گواهی SSL چیست؛ با مهم‌ترین گواهی امنیتی سایت‌ها آشنا شوید

SSL (لایه سوکت های امن) فناوری امنیتی جدیدی برای استقرار ارتباط های رمزنگاری شده بین یک سرور و مشتری است که معمولا یک وب سرور (وب سایت) و یک بروزر یا میل سرور و ایمیل مشتری (مثلا Outlook) می باشد.

SSL این امکان را فراهم می آورد که اطلاعات حساس از قبیل شماره کارت های اعتباری، شماره بیمه تامین اجتماعی و عبارات امنیتی ورود به سیستم به صورت امن انتقال یابد. در حالت عادی، داده ها بین مرورگرها و وب سرویس ها به صورت متن ساده جابجا می شوند که این مساله آسیب پذیری آنها را افزایش می دهد. اگر شخصی بتواند مانع انتقال اطلاعات میان مرورگر و وب سرور شود، می تواند آن اطلاعات را ببیند و از آنها استفاده کند.

به طور خاص، SSL یک پروتکل امنیتی است. پروتکل ها نحوه استفاده از الگوریتم ها را توضیح می دهند. در این صورت، پروتکل SSL متغیرهای رمزنگاری لینک و اطلاعات ارسال شده را تعیین می کند.

SSL همه روزه امنیت اطلاعات میلیون ها نفر، به ویژه حین انجام مبادلات آنلاین یا هنگام ارسال اطلاعات محرمانه در بستر اینترنت را حفظ می کند. کابران اینترنت امنیت خود را در وب، درگرو مشاهده قفل امنیتی می دانند که همراه با وب سایت های دارای گواهی SSL یا لینک آدرس سبز رنگ که تایید کننده این مساله می باشد. آدرس وب سایت هایی که دارای گواهی امنیتی SSL هستند، به جای http، با https آغاز می شود.

در حال حاضر، دو نوع SSL داریم: استاندارد (extend) و wide card. SSL استاندارد براساس نام دامنه ایجاد می شود؛ بدین معنا که برای هر دامنه باید SSL جداگانه تهیه شود؛ در حالی که wide card SSL، برای یک دامنه تهیه می شود و کلیه زیرمجموعه های (ساب دامنه های) آن را نیز ساپورت می کند.

SSL  یا TLS؟

پروتکل SSL همواره برای رمزنگاری و ایمن سازی اطلاعات مورد استفاده قرار می گیرد. با هر بار انتشار نسخه جدید و امن تر، تغییر شماره نسخه نشان دهنده این تغییرات بوده است (مثلا، SSLv2.0)؛ اما وقتی زمان آپدیت نسخه SSLv3.0 رسید، به جای اینکه نسخه جدید آن را SSLv4.0 بنامند، این نسخه به TLSv1.0 تغییر نام داد.

به دلیل اینکه SSL هنوز هم شناخته شده تر می باشد، اغلب هنگام اشاره به گواهی امنیتی یا تشریح نحوه ارسال امن اطلاعات، از اصطلاح SSL استفاده می شود.

از گواهی امنیتی در چه جاهایی استفاده می شود؟

با استفاده از پروتکل SSL، همه مرورگرها می توانند با وب سرورهای امن در تعامل باشند. برای این منظور، لازم است که مرورگر و سرور برای برقراری ارتباطی امن از آنچه که گواهی SSL نامیده می شود، استفاده نمایند.

گواهی SSL چیست و چطور کار می کند؟

گواهی SSL دو کلید عمومی و اختصاصی دارد. این کلیدها برای برقراری یک ارتباط رمزنگاری شده با هم همکاری دارند. این گواهی همچنین شامل یک "subject" می باشد که نشان دهنده هویت صاحب گواهی/وب سایت است.

برای دریافت این گواهینامه، باید برروی سرور خود یک درخواست امضای گواهی (CSR) ایجاد کنید. این فرآیند یک کلید اختصاصی و یک کلید عمومی برروی سرور شما ایجاد می کند. فایل داده CSR که برای صادرکننده گواهی SSL (CA) ارسال می کنید، حاوی کلید عمومی می باشد. صادرکننده گواهی (CA) از فایل داده CRS برای ایجاد ساختار داده متناسب با کلید اختصاصی استفاده می کند، بدون اینکه خود کلید به خطر بیافتد. صادرکننده گواهی هرگز کلید اختصاصی را نمی بیند.

بعد از دریافت گواهی SSL، آن را برروی سرور خود نصب می کنید. همراه با آن، گواهی میانی را نصب می کنید که اعتبار گواهی SSL شما را از طریق برقراری ارتباط با گواهی root CA تامین می کند. دستورالعمل های نصب و آزمایش گواهی شما با توجه به نوع سرور متفاوت خواهد بود.

در شکل زیر، یک زنجیره گواهی را مشاهده می کنید. این زنجیره گواهی سرور شما را از طریق یک گواهی میانی به گواهی ریشه CA متصل می کند.

