SSL handshake vzpostavi varno povezavo med brskalnikom in strežnikom.

Gre za niz korakov, s katerimi se brskalnik in strežnik najprej preverita, nato pa dogovorita o načinu zaščite prenosa podatkov. Brez tega postopka bi bile informacije izpostavljene tveganjem, kot so prestrezanje ali nepooblaščen dostop.

Kaj pomeni SSL handshake?

SSL handshake predstavlja začetni del komunikacije med uporabnikovim brskalnikom in strežnikom, kjer se vzpostavi zaupanje med obema stranema. V tem koraku se izvede izmenjava osnovnih informacij, ki določijo način nadaljnje komunikacije. Proces poteka samodejno in traja le delček sekunde.

Čeprav je postopek hiter, vključuje več preverjanj in dogovorov, katere vplivajo na varnost celotne povezave. Brez tega uvodnega koraka šifriranje ne bi bilo mogoče, saj bi manjkala osnova za zaščiten prenos podatkov, zato predstavlja SSL handshake temelj vsake varne spletne povezave.

Vloga brskalnika in strežnika

Brskalnik začne komunikacijo tako, da strežniku pošlje zahtevo za vzpostavitev varne povezave. V tej zahtevi predstavi svoje zmožnosti glede šifriranja ter različne metode, ki jih podpira. S tem nakaže, kako bi lahko potekala zaščita podatkov.

Strežnik nato odgovori s svojimi podatki in izbere način šifriranja, ki ustreza obema stranema. Poleg tega posreduje tudi digitalno potrdilo, s katerim potrjuje svojo identiteto. Ta izmenjava predstavlja osnovo za nadaljnje korake v procesu.

Preverjanje digitalnega potrdila

Digitalno potrdilo (SSL certifikat) vsebuje informacije o lastniku spletne strani ter organizaciji, ki ga je izdala. Brskalnik preveri, ali je izdajatelj zaupanja vreden in ali je potrdilo še veljavno. Ta postopek zagotavlja, da se povezujemo s pravim strežnikom.

Digitalno potrdilo potrdi identiteto spletnega strežnika in povezave.

Če brskalnik zazna nepravilnosti, uporabnika opozori na morebitno tveganje. To se zgodi v primerih, ko potrdilo poteče ali ni izdano s strani preverjenega overitelja. Takšna opozorila služijo kot zaščita pred zlonamernimi spletnimi stranmi.

Dogovor o načinu šifriranja

Ko je identiteta strežnika potrjena, sledi dogovor o načinu šifriranja podatkov. Brskalnik in strežnik izbereta metodo, ki jo oba podpirata in zagotavlja ustrezno raven zaščite. Ta izbira vpliva na varnost in hitrost prenosa.

Različne metode šifriranja ponujajo različno stopnjo zaščite, zato je pomembno, da se uporabi primerna kombinacija. Strežnik običajno predlaga najmočnejšo možnost, ki jo brskalnik še podpira. Tako se doseže ravnovesje med varnostjo in učinkovitostjo.

Ustvarjanje varnega ključa

Po dogovoru o načinu šifriranja se ustvari skupni skrivni ključ (ang. secret key), ki bo uporabljen za zaščito komunikacije. Ta ključ nastane na poseben način, ki preprečuje, da bi ga kdo prestregel med prenosom. Proces temelji na matematičnih metodah za zagotavljanje maksimalne varnosti.

Tudi če bi nekdo prestregel del komunikacije, brez tega ključa ne bi mogel razbrati vsebine. To pomeni, da so podatki zaščiteni pred nepooblaščenim dostopom. Ustvarjanje ključa predstavlja enega izmed najpomembnejših delov celotnega postopka.

Vzpostavitev šifrirane povezave

Ko je ključ uspešno ustvarjen, se vzpostavi šifrirana povezava med uporabnikom in strežnikom. Od tega trenutka naprej se vsi podatki prenašajo v zaščiteni obliki. To vključuje prijave, obrazce in druge občutljive informacije.

Šifrirana povezava zaščiti podatke med uporabnikom in strežnikom.

Šifriranje zagotavlja, da podatki med prenosom ostanejo nerazumljivi za tretje osebe. Uporabnik lahko tako brez skrbi uporablja spletno stran, saj je komunikacija zaščitena. Ta faza pomeni, da je SSL handshake uspešno zaključen.

