SSL, CSR и прочие аббревиатуры, которые помогут защитить ваш сайт.

SSL (Secure Sockets Layer) – стандартизированная технология для обеспечения безопасного зашифрованного соединения между веб-сервером и браузером. В итоге, соединение гарантирует, что все данные, передаваемые вышеупомянутым образом, остаются конфиденциальными и целыми. SSL является отраслевым стандартом и используется миллионами веб-сайтов для защиты обмена данных со своими клиентами. 

Итак, что же нужно для обеспечения соединения такого типа? Единственным путем является установка SSL-сертификата на веб-сервер. Для этого требуется заполнить анкету с данными о вашем сайте и вашей компании. Затем ваш веб-сервер создает два криптографических ключа – закрытый ключ и открытый ключ (Private Key и Public Key). Вся операция производится с помощью так называемого CSR-генератора, который можно найти онлайн с помощью различных поисковых систем или запросив у компании-хостера вашего сайта. На выходе вы получите так называемый CSR-запрос, который включает два вышеупомянутых ключа и является буквенно-цифровым кодом, содержащим данные из анкеты. После предоставления такого запроса дистрибьютору или вендору, начинается процесс выпуска сертификата, который включает в себя обязательную верификацию указанных данных. «Глубина» верификации зависит от типа сертификата и может быть в виде отправления ссылки на почту админа веб-сервера или даже личным звонком на указанный контактный номер лица на стороне заказчика из офиса вендора.

После выпуска и получения сертификата необходимо установить его на сервер. Тут нам и пригодится Private Key, который будет связующим звеном и в итоге поможет установить SSL-соединение между вашим сайтом и браузером пользователей. Обычно SSL-сертификат включает в себя доменное имя вашего сайта, название компании, ваш адрес, город и вашу страну. Он также будет содержать дату истечения срока действия сертификата и сведения о сертификационном органе, ответственном за его выдачу.

При подключении браузера к защищенному сайту, он получит данные с SSL-сертификата сайта и сразу запустит проверку: срока действия сертификата, центра сертификации (доверенный или нет) и факта использования веб-сайтом, для которого он был выпущен. Если не пройден хотя бы один уровень проверки, браузер сразу выдаст оповещение о непроверенном или небезопасном подключении и о том, что данные пользователя могут быть в опасности.

Учитывая то, что в общих понятиях уже немного разобрались, ниже опишем главные типы сертификатов и по каким критериям их классифицируют.

Критерий №1. Тип проверки.

В наше время компании могут обеспечить безопасность своего веб-сайта путем выбора между тремя типами SSL-сертификатов: Organizationally Validated (OV или валидация организации) SSL-сертификаты, Domain Validated (DV или валидация по домену) SSL-сертификаты и Extended Validation SSL-сертификаты, которые были введены в начале 2007 года. Главной задачей всех SSL-сертификатов является шифрование данных, помимо прочих визуальных подтверждений защищенности соединения, таких как «закрытый зеленый замок» и префикс «https» в адресной строке браузера. Однако не все сертификаты предоставляют одинаковый уровень проверки на предмет того, что сайт-носитель SSL-сертификата действительно является законным бизнесом.

  • Organizationally Validated (OV) SSL-сертификаты.

Уровень проверки SSL-безопасности веб-сайта, который гарантирует действительность веб-сайта, подтверждая, что его владелец является законным бизнесом. Перед выдачей сертификата SSL ЦС (центр сертификации) выполняет строгую процедуру проверки, включая проверку бизнес-мандатов заявителя (например, Устава) и проверку точности физических и веб-адресов. Организационно проверенный SSL-сертификат – отличный вариант защиты веб-сайта для любого бизнеса, осуществляющего онлайн-транзакции, и принятия конфиденциальных данных, таких как номера кредитных карт и прочие данные клиентов.

  • Domain Validated (DV) SSL-сертификаты

Такая процедура проверки является менее строгой. При выдаче сертификата SSL с подтвержденным доменом ЦС проверяет только то, что имя и контактная информация заявителя соответствуют регистрационной информации в базе данных WHOIS по имени домена, связанного с заявкой на сертификат SSL. Поскольку ЦС не обязаны проверять легитимность бизнеса заявителя, такие сертификаты SSL являются хорошим выбором для предприятий, где клиенты не будут передавать конфиденциальные данные или менее обеспокоены проблемами безопасности веб-сайта, например, при процессе удостоверения личности.

  • Extended Validation SSL-сертификаты

Такой тип проверки является самым новым и наиболее авторитетным. Введенные в начале 2007 года SSL-сертификаты Extended Validation являются первыми сертификатами SSL, которые соответствуют самым последним отраслевым стандартам сертификации, установленным ведущими поставщиками веб-браузеров и ЦС. Сам процесс рассмотрения заявки на сертификацию является более тщательным, а критерии валидации более строгими. На первых этапах внедрения такой технологии верификации она была актуальна только для определенных типов хозяйствующих субъектов и правительственных учреждений. В настоящее время всем предприятиям следует подумать о том, чтобы попытаться перейти на сертификаты EV SSL, поскольку такой сертификат предлагает самый высокий уровень безопасности веб-сайта на рынке SSL-сертификатов сегодня. Среди новых функций EV SSL-сертификатов – цветовое кодирование адресной строки веб-браузера для сигнализации безопасных подключений. Окно адресной строки браузера станет зеленым, чтобы указать аутентифицированный сайт с расширенным сертификатом SSL для проверки, а также сигнализирует о полной защите веб-сайта и шифровании на месте.

Критерий № 2. Количество доменов.

В принципе, тут все просто и количество доменов, субдоменов, которые защищаются, определяет тип сертификата.

  • Single-name SSL-сертификаты

Такие сертификаты защищают исключительно тот домен, на который он установлен. Например, при покупке сертификата для www.example.com, защита будет установлена только на него, субдомены типа mail.example.com защищены не будут.

В зависимости от политики центра сертификации, при покупке Single-name сертификата www.example.com, сертификат может также содержать корневой домен.

  • Wildcard SSL-сертификаты

Wildcard-сертификаты защищают неограниченное число субдоменов для одного домена. Например, если вы покупаете сертификат для *.example.com, он будет защищать mail.example.com, promo.example.com и т. д. Однако он не будет защищать mail.promo.example.com.

  • Multi-Domain SSL-сертификаты

Защищают разные домены с помощью единого сертификата, используя расширение SAN. По этой причине они часто называются сертификатами SAN. Является максимально подходящим решением для компаний с несколькими сайтами, т.к. под защитой будут находиться как субдомены, так и разные домены.

Итоги: так, как все сертификаты работают по одному и тому же принципу шифрования, важно помнить, что на уровень безопасности, предоставляемый сертификатом SSL, не влияет уровень проверки и количество защищенных доменов. Они влияют только на уровень доверия клиента к сайту и уровень компании на рынке, особенно если она работает с личными данными пользователей. В любом случае, все сертификаты работают по одному и тому же принципу шифрования.

БлогSSL-сертификаты

Похожие новости