94Научные междисциплинарные исследования
4. Bhasker A. What is automata theory? [Electronic resource] / A. Bhasker // Quora. - Quora Inc., 2020. - URL: https://www.quora.com/What-is-automata-theory (access date: 02.02.2020).
5. Поспелов Д. А. Логические методы анализа и синтеза схем / Д. А. Поспелов. - М. : Энергия, 1964 - 320 с.
6. Пупырев Е. И. Перестраиваемые автоматы и микропроцессорные системы. - М. : Наука, 1984. - 192 с.
УДК 004
Панов Михаил Александрович Panov Mikhail Alexandrovich
к.э.н., доцент кафедры информационных технологий и статистики Ph.D., Associate Professor of the Department of Information Technologies
Посохин Александр Евгеньевич Posokhin Alexander Evgenievich
Магистрант Undergraduate
Уральский технический институт связи и информатики Ural Technical Institute of Communications and Computer Science
СЕРТИФИКАТЫ SSL
SSL CERTIFICATES
Аннотация. SSL сертификаты позволяют обеспечить безопасное соединение между веб-сайтом и конечным пользователем. Существуют различные виды сертификатов. платные и бесплатные, для одного домена и для нескольких, дорогие и более дешевые. У неподготовленного пользователя при выборе сертификата может возникнуть множество вопросов, ответы на которые вы, возможно, найдете в данной статье.
Abstract: SSL certificates enable a secure connection between a website and the end user. There are different types of certificates: paid and free, for one domain and for several, expensive and cheaper. A trained user, when choosing a certificate, there may be many questions, the answers to which you may find in this article.
VIII Международная научно-практическая конференция
Ключевые слова: безопасность, SSL, TLS, HTTPS, виды сертификатов, Интернет, WildCard, LetsEncrypt
Keywords: security, SSL, TLS, HTTPS, types of SSL certificates, Internet, WildCard, LetsEncrypt.
Невозможно представить современный интернет без SSL сертификатов. Они позволяют безопасно пользоваться Интернет-банком, покупать товары в интернет-магазинах. Использование SSL позволяет пользователю веб-ресурса убедиться, что передаваемые данные (например, данные банковской карты) не будут подсмотрены либо изменены третьей стороной, а веб-сайт откроется именно в том виде, в котором задумывал его разработчик.
Протокол SSL (secure socket layer) был разработан компанией Netscape как протокол, обеспечивающий безопасную передачу данных при использовании таких протоколов как: HTTP, FTP, POP3, IMAP и так далее [1]. В настоящее время протокол SSL является устаревшим и небезопасным, поэтому ему на смену пришел протокол TLS (Transport layer security). Несмотря на это, название SSL прижилось лучше, поэтому эта аббревиатура до сих пор используется наравне с TLS.
В настоящее время зашифрованные соединения с веб-сайтами по протоколу HTTPS получают все большее распространение в Интернете. Многие пользователи привыкли проверять наличие «замочка» в адресной строке браузера при вводе каких-либо персональных данных. Компания Google стимулирует веб сайты использовать защищенный протокол, понижая позицию небезопасных сайтов в поисковой выдаче. Кроме того, в настоящее время существуют сервисы, такие как LetsEncrypt, позволяющие получить SSL сертификат абсолютно бесплатно, что делает переход веб-сайта на HTTPS более простым для разработчика [2].
Все SSL-сертификаты используют одинаковые методы защиты данных. Применяются ассиметричные методы шифрования (создаются два ключа: открытый и закрытый). С помощью открытого ключа шифруются данные, расшифровать которые возможно только зная соответствующий закрытый ключ.
84
Научные междисциплинарные исследования Каждый SSL сертификат содержит множество информации: дата выдачи и дата
окончания сертификата, серийный номер, название и местоположение центра
сертификации, выдавшего сертификат, а также открытый ключ. Существует
несколько видов SSL сертификатов, которые отличаются уровнем надежности,
требованиями к веб сайтам, количеством доменов, которые можно использовать,
а так же стоимостью.
Типы сертификатов.
