TLS срещу SSL: Каква е разликата и как работи

Защитата на транспортния слой (TLS) е най-новата версия на протокола Secure Socket Layer (SSL). И двата протокола гарантират поверителност и автентичност на данните в интернет. Тези широко използвани протоколи осигуряват сигурност от край до край чрез прилагане на криптиране за уеб-базирана комуникация. Въпреки приликите между TLS и SSL обаче, те също имат значителни разлики.

Тази статия обяснява как работят протоколите за криптиране TLS и SSL, тяхното значение, как се различават и защо е подходящият момент да преминете към TLS протокол.

Историческият фон на TLS и SSL

Работната група за интернет инженерство (IETF), организацията, отговорна за разработването на интернет стандарти, публикува Искане за коментар (RFC-1984), признавайки важността на защитата на личните данни в нарастващия интернет. Netscape Communication Corporation въведе SSL за сигурна уеб комуникация, която претърпя множество надстройки.

Версията SSL 1.0 никога не е била пусната поради пропуски в сигурността, а SSL 2.0 е първата публична версия от Netscape през 1995 г. Въпреки това, поради уязвимости и недостатъци в сигурността, той беше заменен с друга SSL версия 3.0 през ноември 1996 г. Най-новата SSL версия също не се използва поради несигурността си срещу

Атака на ПУДЛИ през октомври 2014 г и беше официално оттеглен през юни 2015 г.

TLS беше пуснат през 1999 г. като независим от приложението протокол: надстройка до SSL версия 3.0, направена от Internet Engineering Task Force (IETF). Идеята беше да се внедри TLS през TCP за криптиране на приложения с помощта на FTP, IMAP, SMTP и HTTP протоколи. Например, HTTPS е сигурна версия на HTTP тъй като внедрява TLS, за да гарантира безопасна доставка на данни, като избягва промени в съдържанието и подслушване.

Основна работа на TLS/SSL протоколи

Комуникацията между страните (например браузър на вашия компютър и уебсайт) започва чрез идентифициране дали е ще включва TLS/SSL протокол или не, така че клиентът да може да посочи използването на TLS криптиране или от:

• Посочване на порт, който поддържа SSL комуникационно криптиране, или
• Чрез отправяне на специфични за протокола TLS заявки

Междувременно, уебсайтът изисква TLS/SSL сертификат инсталиран на неговия хостинг сървър, за да използва протокола. Доверена трета страна издава сертификата, който свързва публичния ключ към домейна, който притежава частния ключ и му позволява да криптира/декриптира комуникацията.

След като се съгласи да използва TLS/SSL за комуникация клиент-сървър, той пристъпва към извършване на ръкостискането. Ръкостискането установява спецификациите, необходими за обмен на съобщения. Следващият раздел обобщава поредицата от обмен на информация за активиране на TLS/SSL връзка:

1. След това страните се договарят за версията на протокола, която ще използват
2. След това решава криптографските алгоритми или шифровия пакет, който да използва
3. Удостоверява комуникиращите страни с техния публичен ключ и цифрови подписи на издаващия сертифициращ орган, след което
4. Разменя ключове за сесия, които да се използват по време на комуникация. Протоколите TLS и SSL използват асиметрична криптография за генериране на споделени (публични) и частни ключове.

Ако браузърът не може да потвърди сертификата TLS/SSL, той връща грешка „Връзката не е частна“.

След установяване на метода за декриптиране по време на ръкостискането, протоколът за запис използва симетрично криптиране за комуникация за цялата сесия. Освен това протоколът за запис също добавя съобщението с HMAC за TLS и MAC за SSL, за да гарантира целостта на данните.

Следователно протоколите постигат три основни цели на сигурността:

• Поверителност: Криптира данните, за да ги скрие от трети страни, така че само целевият получател да може да види съдържанието.
• Интегритет: Прилага код за удостоверяване на съобщението, за да провери съдържанието на криптирано съобщение.
• Удостоверяване: Удостоверява самоличността на уебсайта/клиента/сървъра с помощта на сертификат, за да гарантира, че страните, обменящи информация, не могат да се откажат от своята самоличност.

Каква е разликата между TLS и SSL?

Както споменахме по-рано, основната разлика, която забелязвате между двата протокола, е как те установяват връзки. TLS ръкостискането използва имплицитен начин за установяване на връзка чрез протокол, докато SSL прави изрични връзки с порт.

Независимо от всички други разлики, основната характеристика, която отличава и двете TLS/SSL връзки, е използването на шифров пакет, който решава цялостната сигурност на връзката.

Съществената част от TLS/SSL връзката е да се договори пакет от шифри, който дефинира набор от алгоритми за обмен на ключове, удостоверяване, групово криптиране и код за удостоверяване на съобщение, базиран на хеш (HMAC) или алгоритми за код за удостоверяване на съобщение, и т.н. за определена сесия. Всяка TLS/SSL версия поддържа различен набор от шифровки за комуникационната сесия. Следователно всеки шифров пакет поддържа свой собствен набор от алгоритми, които подобряват сигурността и цялостната производителност на връзката.

SSL	TLS
SSL е сложен протокол за прилагане.	TLS е по-опростен протокол.
SSL има три версии, от които SSL 3.0 е най-новата.	TLS има четири версии, от които версията TLS 1.3 е най-новата
Всички версии на SSL протокола са уязвими към атаки.	TLS протоколът предлага висока сигурност.
SSL използва код за удостоверяване на съобщението (MAC) след криптиране на съобщението за целостта на данните	TLS използва базиран на хеш код за удостоверяване на съобщението в своя протокол за запис.
SSL използва обобщена информация за съобщение, за да създаде главна тайна.	TLS използва псевдослучайна функция за създаване на главна тайна.

Защо TLS замени SSL?

TLS криптирането вече е стандартна практика за защита на уеб приложения или данни при преминаване от подслушване и подправяне. Нереалистично е да се приеме TLS като най-сигурния протокол, тъй като е бил податлив на нарушения като престъпност и Heartbleed през 2012 и 2014 г., но показа много подобрения по отношение на производителността и сигурност.

TLS заменя SSL и почти всички версии на SSL вече са остарели поради известните му уязвимости. Google Chrome е един такъв пример, който спря да използва версията SSL 3.0 още през 2014 г., а повечето съвременни уеб браузъри изобщо не поддържат SSL.

Използвайте TLS за криптирана комуникация

TLS помага за защитата на чувствителна информация при транспортиране, като данни за кредитни карти, имейли, глас през IP (VOIP), прехвърляне на файлове и пароли. Въпреки че и двата сертификата изпълняват задачата за криптиране на данни по време на пренос, те се различават по функционалност и не са оперативно съвместими.

Важно е да се отбележи, че TLS се нарича SSL само защото SSL е най-често използваната терминология и наличието на сертификат не гарантира използването на TLS протокола. Освен това не е нужно да се притеснявате за промяна на SSL към TLS сертификати, тъй като всичко, което трябва да направите, е да инсталирате сертификата на сървъра, тъй като той поддържа и двата протокола и решава кой да използвате.

7 причини вашият сайт да се нуждае от SSL сертификат

Няма значение дали разработвате скромен блог или пълен сайт за електронна търговия: имате нужда от SSL сертификат. Ето няколко практически причини защо.

Прочетете Следващото

За автора