Jak se webové prohlížení stává ještě bezpečnějším

Spousta osobních informací, které sdílíme online, od roku 1994 exponenciálně vzrostla, počátek protokolu SSL (Secure Sockets Layer).

Internet je zaplaven přístupovými frázemi Proč jsou přístupová fráze stále lepší než hesla a otisky prstů Proč přístupová fráze jsou stále lepší než hesla a otisky prstů Pamatujete si, že hesla nemusí být složitá? Kdy bylo PIN snadno zapamatovatelné? Tyto dny jsou pryč a rizika počítačové kriminality znamenají, že skenery otisků prstů jsou k ničemu. Je čas začít používat přístupové kódy…, údaje o kreditní kartě a údaje o online bankovnictví. 6 Častých důvodů, proč byste měli platit online, pokud ještě nejste [Názor] 6 Častých důvodů, proč byste měli platit online, pokud ještě nejste [ Stanovisko] Jak obvykle děláte své bankovnictví? Jedete do své banky? Čekáte v dlouhých řadách, jen chcete uložit jeden šek? Dostáváte měsíční výpisy v papírové podobě? Zaznamenáváš ty…. Máme SSL certifikáty, které děkujeme za naši bezpečnost a soukromí. Pravděpodobně jste však slyšeli o nedávných nedostatcích, které narušily vaši důvěru v kryptografický protokol.

Naštěstí se SSL přizpůsobuje, upgraduje a nahrazuje, aby vám poskytl lepší klid. Zde je návod.

Co je to vlastně SSL?

Začněme přesně s tím, co je SSL Co je to SSL certifikát, a potřebujete jej? Co je to SSL certifikát a potřebujete jej? Prohlížení internetu může být děsivé, pokud se jedná o osobní údaje. .

SSL certifikáty jsou digitální autorizační dokumenty, které lze získat organizací nebo jednotlivcem provozujícím web, který pracuje s citlivými informacemi. Zajišťuje bezpečný přenos dat mezi webovým serverem a prohlížečem, že tyto informace nebyly zachyceny a jejich zdroje jsou pravé.

Podívejte se například na Amazon. Podívejte se na adresu URL a namísto typické adresy protokolu HTTP (HyperText Transfer Protocol) byste měli být přesměrováni na HTTPS, co je HTTPS a jak povolit zabezpečená připojení ve výchozím nastavení Co je HTTPS a jak povolit zabezpečená připojení podle výchozího zabezpečení šíří se široko daleko a dosáhli popředí mysli většiny všech. Termíny jako antivirus nebo firewall již nejsou podivnou slovní zásobou a jsou nejen chápány, ale také používány ... - že další “S” znamená, že je to zabezpečený odkaz HTTPS všude: použijte HTTPS namísto HTTP, kdy je to možné HTTPS všude: použijte HTTPS namísto HTTP, kdy je to možné, a můžete bezpečně platit za položky prostřednictvím webu. Hotmail, WordPress a dokonce Tumblr používají SSL certifikáty.

Je to skvělé pro spotřebitele (který ví, že se s jejich údaji zachází odpovědně) a pro prodejce (který těží nejen z důvěry kupujících, ale také se řadí mezi vyšší společnosti Google).

Nic však není neomylné a několik nedostatků SSL odhalených během posledního roku to potvrzuje. Naštěstí se prohlížení webu opět stává bezpečnějším ...

Aktualizace TLS

Možná jste viděli SSL a Transport Layer Security (TLS) používané zaměnitelně, a ačkoli rozdíly jsou možná jemné, zůstávají pozoruhodné.

Oba používají stejný systém šifrování dat a před provedením tohoto připojení se dohodnou s certifikační autoritou (CA). TLS je však nástupcem SSL, takže je zřejmé, že TLS bude bezpečnější. Její tři inkarnace - TLS 1.0, 1.1 a 1.2 - skutečně odstraňují některá zranitelnost nalezená v metodě SSL.

TLS 1.3 existuje již od roku 2008, ale protože nedostatky v předchozích verzích byly považovány za tak nepatrné, neovlivnily by “reálný svět” situace, je to až do nedávné doby pro jeho hromadné provádění. Ve skutečnosti se v roce 2013 ukázalo, že ani Národní agentura pro bezpečnost (NSA) nezaměřovala domény, které provozují protokoly TLS, protože jich jen málo používalo. Nyní však mandát Rady bezpečnosti PCI donutil jakýkoli web, který přenáší nebo zpracovává informace o držitelích karet, na upgrade.