Сертификаты можно разделить на несколько типов в зависимости от уровня надежности. Первый тип - это сертификаты с проверкой домена (Domain Validation). Они отлично подходят для небольших некоммерческих сайтов. Сертификат не содержит информации об организации и подтверждает только веб-сервер, обслуживающий сайт. При приобретении подобного сертификата требуется подтвердить владение доменом. Одним из способов подтверждения может служить переход по ссылке, отправленной на один из почтовых адресов вашего домена, например: administrator@domain.com. Для получения такого сертификата не требуется никаких документов, а сам процесс получения обычно занимает несколько минут [3].
Второй тип - это сертификаты более высокого уровня доверия, которые позволяют подтвердить организацию (Organization Validated). Такие сертификаты более надежны, поскольку помимо сервера, обслуживающего сайт, позволяют так же подтвердить регистрационные данные компании, владеющей веб-сайтом. Такие сертификаты выдаются только юридическим лицам. При покупке сертификата потребуется предоставить всю необходимую информацию о компании, после чего центр сертификации обязан проверить предоставленные данные. Регистрация сертификата может занимать несколько дней.
Третий тип - это сертификаты с расширенной проверкой (Extended Validation), которые считаются наиболее надежными [4]. Получить их могут только юридические лица, отличительной особенностью является то, что название компании, а так же ее местоположение, указывается в сертификате. Подобные сертификаты пользуются наибольшим доверием у пользователей, но
VIII Международная научно-практическая конференция и обладают самой высокой стоимостью. В основном используются крупными
компаниями, например, банками. Прежде чем выдать сертификат, центр
сертификации должен убедиться в том, что компания, получающая сертификат,
действительно существует, официально зарегистрирована, её офис существует,
а все указанные данные не придуманы. Оформление OV и EV сертификатов
потребует некоторых расходов для организации, но это позволит повысить
уровень доверия клиентов к организации в Интернете.
Четвертый тип - это самостоятельно подписанные SSL сертификаты, которые можно создать самостоятельно, используя любое программное обеспечение для генерации криптографических ключей, например, OpenSSL. Самостоятельно подписанный сертификат подойдет только для локального использования, например, в сети предприятия. Однако, вы не сможете использовать такой сертификат на своём веб-сайте, так как он не будет подписан промежуточным центром сертификации, а, следовательно, браузер пользователя не будет ему доверять и отобразит предупреждение о том, что сайт небезопасен
[5].
Сертификаты SSL также можно разделить в зависимости от количества используемых доменов. Первый тип - самый простой и позволяет использовать только один домен, например, domain.com.
Второй тип позволяет использовать несколько доменов, например: mybestdomain.com, mydomain.com и domain.com. Максимальное количество доменных имен, для которых можно выпустить сертификат, зависит от конкретного центра сертификации [4].
Третий тип - WildCard, позволяет покрыть домен и все его поддомены, например: domain.com, mail.domain.com, api.domain.com и так далее.
Цепочки сертификатов.
Для того, чтобы зашифровать данные, передаваемые между веб сервером и браузером пользователя, достаточно одного сертификата. Однако если зайти на любой защищенный веб сайт, например, google.ru, можно увидеть не один сертификат, а целых три. Почему так происходит? Всё дело в том, что при
Научные междисциплинарные исследования посещении веб-сайта браузеру необходимо убедиться не только в безопасности соединения, но так же и в том, что загружен именно запрошенный веб-сайт. Для этого требуется, чтобы третье лицо подтвердило подлинность сертификата. В качестве поручителя выступает центр сертификации. Каждый сертификат имеет цифровую подпись центра сертификации, которая гарантирует подлинность сертификата. Но можем ли мы доверять этому центру сертификации? Подлинность цифровой подписи может подтвердить ещё один центр сертификации. На самом деле, длина цепочки не ограничена тремя элементами. Главное, чтобы в ней оказался тот, кому может доверять пользователь [4].
Исторически сложилось, что ряд центров сертификации получили наибольшее признание области информационных технологий, поэтому было принято решение назвать их сертификаты корневыми и всегда доверять их цифровым подписям. Перечень корневых центров сертификации и их публичных ключей хранится на компьютере пользователя. Если цепочку подписанных сертификатов завершает корневой сертификат, то все сертификаты цепочки считаются подтвержденными.
Бесплатные SSL сертификаты.
