Kuidas veebi sirvimine veelgi turvalisemaks muutub?

Reklaam

Võrgus jagatava isikliku teabe hulk on hüppeliselt kasvanud alates 1994. aastast, kui alustati turvalise pistikupesa kihti (SSL).

Internet on pesta paroolidega Miks paroolid on ikka paremad kui paroolid ja sõrmejäljed?Kas mäletate, millal paroolid ei pidanud keerulised olema? Kui PIN-koode oli lihtne meelde jätta? Need päevad on möödas ja küberkuritegevuse risk tähendab, et sõrmejäljeskannerid on peaaegu kasutud. On aeg hakata pääsukoode kasutama ... Loe rohkem , krediitkaardi andmed ja Internetipanga andmed 6 levinud mõistuse põhjust, miks peaksite internetipanka panema, kui te pole veel seda [arvamus]Kuidas teie pangandusega tavaliselt hakkama saate? Kas sõidad oma panka? Kas ootate pikkade ridadena vaid ühe tšeki deponeerimiseks? Kas teile saadetakse igakuiseid paberväljavõtteid? Kas sa annad need ära ... Loe rohkem . Turvalisuse ja privaatsuse eest täname SSL-sertifikaate. Kuid olete ilmselt kuulnud hiljutistest vigadest, mis on kahandanud teie usaldust krüptoprotokolli vastu.

Õnneks on SSL kohandumas, seda täiustatakse ja asendatakse, et pakkuda teile paremat meelerahu. Siit saate teada, kuidas.

Mis on SSL ikkagi?

Alustame sellest mis täpselt on SSL Mis on SSL-sertifikaat ja kas te seda vajate?Interneti-sirvimine võib olla hirmutav, kui tegemist on isikliku teabega. Loe rohkem .

SSL-sertifikaadid on digitaalsed autoriseerimisdokumendid, mida võib hankida organisatsioon või isik, kes haldab saiti, mis tegeleb tundliku teabega. See tagab andmete turvalise transportimise veebiserveri ja brauseri vahel, et seda teavet pole kinni hoitud ja selle allikad on ehtsad.

Vaadake näiteks Amazoni. Vaadake URL-i ja tüüpilise hüperteksti edastusprotokolli (HTTP) aadressi asemel peaksite just see olema suunati ümber HTTPS-i Mis on HTTPS ja kuidas turvalisi ühendusi vaikimisi lubadaJulgeolekuprobleemid levivad kaugele ja laialdaselt ning on jõudnud enamiku kõigi tähelepanu keskpunkti. Sellised mõisted nagu viirusetõrje või tulemüür pole enam võõras sõnavara ja neid mitte ainult ei mõisteta, vaid kasutatakse ka ... Loe rohkem - see täiendav S tähendab, et see on turvaline link HTTPS kõikjal: kui võimalik, kasutage HTTP asemel HTTPS-i Loe rohkem , ja saidi kaudu saate üksuste eest maksta. Hotmail, WordPress ja isegi Tumblr kasutavad SSL-sertifikaate.

See sobib suurepäraselt nii tarbijale (kes teab, et tema andmeid koheldakse vastutustundlikult) kui ka müüjale (kes mitte ainult ei saa ostjate usaldusest kasu, vaid saab ka Google'i kõrgema koha).

Kuid miski pole eksimatu ja seda kinnitavad ka mõned viimase aasta jooksul avastatud SSL-i puudused. Õnneks on veebibrauser taas turvalisemaks muutumas ...

TLS täiendused

Võib-olla olete näinud SSL-i ja transpordikihi turvalisust (TLS) vaheldumisi kasutamas ja ehkki erinevused on ehk väikesed, on need siiski tähelepanuväärsed.

Mõlemad kasutavad sama andmete krüptimise süsteemi ja enne selle ühenduse loomist suhtlevad sertifikaadiasutusega (CA). TLS on siiski SSL-i õigusjärglane, seega on mõistlik, et TLS oleks turvalisem. Tõepoolest, selle kolm kehastust - TLS 1.0, 1.1 ja 1.2 - tõrjuvad välja mõned SSL-meetodi leitud nõrgad kohad.

TLS 1.3 on olemas juba alates 2008. aastast, kuid kuna varasemate versioonide vigu peeti nii minimaalselt, ei mõjutaks need reaalse maailma olukordi, selle mass on võtnud alles üsna hiljuti rakendamine. Tegelikult, tagasi 2013. aastal, ilmnes, et isegi Riiklik Julgeolekuagentuur (NSA) ei olnud suunatud TLS-i protokolle käitavatele domeenidele, kuna nii vähesed seda tegelikult kasutasid. Nüüd on PCI Julgeolekunõukogu mandaat sundinud aga uuendama kõiki saite, mis edastavad või töötlevad kaardiomanike andmeid.