Navíc všechny hlavní prohlížeče - Google Chrome, Microsoft Edge, Safari, Firefox a Opera - standardně podporují TLS 1.2, takže úroveň šifrování je zajištěna oběma stranami. Pamatujte však, že se zdá, že se mandát vztahuje pouze na platební údaje, nikoli na přihlašovací údaje.

Šifrování všude

Upgradování certifikátů je užitečné, pouze pokud je široce přijato, a to není pravda. Všechny weby elektronického obchodování vyžadují bezpečnostní postupy a většina by skutečně měla mít SSL nebo TLS. Mnoho se spoléhá na ochranu zpracovatelů plateb třetích stran, jako je PayPal (zdá se, že to je mezera v mandátu Rady bezpečnosti PCI), ale pokud web přijímá soukromé informace, měl by používat bezpečnou vrstvu.

Pokud vaše připojení není soukromé, hackeři mohou při přihlášení získat data včetně e-mailové adresy a hesla. A protože většina lidí má tendenci používat stejná hesla. 7 Nejběžnějších taktik používaných k hackování hesel 7 Nejběžnějších taktik používaných k hackování hesel Když uslyšíte „narušení bezpečnosti“, co vás napadne? Zlovolný hacker? Nějaké dítě žijící v suterénu? Realita je taková, že jediné, co je potřeba, je heslo a hackeři mají 7 způsobů, jak se dostat k vám. na více webech (přes všechna varování 7 chyb hesel, které vás pravděpodobně napadnou hacknutím 7 chyb hesel, které vás pravděpodobně napadnou hackery Nejhorší hesla roku 2015 byla vydána a jsou docela znepokojující. Ale ukazují, že je absolutně kritické posílejte svá slabá hesla pouhými několika jednoduchými vylepšeními.), což by mohly být důležité informace.

Mnoho serverů však nepřijímá protokoly SSL, protože to může být nákladné a může být komplikované. Tam přichází program Symantec Encryption Everywhere.

Americká bezpečnostní společnost nabízí službu freemium, díky které je certifikát získán zcela zdarma, s upgradem (jako jsou skenování malwaru) za dostupnou cenu. Partnerství s hostitelskými společnostmi komplikovanost ruší administrátoři stránek, zatímco automatizované aktualizace zefektivňují proces řešení dalších zranitelných míst.

To je ve snaze získat 100% úroveň zabezpečení do roku 2018, takže očekáváme, že bude brzy přijata většina webů..

Pojďme se zašifrovat

Ale počkej! Symantec není jediný, kdo usiluje o šifrování SSL / TLS na celém webu.

Zdá se, že šifrování je na vlně novějších chyb; Projekt, který byl zahájen pro veřejnost v prosinci 2015, má již řadu významných mezinárodních sponzorů včetně Google Chrome, Mozilly, Facebooku, Shopify, YunPian a Akamai. Let's Encrypt, kterou provozuje skupina pro výzkum zabezpečení internetu (ISRG), vydala tento měsíc více než 5 milionů certifikátů a do konce letošního roku očekává 50% načtení stránky HTTPS..

Proč je šifrování prokazatelně populární? Jednoduše, jak je to zdarma a automatizované, což znamená, že je pro web neuvěřitelně snadné získat certifikáty a upgrady.

Iniciativa začíná novým párem soukromých klíčů a důkazem o vlastníkovi domény certifikační autoritě; jakmile je to ověřeno pomocí protokolu ACME (Automated Certificate Management Environment), může webový server podepsat zprávy pro správu certifikátů pomocí klíče, aby se obnovily a zrušily certifikáty, nebo vytvořily nové pro stejnou doménu..

Právě jsme vydali náš 5 miliontý certifikát!

- Pojďme se zašifrovat (@letsencrypt) 17. června 2016

Pojďme šifrovat je patrně nejznámější projekt nabízející bezplatné certifikáty a mezi těmito hlavními programy se určitě jeví jako důvěryhodná příčina.

Konvergence

Můžete však být znechuceni SSL certifikáty.

