HTTP ja HTTPS
HTTPS on võrguprotokollibrauser, mida kasutatakse veebiserveritega turvaliseks suhtlemiseks. HTTPS on turvaline alternatiiv palju vanemale protokollile, mida nimetatakse hüperteksti edastusprotokolliks ehk HTTP-ks. HTTPS saab kasutajaid kaitsta, kuna see nõuab krüptimist, et kõik vahetatud veebi (või HTTP) andmed toimuksid krüptoprotokolli kaudu, mida nimetatakse TLS (HTTPS on sõna otseses mõttes * HTTP * üle *TLS*).
Veebiandmete krüptimine salajase võtmega (nt TLS parandab) kasutajate turvalisust, takistades ründajatel transiidil olevat originaalsisu lugeda või muuta. Selliseid võrgurünnakuid nimetatakse kesktaseme (MITM) rünnakud. Teadlased on korduvalt näidanud, et MITM-i ründajad saavad sisuliselt lugeda või muuta mis tahes HTTP-liiklust, ilma et kasutaja sellest teada saaks.
Lisatud turvalisus muudab HTTPS-i ideaalseks tundlikke andmeid käsitlevate veebirakenduste jaoks ning enamus servereid (nt panga- või e-posti serverid) on juba uuendatud. Kahjuks ei toeta kõik veebiserverid seda mitmesuguste tööpiirangute tõttu, näiteks suurenenud ribalaius, pärandiprobleemid ja nii edasi. Võimaliku ohu tõttu peavad asjast huvitatud kasutajad teadma, kas nad sirvivad ebaturvalist ühendust.
Sisestage turvanäitajad
Brauserid teavitavad kasutajaid aadressiribale kuvatud graafika kujul veebiühenduse turbeolekust (nt lukuikoon enne selle artikli URL-i). Need turvanäitajad võib olla kumbki negatiivne ja hoiatada kasutajaid võimaliku ohu eest või positiivne, et olla kindel, et nende ühendus on turvaline.
Turvanäitajaid kasutatakse veebiühenduse kahe aspekti edastamiseks; ühenduse turvalisus ja autentsus serveri serverist.
Ühenduse turvalisus krüptimise kaudu
Näitajad teavitavad ühenduse turvalisusest, eristades järgmisi krüpteeritud, krüptimata ja segatud sisu ühendused. Krüptitud ja krüptimata saidid kaitsevad kogu sisu või mitte. Segatud sisu tähendab seda, et mõned krüptitud veebisaitide komponendid hangitakse krüptimata kanalite kaudu.
Kutsutakse komponente, mis võivad muuta lehe sisu (näiteks skripte või vektoreid) aktiivne sisu. Fikseeritud identiteetidega komponendid (nt staatilised pildid või fondid) kutsutakse passiivne sisu.
Ehkki täielikult krüptitud veebiühendus kõlab turvaliselt, ei tähenda see üksi, et veebisaiti on ohutu sirvida.
Serveri autentimine ja digitaalsed sertifikaadid
Ründajad saavad veebisaidi sisu kopeerida (ja teha) ja suunata võrguliikluse oma pahatahtlikku serverisse isegi krüptitud ühenduste kaudu. Nende server peaks esitama ainult erineva, teadaoleva TLS klahvi algse saladuse asemel. Kuna pole põhjust ühenduse legitiimsuses kahelda, võib pahaaimamatuid kasutajaid veenda logima sisse või avaldama muud tundlikku teavet.
Brauserid autentivad vastuseks autentseerides servereid, korreleerides õigustatud veebiserveri omanike mandaate unikaalse krüptimisvõtmega, mida iga server esitab. Nii delegeerivad brauserid selle mandaadi kontrollimise kolmanda osapoole üksustele, nn Sertifikaadiasutused (KA-d). Suuremad brauserid haldavad juurprogramme, et hallata omaenda usaldust CA-de vastu. Brauseri usaldamiseks peavad nad järgima rangeid standardeid ja auditinõudeid.
Veebiserveri omanik, kes taotleb sertifikaati usaldusväärselt CA-lt, näiteks SSL.com, peab esitama kehtiva avaliku võtme ja tõestama, et nad kontrollivad domeeninime ja serverit, millele see osutab. Kui need kontrollid õnnestuvad, väljastab CA digitaalse sertifikaadi omanikule, kes kasutab seda nii oma saidi ühenduste krüptimiseks kui ka autentimiseks.
Sertifikaadid on digitaalsed identiteedid, mis sisaldavad teavet serverit omava isiku või organisatsiooni kohta. CA-d allkirjastavad iga sertifikaadi krüptograafiliselt digitaalallkirjaga, mis on vahatemplitega analoogne terviklikkuse mehhanism - ründajad ei saa allkirja dubleerida ja nad peaksid selle enne sisu muutmist kehtetuks muutma. HTTPS nõuab veebiserverilt brauseriühenduse tervitamiseks selle serveri kehtiva sertifikaadiga. Seejärel kontrollivad brauserid sertifikaati - kui sellele on alla kirjutanud usaldusväärne CA, võib ühendus jätkuda. (Kui server esitab teistsuguse, tühistatud või muul viisil kehtetu sertifikaadi, katkestab brauser ühenduse või keelab ühenduse ning hoiatab kasutajat veateadete abil, mida uurime üksikasjalikult järgmises artiklis.)
