یکی از مهمترین مؤلفه های کسب و کار آنلاین ایجاد یک محیط قابل اعتماد است که در آن مشتریان بالقوه در خرید خود احساس اطمینان کنند. گواهینامه SSL با ایجاد یک اتصال امن، پایه و اساس اعتماد را ایجاد می کنند.
برای اطمینان از ایمن بودن ارتباط بازدیدکنندگان، مرورگرها نشانه‌های بصری خاصی را ارائه می‌کنند که ما آنها را نشانگرهای EV می‌نامیم - از قفل سبز گرفته تا نوار URL مارک دار.
در ادامه خواهیم گفت گواهینامه SSL چیست.
گواهینامه SSL چیست
گواهینامه SSL دارای یک جفت کلید هستند: یک کلید عمومی و یک کلید خصوصی. این کلیدها برای ایجاد یک اتصال رمزگذاری شده با هم کار می کنند. این گواهی همچنین حاوی چیزی است که "موضوع" نامیده می شود، که هویت گواهی / مالک وب سایت است.
برای دریافت گواهی، باید یک درخواست امضای گواهی (CSR) در سرور خود ایجاد کنید. این فرآیند یک کلید خصوصی و کلید عمومی در سرور شما ایجاد می کند. فایل داده CSR که برای صادرکننده گواهی SSL (به نام مرجع صدور گواهی یا CA) ارسال می کنید، حاوی کلید عمومی است. CA از فایل داده CSR برای ایجاد یک ساختار داده برای مطابقت با کلید خصوصی شما بدون به خطر انداختن خود کلید استفاده می کند. CA هرگز کلید خصوصی را نمی بیند.
پس از دریافت گواهی SSL، آن را روی سرور خود نصب می کنید. شما همچنین یک گواهی میانی نصب می کنید که اعتبار گواهی SSL شما را با گره زدن به گواهی ریشه CA خود مشخص می کند. دستورالعمل نصب و آزمایش گواهینامه شما بسته به سرور شما متفاوت خواهد بود.
مهمترین بخش گواهی SSL این است که به صورت دیجیتالی توسط یک CA قابل اعتماد مانند DigiCert امضا شده است. هر کسی می‌تواند یک گواهی ایجاد کند، اما مرورگرها فقط به گواهی‌هایی اعتماد می‌کنند که از یک سازمان در فهرست گواهی‌های CA مورد اعتماد آنها آمده است. مرورگرها دارای لیست از پیش نصب شده ای از CA های قابل اعتماد هستند که به نام Trusted Root CA store شناخته می شود. برای اینکه یک شرکت به فروشگاه Trusted Root CA اضافه شود و در نتیجه به یک مرجع صدور گواهی تبدیل شود، باید استانداردهای امنیتی و احراز هویت ایجاد شده توسط مرورگرها را رعایت کند و بر اساس آن حسابرسی شود.
یک گواهینامه SSL که توسط یک CA برای یک سازمان و پس از ثبت دامنه آن صادر می‌شود، تأیید می‌کند که یک شخص ثالث قابل اعتماد هویت آن سازمان را تأیید کرده است. از آنجایی که مرورگر به CA اعتماد دارد، مرورگر اکنون به هویت آن سازمان نیز اعتماد دارد. مرورگر به کاربر اطلاع می دهد که وب سایت امن است و کاربر با مرور سایت و حتی وارد کردن اطلاعات محرمانه خود احساس امنیت می کند.
لایه ایمن سوکت ها (SSL) چیست؟
لایه سوکت های ایمن (SSL) یک فناوری امنیتی استاندارد برای ایجاد یک پیوند رمزگذاری شده بین یک سرور و یک سرویس گیرنده است - معمولاً یک وب سرور (وب سایت) و یک مرورگر، یا یک سرور پست الکترونیکی و یک سرویس گیرنده ایمیل (به عنوان مثال، Outlook). این فناوری بیشتر از TLS یا امنیت لایه حمل و نقل، فناوری جانشین SSL، شناخته شده است.
SSL اجازه می دهد تا اطلاعات حساسی مانند شماره کارت اعتباری، شماره تامین اجتماعی و اعتبار ورود به سیستم به صورت ایمن منتقل شوند. به طور معمول، داده‌های ارسال شده بین مرورگرها و سرورهای وب به صورت متن ساده ارسال می‌شوند و شما را در برابر استراق سمع آسیب‌پذیر می‌سازد. اگر مهاجم بتواند تمام داده های ارسال شده بین مرورگر و سرور وب را رهگیری کند، می تواند آن اطلاعات را ببیند و از آن استفاده کند.
به طور خاص، SSL یک پروتکل امنیتی است. پروتکل ها نحوه استفاده از الگوریتم ها را توضیح می دهند. در این مورد، پروتکل SSL متغیرهای رمزگذاری را هم برای پیوند و هم برای داده های در حال انتقال تعیین می کند.
همه مرورگرها قابلیت تعامل با سرورهای وب ایمن با استفاده از پروتکل SSL را دارند. با این حال، مرورگر و سرور به چیزی که گواهی SSL نامیده می شود نیاز دارند تا بتوانند یک اتصال امن برقرار کنند.
SSL هر روز اطلاعات میلیون ها نفر را در اینترنت، به ویژه در هنگام تراکنش های آنلاین یا هنگام انتقال اطلاعات محرمانه، ایمن می کند. کاربران اینترنت امنیت آنلاین خود را با نماد قفل همراه با یک وب‌سایت دارای امنیت SSL، یا نوار آدرس سبز رنگ که با یک وب‌سایت دارای اعتبارسنجی توسعه‌یافته با امنیت SSL ارائه می‌شود، مرتبط می‌کنند. وب‌سایت‌های دارای امنیت SSL نیز با «https» شروع می‌شوند تا «http».
