Certyfikat SSL/TLS

Certyfikat SSL/TLS (Secure Sockets Layer/Transport Layer Security) jest cyfrowym zaświadczeniem, które służy do uwierzytelniania tożsamości witryny internetowej oraz włączenia szyfrowanego połączenia między przeglądarką użytkownika, a serwerem, na którym ta witryna jest hostowana. Można to rozumieć, jako cyfrowy odpowiednik dokumentu tożsamości, którym witryna internetowa legitymuje się w kontaktach z użytkownikami. Pełni kilka istotnych funkcji, w tym w szczególności zapobieganie podszywaniu się pod daną witrynę. Jest gwarancją, że odwiedzamy właściwy adres.

Działanie certyfikatu SSL/TLS opiera się na kryptografii klucza publicznego. W procesie uwierzytelniania i szyfrowania uczestniczą dwa klucze:

  1. Klucz publiczny: klucz ten jest dostępny publicznie i umieszczony w certyfikacie SSL/TLS. Służy do szyfrowania danych, które są przesyłane z przeglądarki użytkownika do serwera. Każdy może go pobrać i potencjalnie szyfrować dane, jednakże bez znajomości klucza prywatnego – nikt nie może ich odszyfrować.
  2. Klucz prywatny: klucz ten jest znany tylko właścicielowi witryny i przechowywany na serwerze. Służy do deszyfrowania danych, które zostały zaszyfrowane kluczem publicznym. Stanowi najpilniej strzeżoną tajemnicę właściciela certyfikatu i witryny. Jego wyciek grozi przejęciem możliwości uwierzytelniania i tworzenia bezpiecznego połączenia.

Proces nawiązywania bezpiecznego połączenia przebiega następująco:

  1. Przeglądarka łączy się z serwerem: użytkownik wpisuje adres witryny w przeglądarce lub klika link do witryny. Przeglądarka inicjuje połączenie z serwerem, na którym znajduje się strona.
  2. Serwer wysyła certyfikat: serwer przesyła do przeglądarki certyfikat SSL/TLS, który zawiera klucz publiczny oraz informacje o właścicielu witryny i urzędzie certyfikacji (CA – Certificate Authority), który wydał certyfikat.
  3. Przeglądarka weryfikuje certyfikat: przeglądarka sprawdza, czy certyfikat jest ważny, czy został wydany przez zaufany urząd certyfikacji i czy nazwa domeny w certyfikacie zgadza się z adresem witryny.
  4. Ustalenie szyfrowania: na podstawie tego, czy certyfikat jest zweryfikowany pozytywnie, czy nie, następuje ustalenie (bądź odrzucenie) protokołu szyfrowania pomiędzy przeglądarką a serwerem. Jeżeli z jakiegoś powodu weryfikacja wypadnie negatywnie – przeglądarka powinna ostrzec użytkownika o potencjalnym niebezpieczeństwie.
  5. Bezpieczna transmisja danych: od tego momentu wszystkie dane przesyłane między przeglądarką użytkownika a serwerem są szyfrowane za pomocą klucza publicznego serwera. Oznacza to, że osoby trzecie nie mogą przechwycić i odczytać tych danych. Użytkownik może wtedy ze spokojem logować się do witryny, czy dokonywać zakupu, wiedząc że nikt nie przejmie wpisywanych przez niego danych.

Zastosowanie SSL/TLS wiąże się więc ściśle z bezpieczeństwem komunikacji. Ale przekłada się również na reputację samej witryny. Witryny, które nie używają HTTPS mogą być oznaczane przez przeglądarki jako “niebezpieczne”, a te, które posiadają certyfikaty, budują zaufanie użytkowników. Posiadanie SSL