Cu mulți ani în urmă, oamenii nu acordau o mare importanță certificatelor SSL. Însă, având în vedere că o mare parte din timp este petrecută pe internet, siguranța e pe primul loc. Trăim într-o lumea digitalizată, lucru ce creează necesitatea protecției identității și informației noastre în mediul online.

Industria web hosting-ului a făcut ca obținerea unui SSL (Secure Sockets Layer) să fie extrem de accesibilă și fiabilă pentru a câștiga încrederea clienților. Măsura în care site-ul tău sau a oricărei persoane este de încredere, poate prezenta o creștere considerabilă a veniturilor.

În prezent, există o varietate foarte mare de astfel de certificate valabile pentru orice buget și date cu care se poate opera. Este ceva normal și obișnuit să ai un SSL iar această soluție va fi mereu disponibilă și prezentată de către oricare furnizor de găzduire web.

Ce este un SSL?

Secure Sockets Layer este unul dintre cele mai folosite protocoale criptografice care permit identificarea, criptarea și decriptarea datelor transmise prin intermediul internetului. Acesta este conceput pentru a securiza comunicarea dintre browsere și servere web sau între servere de mail și rețele publice.

O “sesiune SSL” este alcăutită, în mod normal, din doi algoritmi – unul ce criptează datele transmise, numit “cheie publică” (RSA) și unul care le decriptează – o “cheie privată” (ECC). 

Această metodă cripografică mai este cunoscută drept criptografie asimetrică. Principiul sub care funcționează algoritmul afirmă faptul că lungimea sa reprezintă un criteriu primordial prin care cu cât este mai lung, cu atât criptarea este mai puternică. Singurul dezavantaj ar fi faptul că performanța este influențată la capătul celălalt, unde se află clientul/utilizatorul.

Acesta este aplicabil pentru gestionarea cheilor, criptarea, semnăturile digitale și generatoarele aleatorii. Câteva exemple ce pot fi luate în considerare sunt: Bitcoin ce folosește ECC-ul pentru a dovedi proprietatea unei criptomonede, Apple care utilizează semnăturile de acest gen pentru aplicația sa iMessage și chiar însuși guvernul împreună cu instituțiile sale pentru a-și asigura anonimitatea și siguranța comunicațiilor interne.

Cum a apărut SSL-ul?

Prima versiune a protocolului SSL a fost 1.0 și nu a ajuns să fie lansată niciodată din cauza unor numeroase deficiențe de securitate. Următorul SSL, respectiv 2.0, și-a făcut apariția în anul 1995. Cu toate că a fost îmbunătățit, la rândul său avea probleme cu siguranța. Implementarea sa la scară largă a avut loc abia în anul 2011.

Versiunea 3.0 a apărut în 1996 și a fost găsită ca fiind vulnerabilă în 2014. Abia în anul următor a fost scoasă din funcțiune, lucru ce a marcat o schimbare radicală a acestei tehnologii.

Următoarea versiune și-a făcut apariția în 2018 și poartă numele de TLS 1.3, oferind îmbunătățiri în termeni de securitate și performanță.

Ce este un certificat SSL?

Un certificat SSL este un cod generat de către o autoritate specifică SSL. Certificatul însuși are două funcții: una de autentificare și verificare a identității persoanei/afacerii în cauză; și una care se asigură că datele sunt criptate în siguranță înainte de a circula prin rețeaua de internet.

Atunci când cumperi un certificat SSL de la o autoritate de încredere, practic, obții un întreg lanț de certificate pentru o securitate mult mai sporită, toate într-un singur produs.

Fiecare din ele au un CSR (Certificate Signing Request) care este generat de către furnizorul de găzduire web și conține informații criptate despre proprietar sau organizație, numele domeniului, țara, adresa, email, etc.

Structura unui certificat SSL

Certificatele root sunt sunt construite în browser iar emiterea lor este efectuată de către CA. La rândul lor, ele întocmesc certificatele intermediare care vin instalate pe un server de hosting web.

Pentru a obține un nivel maxim de securitate, este nevoie fie ca tu să instalezi acel certificat în cauză pe server, fie personalul companiei de la care ai cumpărat găzduirea.

Există o varietate foarte mare de certificate valabile pe piață. Însă, pentru a clarifica lucrurile, cele mai folosite în zilele noastre sunt: Domain Validated (DV SSL), Organization Validated (OV SSL) și Extended Validation (EV SSL).