Zakaj je SSL handshake pomemben?

SSL handshake ima pomembno vlogo pri zagotavljanju varnosti in zaupanja na spletu. Brez tega postopka bi bili podatki izpostavljeni različnim tveganjem, kar bi vplivalo na uporabniško izkušnjo. Varna povezava omogoča brezskrbno uporabo spletnih storitev.

Z razumevanjem tega procesa lažje ocenimo pomen zaščite podatkov pri vsakodnevni uporabi interneta. To znanje pomaga tudi pri izbiri varnih spletnih strani in storitev, s čimer postanemo bolj pozorni na varnost v digitalnem okolju.

V zadnjih nekaj mesecih se pogosto omenja SSL certifikat Let’s Encrypt. To je brezplačen certifikat, katerega namestitev omogočajo številni ponudniki spletnega gostovanja. Čeprav na prvi pogled vse izgleda naravnost odlično, pa ima seveda, tako kot vse brezplačne stvari, tudi certifikat Let’s Encrypt svoje slabosti. Pa si jih poglejmo nekoliko od bliže.

Tako kot prednosti, ima SSL certifikat Let’s Encrypt tudi svoje slabosti.

1. Na voljo je le domenski SSL certifikat. Slednji je primeren predvsem za preprosta spletišča, kot so osebne strani, blogi in manjši portali. Za spletne strani podjetij, spletne trgovine in velike portale sta primernejša poslovni in razširjeni SSL certifikat, pri katerih je proces verifikacije precej natančnejši, s tem pa tudi stopnja varnosti ter zaupanja obiskovalcev.

2. Let’s Encrypt ne podpira »wildcard« certifikata. To je posebna podvrsta SSL certifikata, s katerim lahko zavarujemo vse poddomene določenega spletnega mesta. S certifikatom Let’s Encrypt lahko zavarujemo domeno (»www« in »non-www« različico), če želimo zavarovati še morebitne preostale poddomene, pa si moramo za vsako posebej priskrbeti svoj certifikat.

3. Certifikata Let’s Encrypt ni mogoče namestiti na IDN domeno. Naj na preprost način razložimo, katere so IDN domene. To so tiste, ki v svojih imenih vključujejo posebne znake, kot so šumniki, črke s preglasi, arabske ali kitajske črke in podobno. Če si torej lastite domeno s šumnikom v njenem imenu, boste morali poiskati drug SSL certifikat, po vsej verjetnosti plačljivega.

IDN domene se v klasičen zapis prevajajo s pomočjo sistema Punycode.

4. Ker je certifikat brezplačen, prihaja do zlorab. Število namestitev SSL certifikata Let’s Encrypt strmo narašča, med uporabniki pa je vse več tudi prevarantov, ki pri verifikaciji domene, kakršne so deležni plačljivi certifikati, ne bi »prišli skozi«. Posledično velja, da spletni strani z nameščenim brezplačnim certifikatom ne gre slepo zaupati. Še posebej v primeru spletne trgovine dvakrat preverite, če gre resnično za verodostojno spletno trgovino, za katero stoji zaupanja vredno podjetje.

5. Ponudnik gostovanja ne bo brezplačno poskrbel za pravilen prehod na https://. Običajno namestitev SSL certifikata Let’s Encrypt na želeno domeno ni zahtevna, saj je potrebno le nekaj klikov v nadzorni plošči (npr. v cPanel). Toda zgolj to še ne bo zadosti, saj je potrebno poskrbeti tudi za pravilne preusmeritve spletne strani s http:// na https:// povezavo. Poleg tega je potrebno »migrirati« tudi slike, .js in podobne datoteke, pri katerih zgolj preusmeritev ne pride v poštev.

Priporočamo vam, da se pred namestitvijo brezplačnega SSL certifikata Let’s Encrypt posvetujete s svojim ponudnikom gostovanja.

Priporočamo vam, da na svojo spletno stran namestite SSL certifikat.

Danes vam bomo poskušali SSL certifikate čim bolj približati, da boste točno vedeli, kaj sploh so, kako delujejo, čemu so namenjeni in katere so glavne prednosti, ki jih prinašajo.

