Kiekvien\u0105 dien\u0105 nar\u0161ydami internete matote ma\u017e\u0105 spynel\u0117s ikon\u0105 nar\u0161ykl\u0117s adreso juostoje. Da\u017eniausiai \u012f j\u0105 nekreipiame d\u0117mesio, bet \u0161i ma\u017ea detal\u0117 yra viena svarbiausi\u0173 dalyk\u0173, u\u017etikrinan\u010di\u0173 j\u016bs\u0173 saugum\u0105 internete. U\u017e tos spynel\u0117s slypi SSL sertifikatas \u2013 technologija, kuri \u0161ifruoja duomenis tarp j\u016bs\u0173 kompiuterio ir svetain\u0117s serverio.<\/p>\n
SSL rei\u0161kia Secure Sockets Layer, nors \u0161iuolaikin\u0117je praktikoje da\u017eniau naudojama jo pagerinta versija TLS (Transport Layer Security). Ta\u010diau \u017emon\u0117s vis dar \u012fprat\u0119 sakyti SSL, tod\u0117l abu terminai da\u017enai vartojami kaip sinonimai. Pagrindinis \u0161ios technologijos tikslas paprastas \u2013 u\u017etikrinti, kad niekas negal\u0117t\u0173 perskaityti ar pakeisti informacijos, kuri keliauja tarp j\u016bs\u0173 ir svetain\u0117s.<\/p>\n
\u012esivaizduokite, kad siun\u010diate lai\u0161k\u0105 pa\u0161tu. Paprastas HTTP protokolas b\u016bt\u0173 tarsi atvirut\u0117 \u2013 bet kas gali perskaityti, k\u0105 para\u0161\u0117te. SSL\/TLS veikia kaip u\u017eklijuotas vokas su antspaudu \u2013 tik gav\u0117jas gali j\u012f atidaryti ir perskaityti turin\u012f.<\/p>\n
SSL sertifikat\u0173 veikimo pagrindas yra kriptografija, tiksliau \u2013 asimetrin\u0117 kriptografija. Skamba sud\u0117tingai, bet principas gana \u012fdomus. Kiekvienas SSL sertifikatas turi du raktus: vie\u0161\u0105j\u012f (public key) ir priva\u010di\u0173j\u012f (private key).<\/p>\n
Vie\u0161asis raktas yra kaip spynos skylut\u0117 \u2013 j\u012f gali matyti ir naudoti bet kas. Privatusis raktas yra kaip unikalus raktas, kur\u012f turi tik serveris. Kai j\u016bs\u0173 nar\u0161ykl\u0117 prisijungia prie saugios svetain\u0117s, serveris jai atsiun\u010dia vie\u0161\u0105j\u012f rakt\u0105. Nar\u0161ykl\u0117 naudoja \u0161\u012f rakt\u0105 u\u017e\u0161ifruoti duomenis, kuriuos siun\u010dia serveriui. O at\u0161ifruoti tuos duomenis gali tik serveris, turintis privat\u0173j\u012f rakt\u0105.<\/p>\n
\u012edomiausia, kad \u0161is procesas vyksta per kelias milisekundes. Kai pirm\u0105 kart\u0105 prisijungiate prie HTTPS svetain\u0117s, vyksta taip vadinamas “rankos paspaudimas” (handshake). Per \u0161\u012f proces\u0105 nar\u0161ykl\u0117 ir serveris susitaria d\u0117l \u0161ifravimo metodo, patikrina sertifikato galiojim\u0105 ir sukuria unikal\u0173 sesijos rakt\u0105 b\u016btent \u0161iam j\u016bs\u0173 apsilankymui.<\/p>\n
SSL sertifikatai negimsta patys savaime \u2013 juos i\u0161duoda specialios organizacijos, vadinamos Sertifikavimo Centrais (Certificate Authority arba CA). Tai tarsi skaitmeniniai notarai, kurie patvirtina svetain\u0117s tapatyb\u0119.<\/p>\n
Kai svetain\u0117s savininkas nori gauti SSL sertifikat\u0105, jis turi pateikti pra\u0161ym\u0105 sertifikavimo centrui. Priklausomai nuo sertifikato tipo, tikrinimo procesas gali b\u016bti labai paprastas arba gana sud\u0117tingas. Papras\u010diausiems sertifikatams (Domain Validation) pakanka patvirtinti, kad tikrai valdote domen\u0105 \u2013 pavyzd\u017eiui, atsakant \u012f el. lai\u0161k\u0105 arba \u012fkeliant special\u0173 fail\u0105 \u012f svetain\u0119.<\/p>\n