DV SSL este nivelul de bază. Poate doar să confirme proprietarul domeniului care dorește să îl protejeze cu un SSL.

OV SSL nu doar că necesită dovada dreptului de proprietate a domeniului, ci și alte verificări pentru a confirma existența afacerii sau a autorității persoanei/întreprinderii în cauză.

EV SSL este cel mai înalt standard în industria SSL. Procesul de obținere al unuia este unul foarte strict și se face înainte de a-l obține. Este nevoie de o verificare amănunțită printr-un audit asupra entității în cauză pentru confirmarea validității.

Pentru a asigura cel mai înalt nivel de securitate, majoritatea browserelor web utilizate pe scară largă folosesc certificate EV. În funcție de browser, îți vei da seama dacă un site folosește un certificat SSL valid în cazul în care lăcățelul de lângă bara de adrese web este verde și afișează numele titularului și al CA-ului emitent.

Indiferent de tipul certificatului, toate au o dată de expirare.

Ce este un certificat SSL invalid?

Poți fi avertizat de validitatea certificatului tău SSL prin mai multe metode – printr-o căsuță pop-up în bara de adrese sau un mesaj de tip eroare când accesezi domeniul respectiv.

În acest caz, există mai multe motive posibile:

1. Certificatul SSL a expirat.

Apasă pe iconița în formă de lacăt și vezi care sunt informațiile în legătură cu data de expirare. În cazul în care termenul de valabilitate a expirat, va trebui să reînoiești certificatul la același sau alt furnizor (în funcție de preferință).

2. Certificatul SSL a fost emis pe un domeniu greșit.

Trebuie să ai grijă foarte mare când comanzi un certificat SSL.

Atunci când aplici pentru unul, asigură-te că numele domeniului este corect. Greșirea unei litere poate face ca protecția criptografică să fie generată pentru o cu totul altă adresă web.

Este recomandat ca certificatul să fie generat pe “www.domeniultau” în loc de “domeniultau”. Cei mai mulți furnizori precum Comodo SSL te va certifica chiar dacă faci această greșeală, însă mare atenție pentru că nu toți sunt atât de amabili.

În cazul în care obții un certificat pentru “domeniultau” și vrei să-l faci să ruleze pe  “www.domeniultau”, există câteva soluții. Una dintre acestea este redirecționarea site-ului folosind un fișier .htaccess. Pentru asta va fi nevoie de asistența unui web developer sau a personalului firmei de la care a fost cumpărată găzduirea, astfel încât să nu întâmpini probleme care ar putea creea disconfort vizitatorilor.

3. Probleme cu certificatul.

Certificatul intermediar nu a fost instalat corect pe server. În acest caz, cea mai bună opțiune este să contactezi furnizorul hosting-ului pentru a verifica dacă totul a decurs cum trebuie la instalare.

Deseori, firmele de acest gen au specialiști SSL care nu fac parte din echipa de suport. Fapt ce va putea duce la verificări ce durează un pic mai mult decât se anticipează.

4. Certificatul SSL a fost anulat.

Constatarea că autoritatea emitentă a anulat certificatul înainte de data expirării efective este o experiență destul de neplăcută. Pot exista o sumedenie de motive pentru care s-a întâmplat acest lucru: certificat eliberat în mod necorespunzător, cheie privată compromisă, nerespectarea cerințelor politicii etc.

Anularea certificatului va înlătura securitatea conexiunii a site-ului web iar și acesta fie nu va mai fi accesibil, fie va afișa o eroare. Procesul este ireversibil.

Cum funcționează un SSL și cum este creată o conexiune securizată

Atunci când un protocol SSL este folosit, serverul web va avea nevoie de un certificat SSL pentru a stabili conexiunea. În altă ordine de idei, atunci când vizităm un site folosind o conexiunea securizată, browser-ul inițiază o cerere către server.

În timpul acestui proces, clientul (browser-ul) solicită informații despre certificatul site-ului de la server. Dacă este valid, așa cum am menționat la început, va apărea un lacăt verde în bara de adrese.

De ce ai nevoie de un SSL/HTTPS

În prezent, utilizarea unui SSL reprezintă o necesitate. Aceasta asigură că datele transmise sunt autentice, integrale și sigure de interceptare.

