Бизнес в сфере хостинга: как быстро начать продавать домены и SSL-сертификаты. Обеспечение безопасности платежных систем на основе протокола SSL Обмен данными в SSL
TLS и SSL упоминаются в последнее время все чаще и чаще, более актуальным становится использование цифровых сертификатов, и даже появились компании, готовые бесплатно предоставлять цифровые сертификаты всем желающим, чтобы гарантировать шифрование трафика между посещаемыми сайтами и браузером клиента. Нужно это, естественно, для безопасности, чтобы никто в сети не мог получить данные, которые передаются от клиента серверу и обратно. Как же это всё работает и как это использовать? Чтобы это понять, надо, пожалуй, начать с теории, а потом показать на практике. Итак, SSL и TLS.
Что такое SSL и что такое TLS?
SSL — Secure Socket Layer, уровень защищенных сокетов. TLS — Transport Layer Security, безопасность транспортного уровня. SSL является более ранней системой, TLS появился позднее и он основан на спецификации SSL 3.0, разработанной компанией Netscape Communications. Тем не менее, задача у этих протоколов одна — обеспечение защищенной передачи данных между двумя компьютерами в сети Интернет. Такую передачу используют для различных сайтов, для электронной почты, для обмена сообщениями и много еще для чего. В принципе, можно передавать любую информацию таким образом, об этом чуть ниже.
Безопасная передача обеспечивается при помощи аутентификации и шифрования передаваемой информации. По сути эти протоколы, TLS и SSL, работают одинаково, принципиальных различий нет. TLS, можно сказать, является преемником SSL, хотя они и могут использоваться одновременно, причем даже на одном и том же сервере. Такая поддержка необходима для того, чтобы обеспечить работу как с новыми клиентами (устройствами и браузерами), так и с устаревшими, которые TLS не поддерживают. Последовательность возникновения этих протоколов выглядит вот так:
SSL 1.0 — никогда не публиковался
SSL 2.0 — февраль 1995 года
SSL 3.0 — 1996 год
TLS 1.0 — январь 1999 года
TLS 1.1 — апрель 2006 года
TLS 1.2 — август 2008 года
Принцип работы SSL и TLS
Принцип работы SSL и TLS, как я уже сказал, один и тот же. Поверх протокола TCP/IP устанавливается зашифрованный канал, внутри которого передаются данные по прикладному протоколу — HTTP, FTP, и так далее. Вот как это можно представить графически:
Прикладной протокол «заворачивается» в TLS/SSL, а тот в свою очередь в TCP/IP. По сути данные по прикладному протоколу передаются по TCP/IP, но они зашифрованы. И расшифровать передаваемые данные может только та машина, которая установила соединения. Для всех остальных, кто получит передаваемые пакеты, эта информация будет бессмысленной, если они не смогут ее расшифровать.
Установка соединения обеспечивается в несколько этапов:
1) Клиент устанавливает соединение с сервером и запрашивает защищенное подключение. Это может обеспечиваться либо установлением соединения на порт, который изначально предназначен для работы с SSL/TLS, например, 443, либо дополнительным запросом клиентом установки защищенного соединения после установки обычного.
2) При установке соединения клиент предоставляет список алгоритмов шифрования, которые он «знает». Сервер сверяет полученный список со списком алгоритмов, которые «знает» сам сервер, и выбирает наиболее надежный алгоритм, после чего сообщает клиенту, какой алгоритм использовать
3) Сервер отправляет клиенту свой цифровой сертификат, подписанный удостоверяющим центром, и открытый ключ сервера.
4) Клиент может связаться с сервером доверенного центра сертификации, который подписал сертификат сервера, и проверить, валиден ли сертификат сервера. Но может и не связываться. В операционной системе обычно уже установлены корневые сертификаты центров сертификации, с которыми сверяют подписи серверных сертификатов, например, браузеры.
5) Генерируется сеансовый ключ для защищенного соединения. Это делается следующим образом:
— Клиент генерирует случайную цифровую последовательность
— Клиент шифрует ее открытым ключом сервера и посылает результат на сервер
— Сервер расшифровывает полученную последовательность при помощи закрытого ключа
Учитывая, что алгоритм шифрования является асимметричным, расшифровать последовательность может только сервер. При использовании асимметричного шифрования используется два ключа — приватный и публичный. Публичным отправляемое сообщение шифруется, а приватным расшифровывается. Расшифровать сообщение, имея публичный, ключ нельзя.
6) Таким образом устанавливается зашифрованное соединение. Данные, передаваемые по нему, шифруются и расшифровываются до тех пор, пока соединение не будет разорвано.
Корневой сертификат
Чуть выше я упомянул корневой сертификат. Это сертификат авторизационного центра, подпись которым подтверждает, что сертификат, который подписан, является именно тем, который принадлежит соответствующему сервису. В самом сертификате обычно содержится ряд информационных полей, в которых содержится информация об имени сервера, которому выдан сертификат, и сроках действия этого сертификата. Если срок действия сертификата истек, он признается недействительным.