چگونه گواهی SSL یک اتصال امن ایجاد می کند؟
هنگامی که یک مرورگر سعی می کند به وب سایتی دسترسی پیدا کند که با SSL ایمن شده است، مرورگر و وب سرور با استفاده از فرآیندی به نام «SSL Handshake» یک اتصال SSL برقرار می کنند (نمودار زیر را ببینید). توجه داشته باشید که SSL Handshake برای کاربر نامرئی است و به صورت آنی اتفاق می افتد.
اساساً از سه کلید برای تنظیم اتصال SSL استفاده می شود: کلیدهای عمومی، خصوصی و کلیدهای جلسه. هر چیزی که با کلید عمومی رمزگذاری شده باشد فقط با کلید خصوصی قابل رمزگشایی است و بالعکس.
از آنجایی که رمزگذاری و رمزگشایی با کلید خصوصی و عمومی، قدرت پردازش زیادی را می طلبد، آنها فقط در حین SSL Handshake برای ایجاد یک کلید جلسه متقارن استفاده می شوند. پس از برقراری ارتباط امن، از کلید جلسه برای رمزگذاری تمام داده های ارسال شده استفاده می شود.
مرورگر به یک وب سرور (وب سایت) ایمن شده با SSL (https) متصل می شود. مرورگر درخواست می کند که سرور خودش را شناسایی کند.
سرور یک کپی از گواهی SSL خود، از جمله کلید عمومی سرور را ارسال می کند.
مرورگر ریشه گواهی را در برابر فهرستی از CA های قابل اعتماد بررسی می کند و اینکه گواهی منقضی نشده است، لغو نشده است و نام رایج آن برای وب سایتی که به آن متصل می شود معتبر است. اگر مرورگر به گواهی اعتماد داشته باشد، یک کلید جلسه متقارن را با استفاده از کلید عمومی سرور ایجاد، رمزگذاری و پس می فرستد.
سرور، کلید جلسه متقارن را با استفاده از کلید خصوصی خود رمزگشایی می کند و برای شروع جلسه رمزگذاری شده، یک تأییدیه رمزگذاری شده با کلید جلسه را پس می فرستد.
سرور و مرورگر اکنون تمام داده های ارسال شده را با کلید جلسه رمزگذاری می کنند.
همین حالا اقدام کنید: خرید دامنه ir از وب‌رمز
گواهی من SSL است یا TLS؟
پروتکل SSL همیشه برای رمزگذاری و ایمن سازی داده های ارسالی استفاده شده است. هر بار که نسخه جدید و ایمن‌تری منتشر می‌شد، فقط شماره نسخه تغییر می‌کرد تا تغییر را منعکس کند (مانند SSLv2.0). با این حال، زمانی که زمان به روز رسانی از SSLv3.0 فرا رسید، به جای فراخوانی نسخه جدید SSLv4.0، به TLSv1.0 تغییر نام داد. ما در حال حاضر در TLSv1.3 هستیم.
از آنجایی که SSL هنوز هم اصطلاح شناخته شده‌تر و پرکاربردتر است، DigiCert از TLS/SSL هنگام ارجاع به گواهی‌ها یا توضیح نحوه ایمن‌سازی داده‌های ارسالی استفاده می‌کند. هنگامی که یک گواهی SSL از ما خریداری می کنید (به عنوان مثال، SSL استاندارد، SSL اعتبار سنجی توسعه یافته، و غیره)، در واقع یک گواهی TLS (RSA یا ECC) دریافت می کنید.
موارد استفاده از گواهی TLS/SSL
سایت ها و وبلاگ های اطلاعاتی
وب‌سایت‌هایی که پرداخت‌ها یا اطلاعات حساس را جمع‌آوری نمی‌کنند به HTTPS نیاز دارند تا فعالیت کاربر حتی وبلاگ‌ها را خصوصی نگه دارد.
پانل ها و فرم های ورود
TLS/SSL نام‌های کاربری و رمز عبور و همچنین فرم‌های مورد استفاده برای ارسال اطلاعات شخصی، اسناد یا تصاویر را رمزگذاری و محافظت می‌کند.
صفحات پرداخت
اگر مشتریان مطمئن باشند که منطقه تسویه حساب شما (و اطلاعات کارت اعتباری که به اشتراک می گذارند) ایمن است، خرید را تکمیل می کنند.
نوع گواهی TLS/SSL توصیه شده
-
گواهینامه های OV (تأیید سازمان) TLS/SSL - دومین سطح بالاتر از اصالت و بعدی دقیق ترین بررسی های سازمان.
-
گواهینامه های OV (تأیید سازمان) TLS/SSL - دومین سطح بالاتر اصالت و دقیق ترین بررسی های سازمانی.
-
گواهینامه های TLS/SSL EV (Extended Validation) - بالاترین سطح اصالت و دقیق ترین بررسی های هویت.
فقط دیدن قفل در نوار آدرس دیگر کافی نیست
با کلیک بر روی نماد قفل در نوار URL می توانید هویت صاحب وب سایت را تأیید کنید. متأسفانه، امروزه اکثر سایت های فیشینگ دارای قفل و گواهینامه DV هستند. به همین دلیل مهم است که به فراتر از قفل در نوار URL نگاه کنید.
اگر وب سایتی مایل به قرار دادن هویت خود در گواهی نیست، شما نباید تمایلی به اشتراک گذاری اطلاعات شناسایی با آنها داشته باشید. اگر نام سازمان را می بینید، اکنون می توانید تصمیم بهتری در مورد اینکه به چه کسی اعتماد دارید، بگیرید.
منبع: digicert.com