SSL-протокол: что это, как работает соединение и шифрование

В этой статье для простоты мы будем использовать привычный многим термин SSL. Однако сегодня повсеместно применяется его более новая и безопасная версия — протокол TLS (Transport Layer Security). Фактически, когда речь идет о защищенном соединении в современном интернете, почти всегда подразумевается именно TLS.

Поэтому, встречая в тексте «SSL», вы можете смело читать это как «современный TLS». А при настройке своих сервисов стоит выбирать поддержку актуальных версий TLS 1.2 и TLS 1.3.

SSL — это протокол, который работает как защитный слой между вашим браузером (или другим приложением) и интернет-соединением. Его основная задача — создавать зашифрованный «туннель» для данных. Для этого он решает сразу несколько важных задач: 

• Шифрование данных — информация, которая передается от браузера к серверу, преобразуется в нечитаемый вид с помощью используемых в конкретном соединении криптоалгоритмов.

• Аутентификация сторон — SSL помогает клиенту удостовериться в подлинности сервера с помощью цифровых сертификатов. 

• Целостность данных — протокол защищает от изменений во время передачи. 

• Защита от атак «человек посередине» (MITM) — протокол снижает риски вмешательства злоумышленников в процесс передачи данных.

• Предотвращение утечек чувствительной информации — логины, пароли, платежные данные и другие конфиденциальные сведения передаются по защищенному каналу. 

SSL-протокол и SSL-сертификаты часто упоминаются в связке, но это разные сущности с разными задачами. Чтобы понять отличие, немного углубимся в понятия. 

SSL-протокол не работает без сертификата. При установке защищенного соединения сервер предъявляет сертификат, браузер проверяет его, после чего начинается обмен данными. Если сертификата нет или он недействителен, протокол не сможет установить защищенное соединение. 

Процесс установления защищенного соединения начинается с рукопожатия. Этот этап позволяет браузеру и серверу проверить подлинность друг друга и договориться о параметрах безопасности. Как происходит рукопожатие:

• Клиент, он же браузер, инициирует соединение и отправляет серверу сообщение с версиями SSL/TLS и криптографическими алгоритмами, которые поддерживает. Также он передает случайное число.

• Сервер принимает запрос, выбирает подходящие параметры шифрования и передает клиенту в ответ свой SSL-сертификат и открытый ключ. 

• Клиент, убедившись в подлинности сервера, генерирует и отправляет ему свои параметры для создания общего секретного ключа, защищенные открытым ключом сервера (или используя другой метод обмена ключами).

• И клиент, и сервер, используя полученные данные, независимо вычисляют один и тот же общий секретный ключ (сеансовый ключ), который будет использоваться для симметричного шифрования.

• Клиент отправляет серверу тестовое сообщение, зашифрованное по согласованному методу. Сервер расшифровывает его.

Если не возникает проблем, стороны завершают рукопожатие и переходят к безопасному обмену данными.

SSL использует два типа шифрования: 

• Асимметричное шифрование применяется в начале соединения для проверки подлинности сервера (с помощью сертификата) и для безопасного согласования секретного кода между браузером и сервером. Непосредственно для шифрования ваших данных (логинов, паролей) этот метод не используется, так как он медленный.

• Симметричное шифрование используется для защиты основного потока данных. Тот самый общий секретный код, который согласовали стороны, применяется как ключ для быстрого шифрования и расшифровки всей последующей информации. 

Сегодня, говоря о SSL, имеют в виду его усовершенствованную версию — TLS (Transport Layer Security). 

Первая версия TLS 1.0 появилась в 1999 году в качестве обновления SSL 3.0. Протокол сохранил логику SSL, но получил более строгие стандарты безопасности и улучшенную криптографию. 

В 2006 году появился TLS 1.1. В этой версии предусмотрена защита от атак на CBC-режимы шифрования и блоки данных. В 2008 году появился TLS 1.2, где запретили устаревшие хеш-функции MD5 и SHA-1 и заменили их на SHA-256. Также был оптимизирован алгоритм согласования методов шифрования при защищенных соединениях.  

Актуальная версия протокола — TLS 1.3. В ней сократили количество этапов рукопожатия, за счет чего безопасное соединение устанавливается быстрее. Также был оптимизирован набор используемых криптоалгоритмов.

Все сертификаты позволяют защищать конфиденциальную информацию. Разница между ними в сложности проверки, которую компания проходит перед получением документа. Также тип SSL-сертификата влияет на уровень доверия пользователей.

Какие бывают сертификаты:

При выборе сертификата учитывайте задачи веб-ресурса. Для личных проектов, тестовых и внутренних ресурсов достаточно бесплатного DV-сертификата. Компаниям, которые работают с персональными и платежными данными, нужны коммерческие сертификаты. 

Сначала определитесь, какой сертификат нужен — бесплатный или коммерческий. Бесплатные предоставляют такие сервисы, как ZeroSSL и Let’s Encrypt. Срок действия — 30 дней (ранее составлял 90 дней), что требует надежной автоматизации продления. 

Платные выдают доверенные центры сертификации. Российским компаниям из-за санкций сложнее их получить на зарубежных сервисах, поэтому можно рассмотреть локальные варианты. Рассказываем, как компании получить сертификат и установить его. 

Как получить SSL-сертификат

В текущих условиях одним из международных центров сертификации, предоставляющих сертификаты для российских доменов, является GlobalSign. Также можно обратиться в аккредитованные российские удостоверяющие центры.

Процесс получения сертификата зависит от выбранного типа цифрового документа и центра сертификации. Опишем общий алгоритм:

• Заполните заявку на получение SSL-сертификата. Укажите доменное имя, адрес электронной почты, название организации, юридическую и географическую информацию, метод валидации. Также сгенерируйте закрытый ключ, который понадобится для установки сертификата. Это можно сделать с помощью криптографического пакета OpenSSL. 

• Пройдите процесс валидации. Для получения сертификата DV подтвердите домен через DNS-запись, email или размещение файлов на сервере. Если нужны OV или EV, центр сертификации будет проверять владение доменом и юридические данные. Представители могут отдельно запросить дополнительные документы или выписку из реестра. 

• Получите сертификат и установите его на сервер. Это нужно делать с помощью закрытого ключа, который вы создали на этапе запроса CSR.

Установка сертификата

Разберем установку на веб-сервере Apache. Скопируйте файлы сертификата и закрытого ключа на сервер, например, в /etc/ssl/. Откройте конфигурационный файл виртуального хоста Apache, например, /etc/apache2/sites-available/example.conf. Затем добавьте следующие строки: 

После изменений перезапустите веб-сервер командой sudo systemctl restart apache2. Проверьте в браузере, корректно ли работает сайт.

Перейдем к установке на Nginx. Алгоритм аналогичный — скопируйте сертификат и ключ на сервер в /etc/nginx/ssl/. Настройте блок server для HTTPS в файле /etc/nginx/sites-available/example:

Проверьте конфигурацию командой sudo nginx -t и перезапустите веб-сервер — sudo systemctl restart nginx.

При установке сертификата критически важно обеспечить безопасность закрытого ключа. Храните его только на доверенных серверах с ограниченным доступом. Для безопасного управления ключами доступа к вашей инфраструктуре (например, SSH-ключами для администрирования) можно использовать специализированные сервисы. Evolution SSH Key от Cloud.ru позволяет централизованно хранить, распределять и контролировать SSH-ключи в облачном каталоге, что повышает общий уровень безопасности. 

Нужно убедиться, что сертификат установлен и работает. Это можно сделать разными способами: 

Следите за сроком действия сертификата. Не ждите, пока цифровой документ просрочится — начните заниматься продлением за 30 дней до окончания срока. Если боитесь забыть, используйте специальное программное обеспечение, которое взаимодействует с центром сертификации и позволяет автоматически продлить сертификат. Например, этот вариант работает с Let's Encrypt.

SSL помогает обеспечить безопасность данных в интернете путем их передачи в зашифрованном виде. Чтобы это работало, приобретите и настройте SSL-сертификат. Его наличие повышает доверие пользователей к сайтам, снижает риски утечки, улучшает позиции в поисковой выдаче. 

Следите за сроком действия сертификата, иначе сайт останется без защиты. Не забудьте настроить редирект с HTTP на HTTPS, чтобы пользователи попадали на безопасный веб-ресурс.