В современных условиях безопасность данных и информации в глобальной сети является фундаментальным фактором. В Интернете появляется все больше вредоносного программного обеспечения и мошенников, которые ежедневно осуществляют атаки на сервисы и веб-сайты компаний.
SSL — это специальный протокол шифрования, который значительно повышает уровень безопасности передачи данных. Используя специальную криптографическую систему шифрования для обмена ключами, протокол повышает уровень конфиденциальности и целостности передачи данных между сервером и клиентом. Все сертификаты могут иметь разные уровни защиты, от которых зависит общая функциональность. При этом любой выбор уровня гарантирует защиту передаваемых данных.
Сертификаты безопасности сегодня используются всеми ресурсами. Даже если веб-сайт является обычным блогом или форумом, без надлежащей защиты и уровня безопасности он не сможет активно развиваться. Причина проста — сайты без протоколов HTTPS блокируются всеми современными браузерами.
Сегодня SSL используется миллионами веб-сайтов по всему миру для защиты информации, которую они передают. Без него невозможно организовать работу интернет-магазина и любого ресурса, где пользователь указывает конфиденциальную информацию или вынужден регистрироваться. С помощью протокола вся переданная информация шифруется специальными ключами, и даже перехваченные данные можно расшифровать только при наличии ключей.
SSL-сертификат выступает уникальной цифровой подписью для конкретного веб-сайта. Первыми его начали использовать крупные финансовые компании, банки и международные платежные системы. Однако сейчас трудно найти веб-ресурс, который работает без сертификата безопасности. Такие сайты стараются избегать, а браузер всегда предупреждает о потенциальной опасности перехода.
Сертификаты содержат определенный набор информации:
Сертификат безопасности SSL указывает, что доменное имя действительно принадлежит конкретному сайту или компании, а владелец имеет полные права на использование специальных ключей для шифрования данных.
Процесс можно рассматривать как последовательность действий. Пользователь или система получает доступ к веб-серверу сайта. Это может быть любое действие: почти все, что вы делаете на сайте, является обменом информацией, требующим запроса к серверу. Браузер пользователя запрашивает аутентификацию от веб-сервера.
В ответ веб-сервер отправляет браузеру копию SSL-сертификата, а браузер проверяет, можно ли доверять этому сертификату: не истек ли срок его действия, кто его выдал и т. д. Ближайшая аналогия — проверка пропуска на входе в бизнес-центр.
Если все в порядке и сертификат надежен, браузер сообщает веб-серверу, что он проверил его надежность. Веб-сервер подтверждает это, возвращает цифровую подпись и начинает SSL-соединение. Теперь браузер и сервер могут безопасно обмениваться информацией.
Вместо пользователя и браузера может быть какая-то служба и ее сервер: передача информации между сайтом и другим ресурсом происходит почти по тому же принципу.
Тип сертификата на сайте можно проверить с помощью браузера: нажмите на замок в адресной строке и выберите опцию «Безопасное соединение» или «Безопасное соединение», в зависимости от браузера. Далее мы опишем, что такое SSL-сертификаты.
Самоподписанный. Такой сертификат может создать любой на своем сервере. Но пользы от него нет: его считает надежным только сервер, на котором он был создан. Все остальные не знают, какая организация выдала сертификат, поэтому браузеры будут предупреждать пользователей или ограничивать доступ к ресурсу. Не используйте такие сертификаты.
С проверкой домена. Все остальные типы, перечисленные здесь, выдаются специальными организациями — сертификационными центрами. Сертификационные центры, или CA, генерируют уникальную пару ключей для сайта и выдают сертификат. Такие сертификаты будут отображаться корректно, они являются доверенными для браузеров, а их данные сертифицированы CA. Но для того, чтобы центр выдал сертификат, он должен сначала проверить личность, которая к нему обратилась, чтобы убедиться, что ресурс не является мошенническим.
Разница между типами заключается в том, что именно центр проверяет перед выдачей сертификата. Самый простой вариант — проверка домена, также известная как Domain Validation, или DV. SC проверяет, является ли доменное имя сайта подлинным и существует ли ресурс, но не связывает его ни с одной компанией. Это бюджетный тип сертификата, дешевле других, и он подходит для частных лиц или небольших компаний.
Проверка организации. Второй вариант — Organization Validation, или OV. В этом случае центр сертификации проверяет не только домен, но и компанию, которой он принадлежит. По результатам проверки он подтверждает, что компания существует. Это вариант для коммерческих сайтов, и такой сертификат могут приобрести только организации.
Для банков и интернет-магазинов, которые работают с платежами пользователей, рекомендуется сертификат уровня OV как минимум. Он считается более надежным, поскольку проверяет, среди прочего, существование компании.
С расширенной проверкой. Самый сложный, самый дорогой и самый надежный тип: EV, или расширенная проверка. Чтобы получить такой сертификат, нужно пройти расширенную проверку в сертификационном центре, ответить на вопросы и предоставить некоторые документы о компании. Зато браузер будет отдельно отмечать сайты с такой проверкой: значок замка будет зеленым, с подписанным именем компании и страной ее регистрации. Этот тип используют корпорации, крупные сервисы, имеющие дело с платежными данными, некоторые банки.
Специальные типы. Для сайтов с особыми потребностями существуют отдельные типы SSL-сертификатов. Это опции, которые можно добавить к любому из трех вышеупомянутых типов сертификатов. Например, Wildcard — используется для сайтов, имеющих поддомены. Доменное имя в таком сертификате имеет звездочку, которая заменяет имя поддомена.
Существует также MDC — мультидоменный сертификат, который необходим для ресурсов с несколькими доменами и поддоменами. Например, компания имеет несколько сайтов с разными названиями: она может приобрести отдельный сертификат для каждого или один MDC для всех трех. Существуют различные подтипы мультидоменных сертификатов, основные из них — SAN и UCC.
SSL-сертификат безопасности уже давно является важным элементом защиты не только для интернет-магазинов, но и для всех сайтов, которые предусматривают взаимодействие с пользователями. Регистрация, оставление комментариев, добавление новых материалов от посетителей, не говоря уже об онлайн-оплате — все это требует шифрования.
Поисковые системы также требуют от веб-сайтов использования безопасного соединения. А пользователи становятся все более внимательными к конфиденциальности своих данных. Использование SSL — это простой способ завоевать доверие пользователей и устранить любые опасения по поводу конфиденциальности при передаче информации через Интернет.