Sud\u0117tingesni sertifikatai (Organization Validation ar Extended Validation) reikalauja \u012frodyti ne tik domeno valdym\u0105, bet ir organizacijos teis\u0117tum\u0105. Sertifikavimo centras tikrina \u012fmon\u0117s registracijos dokumentus, skambina telefonu, kartais net reikalauja notaro patvirtint\u0173 dokument\u0173. Tod\u0117l tokie sertifikatai kainuoja daugiau ir j\u0173 i\u0161davimas u\u017etrunka ilgiau.<\/p>\n
Sertifikatas turi galiojimo laik\u0105 \u2013 paprastai nuo 90 dien\u0173 iki dvej\u0173 met\u0173. Kod\u0117l ne am\u017einai? Saugumo sumetimais. Jei sertifikatas b\u016bt\u0173 pavogtas ar privatusis raktas kaip nors patekt\u0173 \u012f pa\u0161alini\u0173 rankas, ribotas galiojimo laikas suma\u017eina galim\u0105 \u017eal\u0105.<\/p>\n
Viena svarbiausi\u0173 SSL funkcij\u0173 \u2013 apsauga nuo “man-in-the-middle” atak\u0173. Tai situacija, kai ka\u017ekas bando \u012fsiterpti tarp j\u016bs\u0173 ir svetain\u0117s, apsimesdamas viena i\u0161 \u0161ali\u0173.<\/p>\n
Tarkime, s\u0117dite kavin\u0117je ir naudojat\u0117s nemokamu WiFi. Kibernetinis nusikalt\u0117lis gali sukurti netikr\u0105 prieigos ta\u0161k\u0105 su pana\u0161iu pavadinimu. Kai prisijungiate, visas j\u016bs\u0173 srautas eina per jo kompiuter\u012f. Jei svetain\u0117 neturi SSL, jis gali matyti visk\u0105 \u2013 slapta\u017eod\u017eius, kredito korteli\u0173 numerius, asmenines \u017einutes.<\/p>\n
Bet su SSL situacija kitokia. Kai j\u016bs\u0173 nar\u0161ykl\u0117 gauna sertifikat\u0105, ji patikrina kelis dalykus: ar sertifikatas i\u0161duotas patikimo sertifikavimo centro, ar jis dar galioja, ar domeno pavadinimas atitinka t\u0105, kur\u012f bandote pasiekti. Jei ka\u017ekas neatitinka, nar\u0161ykl\u0117 parodo \u012fsp\u0117jim\u0105 \u2013 t\u0105 bauginant\u012f raudon\u0105 ekran\u0105 su u\u017era\u0161u “J\u016bs\u0173 ry\u0161ys n\u0117ra saugus”.<\/p>\n
U\u017epuolikas negali tiesiog sukurti tikro atrodan\u010dio sertifikato j\u016bs\u0173 banko svetainei, nes neturi privataus rakto ir negali gauti patikimo sertifikavimo centro patvirtinimo. Net jei jis sukurt\u0173 savo sertifikat\u0105, j\u016bs\u0173 nar\u0161ykl\u0117 j\u012f atpa\u017eint\u0173 kaip nepatikim\u0105.<\/p>\n
\u012edomu tai, kad ne visi sertifikatai yra lyg\u016bs. Egzistuoja visa hierarchija, vadinama pasitik\u0117jimo grandine (chain of trust). Vir\u0161uje yra \u0161akniniai sertifikatai (root certificates), kuriuos i\u0161duoda patys sertifikavimo centrai sau. \u0160ie sertifikatai yra \u012fdiegti j\u016bs\u0173 nar\u0161ykl\u0117je ar operacin\u0117je sistemoje.<\/p>\n
\u017demiau yra tarpiniai sertifikatai (intermediate certificates), kuriuos \u0161akniniai centrai i\u0161duoda kitiems patikimiems subjektams. O dar \u017eemiau \u2013 galutiniai sertifikatai, kuriuos gauna konkre\u010dios svetain\u0117s. Kai nar\u0161ykl\u0117 tikrina sertifikat\u0105, ji eina per vis\u0105 \u0161i\u0105 grandin\u0119 iki \u0161akninio sertifikato.<\/p>\n
Kod\u0117l tokia sud\u0117tinga sistema? Saugumui. \u0160akniniai sertifikatai yra ypa\u010d vertingi ir j\u0173 privat\u016bs raktai laikomi maksimalaus saugumo s\u0105lygomis \u2013 da\u017enai net fizi\u0161kai atskirtuose, gerai saugomuose objektuose. Jei kasdieniam sertifikat\u0173 i\u0161davimui b\u016bt\u0173 naudojami \u0161akniniai sertifikatai, rizika b\u016bt\u0173 per didel\u0117. Tarpiniai sertifikatai veikia kaip buferis \u2013 jei kas nors nutikt\u0173, galima at\u0161aukti tarpin\u012f sertifikat\u0105 nepa\u017eeid\u017eiant visos sistemos.<\/p>\n
Dar prie\u0161 kelerius metus SSL sertifikatai buvo gana brang\u016bs \u2013 nuo keliolikos iki keli\u0173 \u0161imt\u0173 eur\u0173 per metus. Tai buvo viena i\u0161 prie\u017eas\u010di\u0173, kod\u0117l daugelis ma\u017e\u0173 svetaini\u0173 j\u0173 netur\u0117jo. Situacija pasikeit\u0117 2015 metais, kai pasirod\u0117 Let’s Encrypt \u2013 nemokamas, automatizuotas ir atviras sertifikavimo centras.<\/p>\n
Let’s Encrypt id\u0117ja paprasta: jei sertifikato i\u0161davimo proces\u0105 galima visi\u0161kai automatizuoti, kaina tampa minimali. Jie suk\u016br\u0117 protokol\u0105 ACME (Automated Certificate Management Environment), kuris leid\u017eia serveriams automati\u0161kai \u012frodyti domeno valdym\u0105, gauti sertifikat\u0105 ir j\u012f atnaujinti.<\/p>\n
Kaip tai veikia prakti\u0161kai? J\u016bs\u0173 serveryje veikia programa (pavyzd\u017eiui, Certbot), kuri kreipiasi \u012f Let’s Encrypt serverius. Jie atsiun\u010dia i\u0161\u0161\u016bk\u012f \u2013 pavyzd\u017eiui, pra\u0161o \u012fkelti specifin\u012f fail\u0105 su konkre\u010diu turiniu \u012f j\u016bs\u0173 svetain\u0119. Programa tai padaro, Let’s Encrypt patikrina, ar failas tikrai ten yra, ir jei viskas gerai \u2013 i\u0161duoda sertifikat\u0105. Viskas vyksta automati\u0161kai, be \u017emogaus \u012fsiki\u0161imo.<\/p>\n
Let’s Encrypt sertifikatai galioja 90 dien\u0173, bet tai n\u0117ra problema, nes atnaujinimas taip pat automatinis. Tokia trumpa galiojimo trukm\u0117 net pagerina saugum\u0105 \u2013 jei kas nors nutikt\u0173, poveikis b\u016bt\u0173 ribotas laiko at\u017evilgiu.<\/p>\n
Jei turite svetain\u0119 ir dar nesinaudojate SSL, laikas tai padaryti. \u0160iandien tai jau ne prabanga, o b\u016btinyb\u0117. Google nuo 2014 met\u0173 HTTPS laiko vienu i\u0161 reitingavimo veiksni\u0173, o nuo 2018-\u0173j\u0173 Chrome nar\u0161ykl\u0117 ai\u0161kiai \u017eymi HTTP svetaines kaip “nesaugias”.<\/p>\n
Pirmas \u017eingsnis \u2013 pasirinkti tinkam\u0105 sertifikato tip\u0105. Jei turite asmenin\u012f tinklara\u0161t\u012f ar nedidel\u0119 svetain\u0119 be joki\u0173 mok\u0117jim\u0173, pakaks paprasto Domain Validation sertifikato i\u0161 Let’s Encrypt. Jei valdote el. parduotuv\u0119 ar kit\u0105 svetain\u0119, kurioje vyksta finansin\u0117s operacijos, verta apsvarstyti Organization Validation ar net Extended Validation sertifikat\u0105.<\/p>\n
\u012ediegus SSL, b\u016btina teisingai sukonfig\u016bruoti server\u012f. Tai rei\u0161kia ne tik sertifikato \u012fk\u0117lim\u0105, bet ir nukreipim\u0173 i\u0161 HTTP \u012f HTTPS nustatym\u0105, HSTS (HTTP Strict Transport Security) antra\u0161\u010di\u0173 prid\u0117jim\u0105, tinkam\u0173 \u0161ifravimo protokol\u0173 pasirinkim\u0105. Daugelis hostingo paslaug\u0173 teik\u0117j\u0173 \u0161iandien si\u016blo vieno paspaudimo SSL \u012fdiegim\u0105, kuris atlieka did\u017ei\u0105j\u0105 dal\u012f \u0161i\u0173 veiksm\u0173 automati\u0161kai.<\/p>\n
Nepamir\u0161kite reguliariai tikrinti sertifikato galiojimo datos. Nors daugelis \u0161iuolaikini\u0173 sprendim\u0173 atnaujina sertifikatus automati\u0161kai, visada gali nutikti ka\u017ekas netik\u0117to. Pasibaig\u0119s sertifikatas rei\u0161kia, kad lankytojai matys \u012fsp\u0117jimus ir grei\u010diausiai nepateks \u012f j\u016bs\u0173 svetain\u0119.<\/p>\n
Dabartiniai SSL\/TLS protokolai remiasi matematiniais u\u017edaviniais, kuriuos \u0161iuolaikiniais kompiuteriais prakti\u0161kai ne\u012fmanoma i\u0161spr\u0119sti per priimtin\u0105 laik\u0105. Pavyzd\u017eiui, dideli\u0173 skai\u010di\u0173 faktorizacija \u2013 u\u017eduotis, ant kurios pagr\u012fstas RSA \u0161ifravimas \u2013 u\u017etrukt\u0173 t\u016bkstan\u010dius met\u0173 net galingiausiems \u0161iandieniniams kompiuteriams.<\/p>\n
Ta\u010diau kvantiniai kompiuteriai gali visk\u0105 pakeisti. Teori\u0161kai jie gal\u0117t\u0173 i\u0161spr\u0119sti \u0161iuos u\u017edavinius per \u017eymiai trumpesn\u012f laik\u0105, o tai reik\u0161t\u0173, kad dabartiniai \u0161ifravimo metodai tapt\u0173 nebepatikimi. Gera \u017einia ta, kad kriptografai jau dirba prie post-kvantin\u0117s kriptografijos \u2013 nauj\u0173 algoritm\u0173, kurie b\u016bt\u0173 atspar\u016bs net kvantiniams kompiuteriams.<\/p>\n
NIST (Nacionalinis standart\u0173 ir technologij\u0173 institutas JAV) jau prad\u0117jo standartizuoti post-kvantinius kriptografinius algoritmus. Tikimasi, kad per ateinan\u010dius kelerius metus prad\u0117sime matyti naujus SSL\/TLS sertifikatus, naudojan\u010dius \u0161iuos algoritmus. Per\u0117jimas bus laipsni\u0161kas \u2013 tam tikr\u0105 laik\u0105 veiks hibridiniai sprendimai, derinantys tradicinius ir post-kvantinius metodus.<\/p>\n
SSL sertifikatai tapo neatsiejama \u0161iuolaikinio interneto dalimi. Tai, kas kadaise buvo prabanga tik didel\u0117ms korporacijoms ir bankams, dabar prieinamas kiekvienam. Technologija, kuri veikia fone, nematoma, bet b\u016btina \u2013 kaip elektros tinklas ar vandentiekis.<\/p>\n
Suprasdami, kaip veikia SSL, tampame s\u0105moningesni interneto naudotojai. \u017dinome, kod\u0117l svarbu kreipti d\u0117mes\u012f \u012f t\u0105 ma\u017e\u0105 spynel\u0119, kod\u0117l neverta ignoruoti saugumo \u012fsp\u0117jim\u0173, kod\u0117l nemokamas WiFi gali b\u016bti pavojingas be papildomo apsaugos sluoksnio. <\/p>\n
Svetaini\u0173 savininkams SSL jau seniai n\u0117ra pasirinkimas \u2013 tai b\u016btinyb\u0117. Ne tik d\u0117l saugumo, bet ir d\u0117l pasitik\u0117jimo, SEO, net na\u0161umo (HTTP\/2 protokolas, kuris yra greitesnis u\u017e HTTP\/1.1, reikalauja HTTPS). Laimei, su tokiais sprendimais kaip Let’s Encrypt, barjeras \u012fdiegti SSL tapo minimalus.<\/p>\n
Technologija nuolat tobul\u0117ja. Tai, kas \u0161iandien atrodo saugus ir patikimas, rytoj gali tapti pa\u017eeid\u017eiamu. Bet kol kriptografai dirba priekyje, o sertifikavimo centrai palaiko pasitik\u0117jimo grandin\u0119, galime jaustis gana saugiai. Tereikia nepamirsti atkreipti d\u0117mes\u012f \u012f t\u0105 ma\u017e\u0105 \u017eali\u0105 spynel\u0119 \u2013 ji daug pasako apie svetain\u0119, kuri\u0105 ketinate aplankyti.<\/p>","protected":false},"excerpt":{"rendered":"