Существуют так же сервисы, позволяющие бесплатно получить SSL сертификат для вашего домена. В качестве примера можно привести некоммерческую организацию Let's Encrypt, основанную в 2014 году. Главной целью проекта является создание более безопасного Интернета, уважающего конфиденциальность пользователей. Веб-сервис заработал в тестовом режиме в 2016 году и по состоянию на 2020 год представляет собой бесплатный, открытый и автоматизированный центр сертификации [2].
Процесс получения сертификата довольно прост для владельца веб сайта. Во-первых, многие хостинг провайдеры позволяют получить бесплатный сертификат Let's Encrypt за пару минут, используя панель управления. С этим может справиться даже не технически подкованный пользователь.
Во-вторых, более опытные пользователи могут установить необходимое программное обеспечение самостоятельно. Для этого на сервер требуется
VIII Международная научно-практическая конференция установить так называемое приложение-агент, которое называется CertBot. Приложение, прежде всего, подтвердит права на доменное имя, разместив проверочный файл по определенному пути на вашем сайте, например по адресу example.com/verify.txt. Затем агент создаст пару приватного и публичного ключей, зашифрует проверочный код, полученный от сертификационного центра Let's Encrypt, своим приватным ключом и отправит центру сертификации. Далее центр сертификации проверит правильность работы цифровой подписи, возможность скачать файл по требуемому адресу, а так же содержимое этого файла. После прохождения всех необходимых проверок, приложение-агент получит права на управление сертификатом для домена example.com [2].
Интересным моментом при использовании Let's Encrypt является то, что в отличие от других сертификационных центров, SSL сертификаты выдаются только на 90 дней, затем сертификат требуется выпускать заново. Для сравнения, другие СЦ выдают сертификаты сроком от одного года. Let's Encrypt объясняет это несколькими тезисами. Во-первых, по мнению компании, это позволяет снизить ущерб от скомпрометированных ключей шифрования, а также ошибочно выпущенных сертификатов. Во-вторых, это поощряет к автоматизации, которая необходима для простоты использования защищенного протокола HTTPS.
Let's Encrypt является некоммерческой организацией, поэтому не предоставляет никаких гарантий и не выплачивает никаких денежных компенсаций в случае утечек данных. Продукт отлично документирован, поэтому не оказывает никакой технической поддержки. По состоянию на начало 2020 года насчитывается более 1 миллиарда выпущенных сертификатов [2]. Let's Encrypt отлично подходит для создания личного сайта, блога, промо страницы или небольшого форума. Для больших проектов рекомендуется покупать и использовать коммерческие SSL сертификаты от других центров сертификации.
Подмена данных, передаваемых через незащищенное соединение.
Научные междисциплинарные исследования
SSL сертификаты позволяют защититься от изменения страницы третьей
стороной при передаче по сети Интернет. В качестве примера, можно привести компанию «Мегафон», которая была замечена за вмешательством в незащищенный (HTTP) трафик пользователя. Пользователю, зашедшему на веб сайт, показывалась всплывающая реклама мегафона, которая отображалась поверх сайта [6].
Таким образом, использование SSL сертификата в настоящее время можно считать необходимым для каждого веб-сайта. Использование безопасного соединения позволяет защитить передаваемые данные, а также, позволяет пользователю убедиться в подлинности запрошенного веб-сайта. Благодаря таким сервисам как Let's Encrypt, даже небольшие веб-сайты могут получить бесплатный сертификат и стать безопаснее для пользователей.
Библиографический список:
1. SSL. [Электронный ресурс] - https://ru.wikipedia.org/wiki/SSL
2. Официальная документация Let's Encrypt. [Электронный ресурс] -https://letsencrypt.org/docs/
3. SSL-сертификаты бывают разные. [Электронный ресурс] -https://www.kaspersky.ru/blog/certificates-are-different/20227/
4. SSL-сертификаты: какой выбрать и как получить. [Электронный ресурс] - https://habr.com/ru/company/1cloud/blog/334278/
5. Зачем покупать SSL-сертификат. [Электронный ресурс] -https: //1 cloud.ru/blog/sozdat-ili-kupit-ssl
6. Мегафон вмешивается в HTTP трафик. [Электронный ресурс] -https://habr.com/ru/post/506218/