Veelgi enam, kõik suuremad brauserid - Google Chrome, Microsoft Edge, Safari, Firefox ja Opera - toetavad vaikimisi TLS 1.2, nii et krüptimistaseme tagavad mõlemad pooled. Pange siiski tähele, et mandaat näib kehtivat ainult makse üksikasjade, mitte sisselogimisandmete kohta.

Krüptimine kõikjal

Sertifikaatide täiendamine on kasulik ainult siis, kui see on laialdaselt kasutusele võetud, ja see pole nii. Kõik e-kaubanduse saidid vajavad turbepraktikat ja enamikul peaks tõesti olema SSL või TLS. Paljud tuginevad kolmandate osapoolte makse töötlejate, näiteks PayPali, kaitsele (see näib olevat sisselõige) PCI Julgeolekunõukogu mandaat), kuid kui sait aktsepteerib privaatset teavet, peaks see kasutama turvalist kihti.

Kui teie ühendus pole privaatne, saavad häkkerid hankida sisselogimisel andmeid, sealhulgas e-posti aadressi ja parooli. Ja kuna enamik inimesi kipub kasutage samu paroole Paroolide häkkimiseks kasutatud 7 levinumat taktikatMis tuleb meelde, kui kuulete "turvarikkumist"? Pahatahtlik häkker? Mingi keldrikorruseline laps? Reaalsus on vaid see, et vaja on parooli ja häkkeritel on oma moodustamiseks 7 võimalust. Loe rohkem mitmel saidil (vaatamata kõigile hoiatustele 7 parooliviga, mis võib teid tõenäoliselt häkkida2015. aasta halvimad paroolid on avaldatud ja need on üsna murettekitavad. Kuid need näitavad, et nõrkade paroolide tugevdamine on vaid kriitilise tähtsusega - vaid mõne lihtsa näpuga. Loe rohkem ), see võib olla elutähtis teave.

Sellegipoolest ei võta paljud saidid SSL-protokolle, kuna see võib olla kulukas ja keeruline. Sellesse kohta jõuab Symanteci programm Krüptimine kõikjal.

Ameerika turvafirma pakub freemium-teenust, mille käigus sertifikaat hangitakse täiesti tasuta, versiooniuuendused (näiteks pahavara skaneerimine) on saadaval tasuta. Partnerlus hostimisettevõtetega võtab keerukuse saidi administraatorite käest välja, samal ajal kui automatiseeritud värskendused lihtsustavad edasiste haavatavuste kõrvaldamist.

Selle eesmärk on saada 2018. aastaks 100% turvakiht, seega loodame, et enamus saite võtab selle varsti vastu.

Krüptime

Aga oota! Symantec pole ainus, kes pürgib veebis SSL / TLS krüptimiseks.

Tundub, et Let’s Encrypt sõidab viimaste vigade lainel; 2015. aasta detsembris avalikkusele käivitatud projektil on juba arvukalt suuri rahvusvahelisi sponsoreid, sealhulgas Google Chrome, Mozilla, Facebook, Shopify, YunPian ja Akamai. Internetiturbe uurimisrühma (ISRG) hallatav Let’s Encrypt on sellest kuust välja andnud enam kui 5 miljonit sertifikaati ja prognoosib selle aasta lõpuks 50% HTTPS-i lehe laadimist.

Miks on Let’s Encrypt populaarseks osutunud? Kuna see on tasuta ja automatiseeritud, tähendab see, et saitidel on sertifikaatide ja versiooniuuenduste saamine uskumatult lihtne.

Algatus algab uue privaatvõtme paariga ja CA domeeni omaniku tõendiga; Kui seda on automatiseeritud sertifikaadihalduskeskkonna (ACME) abil kontrollitud, saab saidi tarkvara allkirjastada sertifikaadihaldussõnumid koos võtmega sertifikaatide uuendamiseks ja kehtetuks tunnistamiseks või nende jaoks uute loomiseks domeen.

Andsime just välja oma 5 miljoni tunnistuse!

- Krüpteerime (@letsencrypt) 17. juuni 2016

Let’s Encrypt on vaieldamatult kõige tuntum tasuta sertifikaate pakkuv projekt ja nende suuremate programmide vahel näib see kindlasti olevat usaldusväärne põhjus.