Jejich pověst byla v posledních letech poškozena: většina z nich alespoň slyšela o Heartbleed Heartbleed - Co můžete udělat, abyste zůstali v bezpečí? Heartbleed - Co můžete udělat, abyste zůstali v bezpečí? , zranitelnost v otevřené kryptografické knihovně OpenSSL, která hackerům umožňuje číst nešifrované informace. Heartbleed ovlivnil mnoho služeb Digging Through The Hype: Opravdu Heartbleed skutečně ublížil někdo? Kopání skrz humbuk: Skutečně ublížil někdo? , ale to bylo před dvěma lety Pět porušení vašeho soukromí v roce 2014, které byste mohli vynechat Pět porušení vašeho soukromí v roce 2014, které byste mohli vynechat Četné publikace se v soukromých životech celebrit v roce 2014, rok, v němž je také hlavní pozornost zářil na širokou veřejnost. Můžeme se z těchto porušení něco naučit? a oprava je k dispozici. Ale v loňském roce došlo k Superfishům Lenovo Laptop Majitelé Pozor: Vaše zařízení může mít předinstalovaný Malware Lenovo Laptop Owner Beware: Vaše zařízení může mít předinstalovaný Malware Čínský výrobce počítačů Lenovo připustil, že notebooky dodávané do obchodů a spotřebitelé na konci roku 2014 měli malware předinstalovaný. , malware, který vykreslil HTTPS; toto bylo také opraveno Superfish nebyl dosud zachycen: SSL únos vysvětlen Superfish nebyl dosud zachycen: SSL únos vysvětlen malware Lenovo Superfish způsobil rozruch, ale příběh ještě neskončil. I když jste z počítače odstranili adware, stejná zranitelnost existuje i v jiných online aplikacích. .

A není to omezeno pouze na váš počítač: ovlivněny jsou vaše aplikace smartphonu 1 000 aplikací iOS má ochromující chybu SSL: Jak zkontrolovat, zda jste zasaženi 1 000 aplikací iOS mají ochromující chybu SSL: jak zkontrolovat, zda jste zasaženi Chyba AFNetworking je což způsobuje problémy uživatelům zařízení iPhone a iPad, přičemž tisíce aplikací přenášely zranitelnost, která vedla k tomu, že certifikáty SSL byly správně ověřeny, což potenciálně usnadňuje krádež identity pomocí útoků typu člověk uprostřed. chybami SSL.

Konvergence je tedy doplněk prohlížeče, který si mnozí zaměňují se systémem, který nahrazuje certifikáty SSL; více než cokoli jiného, ​​je to další fáze pro CA. Konvergence se místo důvěry jedné certifikační autority CA, která věří autentičnosti webu, v zásadě obrací k notářským službám.

Navštěvujete adresu HTTPS. Existují tři hlavní výsledky: všichni notáři souhlasí s tím, že je to bezpečné, a v tom případě používáte web; ne všichni se shodují, ale můžete jít s většinou nebo odmítnout web, protože tomu notářům nedůvěřujete dělat ručit za to; nebo v extrémních případech většina nebo všichni notáři souhlasí, že tomu nebude věřit. Tím pádem není jediný bod selhání.

Přemýšlejte o tom tímto způsobem: jedná se o konvergenci názorů na to, zda uživatel může HTTPS důvěřovat.

Jak se z internetu stává zabezpečovatel?

Proč je stále označujeme jako SSL certifikáty? Určitě by to měly být certifikáty TLS? #ssl #tls #MostBrowsersDontDoSSLAnymore

- Chris Pont (@chrispont) 7. června 2016

Ve skořápce ořechů: SSL certifikáty, které autentizují weby, jsou upgradovány na TLS, hlavně na doménách, jako je PayPal, které se zabývají platebními informacemi. Ty jsou zaváděny en masse, s cílem 100% využití HTTPS v příštích několika letech. Příslušné orgány jsou rovněž přehodnocovány a doplněk Konvergence se jeví jako solidní fáze při ověřování důvěryhodnosti webu tím, že se spoléhá na notáře, že souhlasí.

Dávají vám tato opatření opět důvěru v SSL? Děláš? cítit bezpečné zadávání platebních údajů online? Jaké další bezpečnostní protokoly byste rádi viděli široce implementované?

Obrazové kredity: HTTPS (WeTransfer) od Christiaan Colen; a https od Sean MacEntee.