Запрос на подпись (CSR, Certificate Sign Request)
Для получения подписанного серверного сертификата необходимо сгенерировать запрос на подпись (CSR, Certificate Sign Request) и отправить этот запрос авторизационному центру, который вернет подписанный сертификат, устанавливаемый непосредственно на сервер, чуть ниже посмотрим, как это сделать на практике. Сначала генерируется ключ для шифрования, затем на основании этого ключа генерируется запрос на подпись, CSR-файл.
Клиентский сертификат
Клиентский сертификат может быть сгенерирован как для использования в устройствах, так и для использования пользователями. Обычно такие сертификаты используются при двусторонней верификации, когда клиент верифицирует, что сервер действительно тот, за кого себя выдает, и сервер в ответ делает то же самое. Такое взаимодействие называется двусторонней аутентификацией или mutual authentication. Двусторонняя аутентификация позволяет повысить уровень безопасности по сравнению с односторонней, а также может служить заменой аутентификации с использованием логина и пароля.
Цепочка действий по генерации сертификатов
Давайте посмотрим на практике, как происходят действия, связанные с генерацией сертификатов, с самого начала, и при этом на практике.
Первое, что делается — это генерация корневого сертификата. Корневой сертификат подписывается самим собой. А потом уже этим сертификатом будут подписываться другие сертификаты.
$ openssl genrsa -out root.key 2048 Generating RSA private key, 2048 bit long modulus ..........+++ ...........................................+++ e is 65537 (0x10001) $ openssl req -new -key root.key -out root.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :N/A Locality Name (eg, city) :Saint-Petersburg Organization Name (eg, company) :My Company Organizational Unit Name (eg, section) :IT Service Common Name (e.g. server FQDN or YOUR name) :My Company Root Certificate Email Address :[email protected] Please enter the following "extra" attributes to be sent with your certificate request A challenge password : An optional company name :My Company $ openssl x509 -req -days 3650 -in root.csr -signkey root.key -out root.pem Signature ok subject=/C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] Getting Private key
Таким образом мы сгенерировали сначала приватный ключ, затем запрос подписи, а затем своим ключом подписали свой же запрос и получили собственный цифровой сертификат, выданный на 10 лет. Пароль (challenge password) при генерации сертификата можно не вводить.
Приватный ключ ОБЯЗАТЕЛЬНО необходимо хранить в надежном месте, имея его можно подписать от вашего имени любой сертификат. А полученный корневой сертификат можно использовать для идентификации того, что сертификат, например, сервера подписан именно нами, а не кем-то еще. Именно такие действия выполняют авторизационные центры, когда генерируют собственные сертификаты. После создания корневого сертификата можно приступать к генерации сертификата сервера.
Просмотр информации о сертификате
Содержимое сертификата можно просмотреть таким образом:
$ openssl x509 -noout -issuer -enddate -in root.pem issuer= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] notAfter=Jan 22 11:49:41 2025 GMT
Мы видим, кто выдал этот сертификат и когда заканчивается срок его годности.
Серверный сертификат
Для подписи сертификата для сервера нам нужно выполнить следующие действия:
1) Сгенерировать ключ
2) Сгенерировать запрос на подпись
3) Отправить CSR-файл в авторизационный центр или подписать самостоятельно
В серверный сертификат может включаться цепочка сертификатов, которыми подписан сертификат сервера, но ее можно также хранить в отдельном файле. В принципе, выглядит всё примерно так же, как и при генерации корневого сертификата
$ openssl genrsa -out server.key 2048 Generating RSA private key, 2048 bit long modulus ...................................................................................+++ ..........................+++ e is 65537 (0x10001) $ openssl req -new -key server.key -out server.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :N/A Locality Name (eg, city) :Saint-Petersburg Organization Name (eg, company) :My Company Organizational Unit Name (eg, section) :IT Service Common Name (e.g. server FQDN or YOUR name) :www.mycompany.com Email Address :[email protected] Please enter the following "extra" attributes to be sent with your certificate request A challenge password : An optional company name : $ openssl x509 -req -in server.csr -CA root.pem -CAkey root.key -CAcreateserial -out server.pem -days 365 Signature ok subject=/C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=www.mycompany.com/[email protected] Getting CA Private Key $ openssl x509 -noout -issuer -subject -enddate -in server.pem issuer= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] subject= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=www.mycompany.com/[email protected] notAfter=Jan 25 12:22:32 2016 GMT
Таким образом сертификат сервера подписан и мы будем знать, какой организацией выдан этот сертификат. После подписи готовый сертификат можно использовать по назначению, например, установить на веб-сервер.