Lähenemine

Võib-olla olete SSL-sertifikaatide pärast pettunud.

Nende maine on viimastel aastatel kahjustatud: enamikul on vähemalt nii kuulnud Heartbleedist Südameveeb - mida saate teha, et turvaliselt püsida? Loe rohkem , avatud lähtekoodiga krüptograafiateegi OpenSSL haavatavus, mis võimaldab häkkeritel lugeda krüptimata teavet. Südameveritsus mõjutas paljusid teenuseid Kaevamine läbi hüpe: kas südameveeb on kedagi tegelikult kahjustanud? Loe rohkem , aga see oli kaks aastat tagasi Viis teie privaatsuse rikkumist 2014. aastal, mille olete võinud kahe silma vahele jätta2014. aastal kuulsuste kuulsuste eraelus, aastal aastal, mil tähelepanu keskpunktis säras ka üldsus, ilmus arvukalt publikatsioone. Kas me saame nendest rikkumistest midagi õppida? Loe rohkem ja parandus on saadaval. Aga siis eelmisel aastal seal oli Superfish Lenovo sülearvuti omanikud olge ettevaatlikud: teie seade võib olla pahavara eelinstallidaHiina arvutitootja Lenovo on tunnistanud, et 2014. aasta lõpus poodidesse ja tarbijatele tarnitud sülearvutites oli pahavara eelinstalleeritud. Loe rohkem , pahavara, mis muutis HTTPS-i teemasid; ka see on paigatud Superkala pole veel tabatud: SSL kaaperdamine on seletatudLenovo Superfishi pahavara tekitas ärritust, kuid lugu pole sellega lõppenud. Isegi kui eemaldasite reklaamvara arvutist, on sama haavatavus ka teistes veebirakendustes. Loe rohkem .

Ja see ei piirdu ainult teie arvutiga: teie See mõjutab nutitelefonide rakendusi 1000 iOS-i rakenduses on halvustavat SSL-i viga: kuidas kontrollida, kas olete mõjutatudAFNetworkingu tõrge tekitab iPhone'i ja iPadi kasutajatele probleeme, kuna 1000 rakendust kannavad haavatavust SSL-sertifikaatide korrektne autentimine, mis hõlbustab identiteedivargusi keset inimest rünnakud. Loe rohkem ka SSL-i puuduste poolt.

Lähenemine on siis brauseri lisandmoodul, mida paljud ajavad segamini SSL-sertifikaate asendava süsteemiga; rohkem kui midagi muud, kuigi see on asutuste järgmine etapp. Põhimõtteliselt pöördub lähenemine selle poole, et usaldada ühe saidi autentsuse tagamise eest CA notariteenused saidi turvalisuse kinnitamiseks.

Külastate HTTPS-i aadressi. Peamisi tulemusi on kolm: kõik notarid nõustuvad, et see on turvaline; sellisel juhul kasutate saiti; kõik pole nõus, kuid võite minna enamusega tagasi või lükata sait tagasi, kuna te ei usalda seda notarites teha maksma selle eest; või äärmisel juhul nõustub enamik või kõik notarid, et seda ei usaldata. Nii pole ühtegi ebaõnnestumise punkti.

Mõelge sellele nii: see on arvamuste lähenemine küsimusele, kas kasutaja saab HTTPS-i usaldada.

Kuidas saab Internet turvalisemaks?

Miks nimetame neid ikkagi SSL-sertifikaatideks? Kindlasti peaksid need olema TLS-i sertifikaadid? #ssl#tls#MostBrowsersDontDoSSLAnymore

- Chris Pont (@chrispont) 7. juuni 2016

Pähklikoores: saitide autentimiseks mõeldud SSL-sertifikaate uuendatakse TLS-i, mis on kõige olulisem makseteavet käsitlevates domeenides nagu PayPal. Need võetakse kasutusele massiliselt, mille eesmärk on lähiaastatel kasutada 100% HTTPS-i. Ka CA-sid hinnatakse ümber ja lisandmoodul Konvergents näib olevat kindel etapp saidi usaldusväärsuse kontrollimiseks, tuginedes notarite nõusolekule.

Kas need meetmed annavad teile uuesti usku SSL-i? Kas sina tunnetama kas sisestate makse üksikasjad Internetis turvaliselt? Milliseid täiendavaid turvaprotokolle soovite laialdaselt rakendada?

Pildikrediidid: Christiaan Coleni HTTPS (WeTransfer); ja Seps MacEntee https.