SSL certifikat zakodira spletno povezavo

Poglejmo si najprej, kaj natančno SSL certifikat sploh je. Gre za digitalno varnostno potrdilo, ki z uporabo SSL tehnologije šifrira podatke, ki se prenašajo med strežnikom oz. spletno stranjo ter njenimi obiskovalci oz. njihovimi brskalniki. Spletna stran z nameščenim SSL certifikatom se nahaja na varni https:// povezavi, kjer so vsi podatki šifrirani, podatke pa lahko razberejo zgolj tisti, katerim so le-ti namenjeni.

Sam SSL certifikat torej ne preprečuje možnosti prestreganja podatkov, vendar poskrbi za to, da tretje osebe podatkov ne morejo uporabiti, saj so šifrirani. Za šifriranje se največkrat uporablja napredna 256-bitna enkripcija, ki jo je brez ustreznega ključa praktično nemogoče dešifrirati.

Poznamo različne SSL certifikate

Osnovna delitev SSL certifikate deli v tri skupine. To so:

• domenski certifikati (ang. Domain Validation Certificate),
• poslovni certifikati (ang. Organization Validation Certificate),
• razširjeni certifikati (ang. Extended Validation Certificate).

Domenski certifikati so tisti, ki priskrbijo zgolj validacijo domene. Nosilec domene ob nakupu domenskega SSL certifikata prejme e-pošto na domenski elektronski predal, s čimer potrdi lastništvo domene.

Poslovni certifikati poleg validacije domene zajemajo tudi preverjanje verodostojnosti podjetja oziroma organizacije, ki želi pridobiti SSL certifikat. Izdajatelju certifikata je običajno potrebno poslati poslovne dokumente, ki dokazujejo obstoj in poslovanje podjetja. Včasih je dovolj, da je podjetje vpisano v javne poslovne registre.

Razširjeni certifikati prav tako vključujejo validacijo domene in podjetja oziroma organizacije. Gre za temeljito preverjanje, glavna prednost razširjenih certifikatov pa je zeleno okence na vrhu brskalnika, kjer je zapisano ime podjetja. S tem jasno vidnim elementom obiskovalci takoj vedo, da je uporaba spletne strani varna, saj jo je preveril izdajatelj certifikata.

Glavna prednost razširjenega SSL certifikata je zelena vrstica v brskalniku.

SSL certifikate lahko delimo tudi tako:

• klasični certifikati, ki so namenjeni zaščiti ene domene (vključujejo tudi zaščito www. poddomene),
• wildcard certifikati, ki zaščitijo vse poddomene spletnega mesta,
• večdomenski certifikati (ang. Multiple Domain Certificates), namenjeni zaščiti večjega števila domen.

Glavne prednosti SSL certifikatov

Ne veste, zakaj bi na svojo spletno stran namestili SSL certifikat? Morda vas prepriča katera izmed glavnih treh prednosti.

1. Vsi podatki, ki se bodo prenašali med vašo stranjo in obiskovalci, bodo šifrirani, zato bo možnost zlorabe podatkov mnogo manjša. To je še posebej pomembno, če upravljate s spletno trgovino ali spletnim mestom, kjer redno prihaja do izmenjave občutljivih podatkov (npr. imena in priimki, gesla, bančni podatki).

Šifriranje občutljivih podatkov predstavlja glavno prednost SSL certifikatov.

2. Če bodo obiskovalci videli, da je na vaše spletno mesto nameščen SSL certifikat, bo njihovo zaupanje do spletišča večje. Ravno zaradi tega je SSL certifikat zelo priporočljivo namestiti na spletno trgovino, saj so mnoge raziskave dokazale, da se je zaradi povečanega zaupanja stopnja spletne prodaje povečala.

3. Ena izmed prednosti, ki je glavni povod za to, da se za SSL certifikat odločajo tudi lastniki povsem preprostih strani, kjer do izmenjave občutljivih podatkov sploh ne prihaja, je ta, da prisotnost certifikata pozitivno vpliva na pozicije v iskalniku Google. Z nameščenim SSL certifikatom torej lahko pričakujete večjo vidnost v spletnem iskalniku, s tem pa tudi večjo obiskanost spletnega mesta.

Več o prednostih SSL certifikatov si lahko preberete v blog objavi NEOSERV.SI.