Valideerimise tasemed
Tuleb märkida, et mitte kõik sertifikaadid ei paku sama turbetaset ja turvanäitajad võivad eristada erinevatel valideerimistasemetel välja antud erinevaid sertifikaaditüüpe.
Pädevad asutused väljastavad Domeen on kinnitatud (DV) sertifikaadid klientidele, kes on demonstreerinud kontrolli DNS-domeeni üle. Organisatsioon on valideeritud (OV) sertifikaate kontrollitakse organisatsiooni ja juriidilise isiku autentimiseks, samuti domeenikontrolli. Lõpuks Laiendatud valideeritud (EV) sertifikaadid - mis suudavad ettevõtte teavet kuvada brauseriribal - on reserveeritud klientidele, kes on läbinud mitu sõltumatut kontrollimist (sh inimestevahelised kontaktid, viited kvalifitseeritud andmebaasidele ja järelkontrollid) ning OV- ja DV-d -taseme astmed.
Näitajate hetkeseis
Interneti algusaegadel oli HTTP norm ja HTTPS võeti kasutusele kõige turvalisusega arvestava võimalusena. Selle tulemusel kasutas enamik brausereid ainult positiivne tähised, st lukk, mis näitab HTTPS-ühendust ja (valikuliselt), kas see ühendus kasutab EV-sertifikaati. Täna on Chrome koos Firefoxi ja Safariga hakanud turvateadlikkuse laiemalt tutvustamiseks kasutama ka negatiivne indikaatorid, hoiatades krüpteerimata või segatud aktiivse sisuga lehtede kasutajaid. Järgmine tabel on brauserite turvanäitajate üldise seisundi kokkuvõte. Alustades HTTP-st (mis pole üldse turvaline) on iga loendis olev üksus turvalisem kui eelmised.
(Suurendamiseks klõpsake pildil)
Eelseisvad muudatused ja tulevikuplaanid
Chrome'i kasutatava turvalisuse meeskond andis välja a ettepanek selle brauseri käitumise muutmiseks. Nad soovitavad, et kõik brauserid peaksid hakkama aktiivselt hoiatama kasutajaid ohtlike HTTP (või segatud sisuga HTTPS) veebisaitide eest koos negatiivsete näitajatega, samal ajal kui nad proovivad HTTPS-i veebisaitidelt positiivseid turvanäitajaid täielikult eemaldada.
Nad tuginevad oma otsuses uuringutele, mis olid avaldatud 2007, väites, et kasutajad ignoreerivad positiivseid turvanäitajaid, erinevalt negatiivsematest, mida peetakse tõsisemaks. Chrome on oma algses ettepanekus ka väitnud, et "kasutajad peaksid eeldama, et veeb on vaikimisi turvaline, ja neid hoiatatakse, kui probleem tekib".
Selle idee tellimisel kuvatakse alates 2018. aasta septembrist uuemates Chrome'i versioonides (69+) kõigil HTTP-veebisaitidel negatiivne indikaator „Pole turvaline” ja HTTPS-i positiivne näitaja „Turvaline”.
Mozilla Firefox (alates versioonist 58+) on üks kahest muust brauserist, mis on kasutanud negatiivseid turvanäitajaid, kuid ainult segatud aktiivse sisuga saitide jaoks. Lisaks sellele ametlik blogi postitus, nad on teatanud oma tulevastest plaanidest kasutajaliidese turvanäitajate kohta Firefoxis: „Firefox kuvab lõpuks läbilukustatud ikooni kõigi lehtede jaoks, mis ei kasuta HTTPS-i, et selgitada, et need pole turvalised”.
Apple'i Safari (tehniline versioon 46+) on allesjäänud brauser, mis kasutab segatud aktiivse sisuga veebisaitide jaoks negatiivseid näitajaid, ehkki nad ei ole oma turvanäitajate plaanide osas tulevikus avalikke avaldusi esitanud.
Microsofti brauserid Edge ja Opera ei ole kasutajaliidese turvanäitajate osas oma plaanidest avalikult rääkinud.
Järeldus
Internetis turvaline olla peaks olgu see vaikimisi ja aktiivsed brauseri hoiatused ebaturvaliste HTTP-ühenduste eest võivad pakkuda mõnele pärandveebiserveri omanikule suurt motivatsiooni pöörata tähelepanu oma saitide ja külastajate turvalisusele. Pealegi on „Turvalise” indikaatori eemaldamine HTTPS-i veebisaitidelt (vaieldamatult) samm HTTPS-i eeldatava normiks muutmise suunas. Mis puudutab positiivsete näitajate täielikku eemaldamist, siis mõned näitajad, näiteks EV näitajad, võivad mõnel juhul pakkuda külastajatele olulist kindlust. Mis iganes tulevik ka ei oleks, kuna ülemaailmne HTTPS-i kasutus suureneb, tuleb kindlasti teha huvitavaid muudatusi ja väljakutseid - seega pöörduge nende ja muude turvateemade kohta tulevase teabe saamiseks meiega uuesti.
Nagu alati, aitäh, et lugesite neid sõnu SSL.com-st, kus usume a ohutum Internet on a parem Internet.
