HTTPS

botond küldte be 2018. 08. 11., szo - 11:44 időpontban

A HTTPS egy kiterjesztése a HTTP (Hypertext Transfer Protocol) protokollnak, amely titkosított kapcsolatot biztosít a webkiszolgáló és a kliensek között. A HTTPS is a HTTP protokollt használja alapértelmezetten a szerver 443-as TCP portján, ellentétben a titkosítatlan HTTP alap protokollal, amely rendszerint a 80-as portot használja. A csatorna titkosítása TLS vagy SSL rétegek közbeiktatásával történik, ezért ezek az elnevezések is elterjedtek, hogy HTTPS over TLS vagy HTTPS over SSL.

 

 

A HTTPS legfontosabb funkciója az elérni kívánt weboldal hitelesítése és az adatforgalom titkosságának és sértetlenségének biztosítása a kommunikáció ideje alatt. Megvédi a csatornát a man-in-the-middle típusú támadásoktól, továbbá a kétirányú titkosítás megakadályozza a lehallgatást és a kommunikáció meghamisítását.

Eredetileg a HTTPS kapcsolatokat elsősorban a weben zajló fizettetési tranzakciók adatainak titkosítására, az emailek és az érzékeny vállalati információs rendszerek védelmére használták, azonban napjainkban már egyre szélesebb körben használják a webmesterek weboldalaik hitelesítésére és felhasználóik adatainak védelmére.

A HTTPS URI (Uniform Resource Identifier) sémája a HTTP-vel azonos szintaxist használ, azonban a HTTPS jelzi a böngészőnek, hogy használjon egy hozzáadott titkosítási réteget (SSL/TLS) a csatorna adatforgalmának védelmére. Ezt a böngésző címsorában lévő webcím https:// kezdődésről ismerhetjük meg.

Napjainkban az interneten egyre fontosabb szerepet játszik az SSL használata. Például a keresőóriások keresőalgoritmusaiban is plusz pontnak számít, ha egy webhely HTTPS kapcsolaton érhető el, valamint a webböngészők is egyre inkább pozitív figyelemfelkeltéssel jelenítik meg az SSL-el rendelkező weboldalakat, például zöld lakat, zöld sáv, stb.

 

Kétkulcsos titkosítás

A HTTPS a kétkulcsos titkosítás elvén működik, ami annyit jelent, hogy a webkiszolgálón létrehoznak egy privát és egy nyilvános kulcsot, amik egy matematikai eljárással létrehozott hosszú számsorokból állnak. A privát kulcsot titkosan őrzik a szerveren, míg a nyilvános kulcs bárki számára hozzáférhető a weboldalon keresztül. Ezután amit az egyik kulccsal titkosítanak, az csak a kulcspár másik tagjával fejthető vissza. Így oldható meg, hogy mindkét irányban működhessen a titkosítás. Mivel titkosító kulcsokat bárki tud készíteni, így ennek az eljárásnak csak annyi szépséghibája van, hogy nem lehetünk biztosak benne, hogy a titkosított adatcsomagot ki állította össze, ezért a webhely hitelessége megkérdőjelezhető. Erre a célra vannak a tanúsítványokat kiállító hatóságok, vagy tanúsítóhelyek.

 

Tanúsítóhelyek

Az SSL tanúsítványokat kibocsájtó hatóságok, azaz a Certificate Authority-k (CA-k) feladata, hogy a szerverek üzemeltetői által elkészített titkosító kulcspár nyilvános kulcsát hitelesítsék, majd visszajuttassák a kérelmezőnek, amit a rendszergazdák ezután elhelyeznek a szerver megfelelő helyén, ahonnan a webböngészők ki tudják olvasni az adott webhely hitelességének ellenőrzése érdekében.

Ezeknek az SSL tanúsítványoknak a kiállítása általában pénzbe kerül, de vannak ingyenes CA-k is. A kiállított SSL tanúsítványok több kategóriába sorolhatók, például:

Domain ellenőrzött (DV) SSL

Ezek a legolcsóbb SSL tanúsítványok (Domain Validated SSL), többnyire csak egy domain név hitelesítésére szolgálnak. Ezekben legtöbbször bele van foglalva a www aldomain hitelesítése is.

Wildcard SSL

Ezzel a fajta SSL-el a domain név összes aldomain nevét hitelesítik (*.domain.tld). Többnyire vállalati rendszereknél veszik igénybe, ahol a vállalati domain név sok aldomainnal rendelkezik. Ezek drágábbak az alap SSL-nél.

SAN SSL

Ezzel az SSL típussal (Subject Alternate Name) egyszerre több domain nevet hitelesítenek egyetlen tanúsítvánnyal. Így fajlagosan olcsóbban jön ki egyetlen domain név hitelesítése.

OV SSL

Az Organization Validation SSL-ek kiállításakor ellenőrzik a kérvényező cég néhány adatát, mint például székely, cég bejegyzés, stb.

EV SSL

Az Extended Validation SSL-ekkel pedig egy adott vállalat teljes körű hitelesítését biztosítják. Ezeknek az elkészítése általában több nap, vagy akár 1-2 hét is lehet. ilyenkor a tanúsítványt kiállító hatóság felveszi a kapcsolatot például telefonon vagy levélben a cég képviseletével, hogy személyesen ellenőrizhesse a cég létezését, valódiságát. Ezek az SSL-ek általában sokszorosába kerülnek az előzőeknek. Ennél a hitelesítési típusnál a böngészőkben a címsornál megjelenő zöld sáv, és benne a cég neve fémjelzi az adott weboldalt üzemeltető cég teljes körű hitelességét. Ilyen SSL-t általában a bankok weboldalain találhatunk, vagy a nagyobb, pénzügyekkel, pénzkezeléssel foglalkozó weboldalakon (pl.: PayPal), ahol nagyon fontos szerepet játszik az üzemeltető cég hitelessége és megbízhatósága. Az ilyen SSL tanúsítványok ára meghaladhatja akár az egy millió forintos éves díjat is, attól függően, hogy az adott csomag milyen hitelesítési eljárásokat tartalmaz. Általában ezeknek az SSL-eknek a presztízs értékük is nagyon magas.

Egyéb hitelesítő SSL-ek

És vannak még egyebek hitelesítésére szolgáló tanúsítványok is, mint például az emailek digitális aláírását biztosító tanúsítványok, amikkel például le lehet titkosítani a levelezést két fél között, vagy a szoftverfejlesztők számára elkészített tanúsítványok, amikkel a kiadott szoftvereket lehet digitálisan aláírni hogy a telepítéskor ne adjon biztonsági figyelmeztetést az operációs rendszer, stb.

 

 

A Nagyobb Certificate Authority-k

SSL tanúsítványok igénylését több helyen is le lehet adni, ezek közül néhány ismertebb kiállító cég: