Trzy cholernie ważne literki

SSL nie jest nowym protokołem sieciowym do zabezpieczania danych. Powstał już w 1994 roku, kiedy do użytku wprowadziła go firma Netscape. Dzisiaj to najbardziej powszechne i niemal doskonałe narzędzie do szyfrowania danych. Nie ma zabezpieczeń, których nie można złamać, ale certyfikat SSL to naprawdę twardy orzech do zgryzienia dla hakerów.

Jak to działa?

Wejdźmy trochę głębiej w techniczne założenia protokołu SSL  (dzisiaj rozwijany pod nazwą TLS – Transport Layer Security). Podstawowym założeniem jest zabezpieczenie wymiany danych pomiędzy przeglądarką użytkownika, a odwiedzaną witryną.  To on odpowiada za szyfrowanie i uwierzytelnianie, czyli potwierdzenie „tożsamości” obu stron komunikacji i uniemożliwienie przejęcia danych przez osoby trzecie. W praktyce wygląda to tak:

• Klient ustanawia połączenie z serwerem internetowym zabezpieczonym certyfikatem SSL poprzez otwarcie bezpiecznej wersji protokołu (https://) i zażądanie identyfikacji serwera.
• Serwer jako identyfikacje wysyła kopię certyfikatu SSL, w tym m.in. klucz publiczny.
• Klient weryfikuje, czy certyfikat SSL należy do zaufanych, czy jest aktywny i czy nie został odwołany. Jeśli przeglądarka ufa certyfikatowi, odsyła symetryczny klucz sesji przy użyciu klucza publicznego.
• Serwer odszyfrowuje powyższy klucz sesji za pomocą klucza prywatnego i odsyła potwierdzenie, po czym rozpoczyna zaszyfrowaną sesję.
• Klient i serwer przesyłają od teraz wszystkie dane w bezpieczny sposób za pomocą klucza sesji.

Całego procesu nie jesteśmy w stanie zauważyć – trwa on dosłownie milisekundy. Mamy jednak świadomość, że znajdujemy się na zabezpieczonej protokołem SSL stronie. Wystarczy spojrzeć, czy przy adresie strony internetowej pojawiła się zamknięta kłódka. Jeśli tak, mamy pewność, że strona posiada certyfikat.

Czy to w ogóle potrzebne?

Nie tylko potrzebne, ale też wymagane. Dlaczego? Już od pewnego czasu strony internetowe, które nie posiadają certyfikatu bezpieczeństwa, są przez przeglądarkę Chrome oznaczane jako potencjalnie niebezpieczne. Chyba nie chcecie, aby o Waszej firmie mówiono, że jest „potencjalnie niebezpieczna”? Ale to tylko jedna strona medalu. W Internecie codziennie trwa walka o pozycjonowanie strony, o bycie pierwszym w wynikach wyszukiwania. Jak łatwo się domyślić, najpopularniejsza wyszukiwarka internetowa pozycjonuje wyżej te strony, których adres zawiera magiczne „s” – secure, bezpieczna (HTTPS).

 

Jaki certyfikat wybrać?

W przypadku mniejszych stron internetowych możemy zastanowić się nad certyfikatem bezpłatnym. To tzw. certyfikat DV – Domain Validation, który jest podstawową formą zabezpieczenia, nie wymagającą weryfikacji danych podmiotu. Przyznanie certyfikatu w tym przypadku nie jest skomplikowane, a proces weryfikacji trwa bardzo krótko. Minusem tego rozwiązania jest brak informacji dla użytkownika, czy strona na której się znajduje rzeczywiście należy do danej firmy lub organizacji. Jeśli nie prowadzimy sklepu internetowego, nie mamy formularzy kontaktowych, jednym słowem nie zbieramy danych od naszych użytkowników, certyfikat DV będzie dla nas odpowiedni.

Jeśli jednak takie dane zbieramy, to warto wykupić certyfikat klasy OV (Organization Validation), który weryfikuje dodatkowo dane podmiotu ubiegającego się o certyfikat. Dzięki temu użytkownik witryny otrzymuje pełen zestaw danych, a to zwiększa jego zaufanie do naszej domeny. Koszt tego typu certyfikatu waha się od kilkuset do nawet kilku tysięcy złotych rocznie.

Ważne też aby pamiętać, że certyfikat DV i OV przyznawany jest tylko jednej domenie. Jeśli w naszej strukturze strony internetowej prowadzimy lub chcemy prowadzić np. blog czy dedykowaną danej grupie odbiorców stronę, powinniśmy zwrócić uwagę na certyfikaty SSL Wildcard i Multidomain. Ten pierwszy pozwala na założenie certyfikatu dla domeny głównej, jak i subdomen, np.:

https://strona-glowna.pl

https://blog.strona-glowna.pl

https://ksiazki.strona-glowna.pl itp.

Z kolei Multidomain pozwala „jednym zamachem” założyć certyfikat bezpieczeństwa dla wielu stron. Wystarczy podczas składania zamówienia zaznaczyć ilość domen, które mają zostać certyfikowane. W ten sposób możemy „podpiąć” od razu kilka posiadanych przez nas stron.

Pozostaje jeszcze certyfikat EV (Extended Validation), który stosowany jest głównie i powszechnie przez np. banki, gdzie wymagane jest zapewnienie maksymalnego bezpieczeństwa i poufności dokonywanych transakcji.

Warto zapamiętać

Implementacja certyfikatu SSL w naszej domenie nie należy do zadań ekstremalnych, wręcz odwrotnie, jest proste. Nie zawsze jednak pamiętamy, aby to magiczne „s” dołożyć do wszystkich podstron naszego serwisu. Wystarczy, że „zapomnimy” tylko o jednej podstronie, a cała witryna zostanie zindeksowana jako „potencjalnie niebezpieczna”. Z punktu widzenia SEO, czyli optymalizacji wyszukiwania, ważne jest także uaktualnienie protokołu http na https wszystkich linków zewnętrznych i wewnętrznych, linków przychodzących np. z social media, mapie strony, przekierowaniach itd.

Podsumowując…

Posiadanie certyfikatu nie jest już opcją, a wymogiem. Zastanawiać możemy się tylko nad wyborem odpowiedniego rodzaju certyfikatu. Jeśli macie wątpliwości, który byłby dla Was najbardziej najlepszy, proces zakładania certyfikatu i jego wdrożenia na Waszych domenach jest zbyt skomplikowany – zgłoście się do nas. Pomożemy Wam stać się bardziej widocznymi w sieci i oczywiście bardziej bezpiecznymi dla użytkowników.

Miłosz Zagórski