Folosind această tehnologie de criptare, faci mai mult decât să protejezi date sensibile ale vizitatorilor sau clienților tăi. Prin acest fap, îi încurajezi să aibă încredere în tine.

Conform unei statistici SSL Pulse, în luna mai a anului 2019, peste 67% dintre website-uri au prezentat o astfel de securizare.

Un lucru important de reținut este faptul că existența unui SSL/HTTPS este un factor de rankare și ajută la plasarea cât mai sus a paginilor în motorul de căutare Google. 

În plus, Google Chrome marchează site-urile web care au o conexiune HTTP ca fiind nesigure prin afișarea unui mesaj în bara de adrese. Nu este vorba doar despre SEO, ci este și despre reputația unei afaceri sau a unui proiect.

Care sunt atacurile de la care te poate salva un SSL?

În timp ce criptarea SSL/TLS devine standardul pentru asigurarea unei conexiuni sigure pe internet, practicile răuvoitoare înfloresc și ele.

Obiectivul lor sunt datele sensibile, confidențialitatea, concurența neloială, proprietatea intelectuală ș.a. Conform statisticilor, costurile medii ale încălcărilor de date vor depăși 150 milioane dolari americani până în 2020.

Atacurile The Man in the Middle (MITM) sunt unele dintre cele mai frecvente atacuri cibernetice din prezent. Căutând puncte slabe în rețea sau obținând acces la cheile SSL, atacatorii pot monitoriza și asculta comunicarea dintre cele două părți.

Atacatorii pot, de asemenea, să fure o cheie root și să emită propriile certificate. Dacă certificatul nu este confirmat la un CA de încredere, apare riscul unei astfel de exploatări.

Un cyber-atac mai sofisticat este Advanced Persistent Threat (APT) care folosește un malware pentru a fura cheile și certificatele SSL.

Pentru a preveni situații ireversibile, trebuie să ne asigurăm că partea afectată să fie anulată și înlocuită cu noi certificate și chei.

Un element care joacă un rol foarte important este data de expirare. Trebuie acordată o mare atenția ca atunci când se apropie termenul limită, certificatul să fie reînnoit la timp.

Cum se poate obține un certificat SSL?

Un certificat SSL poate fi obținut gratuit sau prin plata unei sume de bani către o autoritate. În funcție de tipul de găzduire – shared, dedicat, VPS sau oricare altul, procesul de instalare variază.

Furnizorul de web hosting ar trebui să ofere instrucțiuni detaliate și să ofere sprijini în timpul procesului. Unii chiar au automatizat procesul, astfel încât totul se poate face prin câteva clickuri.

Dacă îți găzduiești domeniul singur, modalitatea de a parcurge acest proces este să cumperi certificatul și să-l instalezi singur. Acest proces necesită mai întâi descărcarea fișierelor de certificare local și configurarea serverului pentru a-l utiliza.

Dacă în adresa website-ului apare „https”, conexiunea este securizată.

Care este diferența dintre SSL și TLS?

Practic, Secure Socket Layer (SSL) este predecesorul Transport Layer Security (TLS). TLS abordează vulnerabilitățile actuale și oferă o criptare mai sigură. Este mai bine să te gândești la TLS ca la o îmbunătățire a protocolului criptografic SSL în loc să încerci să descoperi care este mai bun dintre cele două.

Ce trebuie să faci înainte de a cumpăra un SSL

Înainte de a cumpăra un certificat SSL, cercetează pentru a lua o decizie informată. Poți compara criterii precum:

1. Tipul de criptare oferit
2. Compatibilitatea față de browsere
3. Cât de rapid va fi eliberat certificatul
4. Instrumente gratuite de gestionare
5. Suport 24/7
6. Opțiunea de a anula certificatul gratuit
7. Returnarea banilor garantată

Sperăm că ai înțeles ce este un SSL și de ce ai nevoie de unul. Vânzarea anumitor tipuri de date furate poate fi extrem de profitabilă în zilele noastre. Clienții știu asta și nu își vor oferi datele decât dacă sunt protejați.

Dacă deții un website, găsește un furnizor de încredere care oferă un astfel de certificat sau apelează la firma de la care ai găzduirea web. Este una dintre cele mai bune alegeri pentru pentru orice proiect sau afacere online.