TLS vs. SSL: koks skirtumas ir kaip jis veikia

Transport Layer Security (TLS) yra naujausia Secure Socket Layer (SSL) protokolo versija. Abu protokolai užtikrina duomenų privatumą ir autentiškumą internete. Šie plačiai naudojami protokolai užtikrina visišką saugumą, taikant žiniatinklio ryšio šifravimą. Tačiau, nepaisant TLS ir SSL panašumų, jie taip pat turi didelių skirtumų.

Šiame straipsnyje paaiškinama, kaip veikia TLS ir SSL šifravimo protokolai, jų svarba, kuo jie skiriasi ir kodėl tinkamas laikas pereiti prie TLS protokolo.

Istorinis TLS ir SSL fonas

Interneto inžinerijos darbo grupė (IETF), organizacija, atsakinga už interneto standartų kūrimą, paskelbė Prašymas pateikti komentarus (RFC-1984), pripažįstant asmens duomenų apsaugos svarbą augančiame internete. Netscape Communication Corporation pristatė SSL, kad apsaugotų žiniatinklio ryšį, kuris buvo kelis kartus atnaujintas.

SSL 1.0 versija niekada nebuvo išleista dėl saugumo trūkumų, o SSL 2.0 buvo pirmasis viešas „Netscape“ leidimas 1995 m. Tačiau dėl saugumo spragų ir trūkumų 1996 m. lapkritį ji buvo pakeista kita SSL versija 3.0. Naujausia SSL versija taip pat nenaudojama dėl nesaugumo nuo

PUDELIO ataka 2014 metų spalį ir buvo oficialiai nebenaudojamas 2015 m. birželio mėn.

TLS buvo išleistas 1999 m. kaip nuo taikomųjų programų nepriklausomas protokolas: interneto inžinerijos darbo grupės (IETF) atliktas naujinimas į SSL 3.0 versiją. Idėja buvo įdiegti TLS per TCP, kad būtų užšifruotos programos naudojant FTP, IMAP, SMTP ir HTTP protokolus. Pavyzdžiui, HTTPS yra saugi HTTP versija nes ji įgyvendina TLS, kad būtų užtikrintas saugus duomenų pristatymas, išvengiant turinio pakeitimų ir pasiklausymo.

Pagrindinis TLS/SSL protokolų darbas

Ryšys tarp šalių (pvz., kompiuterio naršyklės ir svetainės) pradedamas identifikuojant, ar tai bus įtrauktas TLS/SSL protokolas ar ne, kad klientas galėtų nurodyti naudoti TLS šifravimą arba pateikė:

• Nurodykite prievadą, kuris palaiko SSL ryšio šifravimą, arba
• Pateikdami specifinius TLS protokolo užklausas

Šiuo metu, svetainė reikalauja TLS/SSL sertifikato įdiegtas savo prieglobos serveryje, kad galėtų naudoti protokolą. Patikima trečioji šalis išduoda sertifikatą, susiejantį viešąjį raktą su domenu priklauso privatus raktas ir leidžia užšifruoti / iššifruoti ryšį.

Sutaręs dėl TLS/SSL naudojimo kliento ir serverio ryšiui, jis tęsia rankos paspaudimą. Rankos paspaudimas nustato specifikacijas, reikalingas apsikeitimui pranešimais. Šiame skyriuje apibendrinamos informacijos mainų serijos, kad būtų įgalintas TLS/SSL ryšys:

1. Tada šalys susitaria dėl protokolo versijos, kurią jos naudos
2. Tada nusprendžia, kokius kriptografinius algoritmus arba šifravimo rinkinį naudoti
3. Autentifikuoja bendraujančias šalis su jų viešuoju raktu ir išduodančios sertifikatų institucijos skaitmeniniais parašais, tada
4. Keičiasi seanso raktais, kuriuos reikia naudoti bendraujant. Tiek TLS, tiek SSL protokolai naudoja asimetrinę kriptografiją bendriems (viešiesiems) ir privačiiesiems raktams generuoti.

Jei naršyklė negali patvirtinti TLS/SSL sertifikato, ji pateikia klaidą „Ryšys nėra privatus“.

Nustačius iššifravimo metodą rankos paspaudimo metu, įrašymo protokolas naudoja simetrinį šifravimą bendravimui visos sesijos metu. Be to, įrašymo protokolas taip pat prideda pranešimą su HMAC, skirtu TLS, ir MAC, skirtą SSL, kad būtų užtikrintas duomenų vientisumas.

