят ваши данные перед тем, как дойти до вас, выполните следующие действия:
1) На вашем компьютере нажмите кнопку «Пуск», а затем — «Выполнить»
2) Введите «cmd» и нажмите «OK» (или клавишу «Enter»)
3) Введите: tracert www.ethnohosting.com 
4) Нажмите «Enter»

Каждый номер списка в окне отображает другой сервер или маршрутизатор. Каждый узел представляет собой точку, в которой все отправляемые данные могут быть перехвачены. Путь передачи данных может насчитывать десятки узлов. К тому же нередко провайдеры кэшируют данные с целью экономии трафика. Попутно в кэш попадает и конфиденциальная информация посетителей.

Вспомните об этом в следующий раз при вводе личного пароля или номера кредитной карточки. В этом заключается вся проблема. Решения ее заключается в шифровании данных при передачи.

SSL использует сложную систему обменов ключами между веб-браузером и сервером. Шифрование данных происходит до момента их передачи.

Веб-страница считается защищенной только в том случае, если передача данных на веб-сервере, на котором она находится, происходит посредством верхнего уровня SSL протокола — HTTPS.

Веб-сайт, запрашивающий у вас личную информацию, должен использовать SSL-сертификат. В противном случае, ваша личная информация может быть перехвачена мошенниками.

Существует 2 способа удостовериться, является ли веб-страница защищенной:

1. Проверка адреса веб-страницы. Обычно, когда вы бродите по Сети, адреса веб-сайтов начинаются с «http://». Однако, используя безопасное соединение, отображаемый адрес должен начинаться с «https://».

2. Отображаемая в браузере (ВНИМАНИЕ не в области веб-страницы) иконка «замок», де-факто, является стандартом среди браузеров.

Стоит отметить, иконка «замок» не является простым декоративным графическим изображением. Кликнув на нее, вы увидите сведения о SSL-сертификате. Это важно, поскольку на мошеннических сайтах часто существует встроенный блок с целью имитации иконки «замка». Поэтому рекомендуется проверять иконку на функциональность, кликнув на нее.

Дополнительные признаки защищенной страницы:

Сертификатные организации, продающие SSL-сертификаты (VeriSign, Comodo, Thawte) также предоставляют своим клиентам пломбу сайта. Общие характеристики пломб сайта:
• Высокая видимость — поставщики SSL-сертификатов желают акцентировать внимание посетителя на защищенности своего ресурса. Они хотят, чтобы посетители знали: они приложили все усилия, чтобы сделать свой сайт безопасным для электронной торговли. Поэтому пломба сайта обычно находится на самом видном месте.
• Сложно дублируемые — пломба сайта разработана таким образом, что ее трудно повторить жуликам. Дата и время на пломбе сайта обновляются ежедневно.
• Контроль функциональности — пломба сайта имеет определенную функциональность: в результате нажатия на пломбу или держания курсора мыши отображается подробная информация о сайте.

Основными международными сертификатными организациями являются VeriSign, Thawte, Comodo. Все они работают с дилерами. Например, EthnoHosting является официальным представителем Comodo на территории Украины.

Родион Филатов
Инфомедиа, 2008