مهم ترین بخش گواهی SSL امضاء الکترونیکی توسط یک صادرکننده معتبر گواهی می باشد. هرکسی می تواند این گواهینامه را صادر کند، اما مرورگرها فقط به گواهینامه هایی اعتماد می کنند که از سوی سازمان های مورد تایید صادر شده باشند. مرورگرها به فهرست از پیش مشخص شده صادرکنندگان گواهی معتبر تحت عنوان مخزن root CA معتبر گواهی مراجعه می کنند. برای اینکه شرکتی به مخزن root CA گواهی معتبر اضافه شده و در نتیجه یک متصدی گواهی شود، باید مطابق با استانداردهای احراز هویت و امنیتی سازمان های نظارتی رفتار کنید.

گواهی SSL صادرشده توسط یک CA برای یک سازمان و دامنه / وب سایت آن تایید کننده آن است که طرف سوم مورد اعتماد، هویت آن سازمان را تایید کرده است. از آن جایی که مرورگر به صادرکننده گواهی اعتماد دارد، به هویت آن سازمان نیز اعتماد می کند. مرورگر به کاربر اطمینان می دهد که وب سایت امن است و کاربر می تواند در آن سایت احساس امنیت نماید و حتی وارد اطلاعات محرمانه آن شود. سازمان های معتبر فراوانی در داخل و خارج از کشور هستند که از این اعتبار برخوردارند. از جمله این موسسه ها می توان به شرکت های digicert، comodo و ... اشاره کرد.

همچنین بخوانید:  تهیه SSL Certificate

گواهی SSL چطور ارتباطی امن به وجود می آورد؟

هنگامی که مرورگری اقدام به برقراری ارتباط با یک وب سایت ایمن شده به وسیله SSL می کند، آن مرورگر و وب سرور با استفاده از پروسه ای با عنوان “SSL Handshake” بین آنها ارتباط برقرار می نماید (به نمودار زیر توجه کنید). توجه داشته باشید که SSL Handshake برای کاربر غیر قابل رویت است و بلافاصله اتفاق می افتد.

اساسا، سه کلید برای برقراری ارتباط SSL مورد استفاده قرار می گیرند: کلیدهای عمومی، اختصاصی و session. هر چیزی که به وسیله کلید عمومی رمزگذاری شده باشد، فقط می تواند به وسیله کلید اختصاصی رمزگشایی شود و بالعکس.

از آن جایی که رمزگذاری و رمزگشایی با کلیدهای عمومی و اختصاصی نیروی عملیاتی زیادی مصرف می کند، فقط حین پروسه SSL Handshake از آنها استفاده می شود تا یک کلید session متقارن ایجاد شود. پس از برقراری این ارتباط امن، از کلید session برای رمزنگاری همه اطلاعات ارسال شده استفاده می شود.

• مرورگر به وب سروری (وب سایتی) که به وسیله SSL (https) ایمن شده است، متصل می شود. مرورگر درخواست می کند که سرور هویت خود را ابراز نماید.
• سرور یک نسخه کپی از گواهی SSL، شامل کلید عمومی سرور را ارسال می نماید.
• مرورگر root گواهی را با فهرستی از صادرکنندگان معتبر گواهی چک می کند تا ببینید گواهی مزبور منقضی و لغو نشده باشد و نام عمومی آن برای وب سایتی که به آن متصل می شود، اعتبار داشته باشد. اگر مرورگر به گواهی اعتماد کند، با استفاده از کلید عمومی، یک کلید session متقارن را ارسال می کند.
• سرور با استفاده از کلید اختصاصی خود، کلید session متقارن را رمزگشایی کرده و تایید رمزنگاری توسط کلید session را برای آغاز رمزنگاری session ارسال می کند.
• اکنون، سرور و مرورگر همه اطلاعات ارسال شده به وسیله کلید session را رمزنگاری می کند.

چرا به SSL نیاز داریم؟

یکی از مهم ترین اجزاء کسب و کار آنلاین ایجاد یک محیط مورد اطمینان است، به نحوی که مشتریان بالقوه بتوانند با اطمینان اقدام به خرید نمایند. مرورگرها برای جلب اطمینان بازدیدکنندگان از امن بودن ارتباطشان، از نشانه های بصری از قبیل یک نماد قفل یا نوار سبز رنگ استفاده می کنند.

در شکل های زیر، یک نوار آدرس سبز رنگ به همراه گواهی SSL اعتبارسنجی توسعه یافته (EV) را بر روی مرورگرهای مختلف مشاهده می کنید.

چنانچه سایت شما اطلاعات کارت اعتباری را جمع آوری نماید، سیستم پرداخت کارت (PCI) شما باید از یک گواهی SSL برخوردار باشد. اگر سایت شما دارای بخش login (ورود) یا دریافت/پرداخت و یا سایر اطلاعات خصوصی (آدرس، شماره تماس و ...) باشد، برای حفظ امنیت آن اطلاعات باید از گواهی SSL استفاده کنید.

این حق مسلم مشتریان است که از امنیت و حفظ اطلاعاتشان مطمئن باشند. به دلیل گسترش خرید و پرداخت آنلاین، آنها با استفاده از برندهای مورد اعتماد خود، موجب توسعه این کسب و کارها شده و بدین ترتیب به آنها جایزه می دهند.

مترجم: رزیتا مرعشی