Taigi, protokolai įgyvendina tris pagrindinius saugumo tikslus:

• Konfidencialumas: Šifruoja duomenis, kad paslėptų juos nuo trečiųjų šalių, kad turinį galėtų peržiūrėti tik numatytas gavėjas.
• Vientisumas: Taiko pranešimo autentifikavimo kodą, kad patikrintų šifruoto pranešimo turinį.
• Autentifikavimas: Autentifikuoja svetainės / kliento / serverio tapatybę naudodamas sertifikatą, kad šalys, besikeičiančios informacija, negalėtų atsitraukti nuo savo tapatybės.

Kuo skiriasi TLS ir SSL?

Kaip minėta anksčiau, pagrindinis skirtumas, kurį pastebite tarp abiejų protokolų, yra tai, kaip jie užmezga ryšius. TLS rankos paspaudimas naudoja netiesioginį ryšio užmezgimo per protokolą būdą, o SSL sukuria aiškų ryšį su prievadu.

Neatsižvelgiant į visus kitus skirtumus, pagrindinė savybė, išskirianti abu TLS / SSL ryšius, yra šifrų rinkinio naudojimas, kuris lemia bendrą ryšio saugumą.

Esminė TLS/SSL ryšio dalis yra susitarti dėl šifrų rinkinio, kuris apibrėžia raktų mainų algoritmų rinkinį, autentifikavimas, masinis šifravimas ir maišos pranešimų autentifikavimo kodas (HMAC) arba pranešimų autentifikavimo kodo algoritmai, ir tt tam tikrai seansui. Kiekviena TLS/SSL versija palaiko skirtingą ryšio seanso šifrų rinkinių rinkinį. Taigi kiekvienas šifravimo rinkinys palaiko savo algoritmų rinkinį, kuris pagerina saugumą ir bendrą ryšio našumą.

SSL	TLS
SSL yra sudėtingas protokolas, kurį reikia įdiegti.	TLS yra paprastesnis protokolas.
SSL turi tris versijas, iš kurių SSL 3.0 yra naujausia.	TLS yra keturios versijos, iš kurių TLS 1.3 versija yra naujausia
Visos SSL protokolo versijos yra pažeidžiamos atakoms.	TLS protokolas siūlo aukštą saugumą.
SSL naudoja pranešimų autentifikavimo kodą (MAC) po pranešimo šifravimo duomenų vientisumui užtikrinti	TLS įrašo protokole naudoja maišos pagrindu sukurtą pranešimų autentifikavimo kodą.
SSL naudoja pranešimų santrauką, kad sukurtų pagrindinę paslaptį.	TLS naudoja pseudoatsitiktinę funkciją, kad sukurtų pagrindinę paslaptį.

Kodėl TLS pakeitė SSL?

TLS šifravimas dabar yra įprasta praktika, skirta apsaugoti žiniatinklio programas arba perduodamus duomenis nuo pasiklausymo ir klastojimo. Nerealu manyti, kad TLS yra saugiausias protokolas, nes jis buvo linkęs į pažeidimus, tokius kaip nusikaltimas ir „Heartbleed“ 2012 m. ir 2014 m., tačiau jis parodė daug patobulinimų, susijusių su našumu ir saugumo.

TLS pakeičia SSL, o beveik visos SSL versijos dabar yra nebenaudojamos dėl žinomų spragų. „Google Chrome“ yra vienas iš tokių pavyzdžių, kuris nustojo naudoti SSL 3.0 versiją dar 2014 m., o dauguma šiuolaikinių interneto naršyklių visiškai nepalaiko SSL.

Užšifruotam ryšiui naudokite TLS

TLS padeda apsaugoti slaptą gabenimo informaciją, pvz., kredito kortelės duomenis, el. laiškus, balso per IP (VOIP), failų perdavimą ir slaptažodžius. Nors abu sertifikatai atlieka perduodamų duomenų šifravimo užduotį, jie skiriasi funkcionalumu ir nėra sąveikūs.

Svarbu pažymėti, kad TLS vadinamas SSL tik todėl, kad SSL yra dažniausiai vartojama terminija, o sertifikato buvimas negarantuoja TLS protokolo naudojimo. Be to, jums nereikia jaudintis dėl SSL pakeitimo į TLS sertifikatus, nes tereikia įdiegti sertifikatą serveryje, nes jis palaiko abu protokolus ir nusprendžia, kurį iš jų naudoti.

7 priežastys, kodėl jūsų svetainei reikia SSL sertifikato

Nesvarbu, ar kuriate kuklų tinklaraštį, ar visą el. prekybos svetainę: jums reikia SSL sertifikato. Štai keletas praktinių priežasčių, kodėl.

Skaitykite toliau

Apie autorių