Установка SSL/TLS-сертификата на сервер с nginx
Для установки SSL/TLS-сертификата на веб-сервер nginx надо выполнить несколько простых шагов:
1) Скопировать файлы.key и.pem на сервер. В различных операционных системах сертификаты и ключи могут храниться в разных директориях. В Debian’е, к примеру, это директория /etc/ssl/certs для сертификатов и /etc/ssl/private для ключей. В CentOS это /etc/pki/tls/certs и /etc/pki/tls/private
2) Прописать необходимые настройки в конфигурационный файл для хоста. Вот как это примерно должно выглядеть (это просто пример):
Server { listen 443; server_name www.mycompany.com; root html; index index.html index.htm; ssl on; ssl_certificate server.pem; ssl_certificate_key server.key; ssl_session_timeout 5m; # Не рекомендуется использовать SSLv3 !!! # Он здесь только для примера ssl_protocols SSLv3 TLSv1; ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:+EXP; ssl_prefer_server_ciphers on; location / { try_files $uri $uri/ =404; } }
3) Перезапустить nginx
4) Зайти браузером на 443 порт сервера — https://www.mycompany.com и проверить его работоспособность.
Установка SSL/TLS-сертификата на сервер с Apache
Установка SSL/TLS-сертификата на Apache выглядит примерно так же.
1) Скопировать файлы ключа и сертификата на сервер в соответствующие директории
2) Включить модуль ssl для Apache командой «a2enmod ssl», если он еще не включен
3) Создать виртуальный хост, который будет слушать 443 порт. Конфиг будет выглядеть примерно так:
При этом надо сделать еще кое-что. Найти в файле httpd.conf, или apache2.conf, или ports.conf, в зависимости от системы, такой участок конфига:
Если такого условия нет, его надо добавить в конфиг. И еще одно: Надо добавить строку
NameVirtualHost *:443
Эта строка может находиться в файле httpd.conf, apache2.conf или ports.conf
4) Перезапустить веб-сервер Apache
Создание клиентского сертификата
Клиентский сертификат создается примерно так же, как серверный.
$ openssl genrsa -out client.key 2048 Generating RSA private key, 2048 bit long modulus ........................+++ ..................................................+++ e is 65537 (0x10001) $ openssl req -new -key client.key -out client.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :Saint-Petersburg Locality Name (eg, city) :^C mnorin@mnorin-work:~/Temp/certs/CA$ openssl req -new -key client.key -out client.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :N/A Locality Name (eg, city) :Saint-Petrersburg Organization Name (eg, company) :My Company Organizational Unit Name (eg, section) :Engineering Common Name (e.g. server FQDN or YOUR name) :Ivan Ivanov Email Address :[email protected] Please enter the following "extra" attributes to be sent with your certificate request A challenge password : An optional company name : $ openssl x509 -req -in client.csr -CA root.pem -CAkey root.key -CAcreateserial -out client.pem -days 365 Signature ok subject=/C=RU/ST=N/A/L=Saint-Petrersburg/O=My Company/OU=Engineering/CN=Ivan Ivanov/[email protected] Getting CA Private Key $ openssl x509 -noout -issuer -subject -enddate -in client.pem issuer= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] subject= /C=RU/ST=N/A/L=Saint-Petrersburg/O=My Company/OU=Engineering/CN=Ivan Ivanov/[email protected] notAfter=Jan 25 13:17:15 2016 GMT
Если необходим клиентский сертификат в формате PKCS12, создаем его:
$ openssl pkcs12 -export -in client.pem -inkey client.key -certfile root.pem -out iivanov.p12 Enter Export Password: Verifying - Enter Export Password:
Теперь можно использовать клиентский сертификат для работы с нашим сервером.
Настройка nginx на использование клиентских сертификатов
Чаще всего, как я уже сказал, используется односторонняя аутентификация, обычно проверяется только сертификат сервера. Давайте посмотрим, как заставить веб-сервер nginx проверять клиентский сертификат. Необходимо в секцию server добавить опции для работы с клиентскими сертификатами:
# Корневой сертификат(ы), которым(и) подписан клиентский ssl_client_certificate /etc/nginx/certs/clientroot.pem; # Возможные варианты: on | off | optional | optional_no_ca ssl_verify_client optional; # Глубина проверки цепочки сертификатов, которыми подписан клиентский ssl_verify_depth 2;
После этого надо перезагрузить настройки или сервер целиком и можно проверять работу.
Настройка Apache на использование клиентских сертификатов
Apache настраивается также через добавление дополнительных опций в секцию виртуального хоста:
# Директория, содержащая корневые сертификаты для проверки клиентов SSLCARevocationPath /etc/apache2/ssl.crl/ # или файл, содержащий сертификаты SSLCARevocationFile /etc/apache2/ssl.crl/ca-bundle.crl # Опция верификации клиента. Возможные варианты: # none, optional, require and optional_no_ca SSLVerifyClient require # Глубина просмотра цепочки подписей. По умолчанию 1 SSLVerifyDepth 2
Как видите, опции примерно такие же, как и для nginx, поскольку процесс проверки организован единообразно.
«Прослушка» информации о сертификате при помощи openssl
Для проверки взаимодействия сервера с клиентскими сертификатами можно проверить, устанавливается ли соединение с использованием TLS/SSL.
На стороне сервера запускаем прослушку порта при помощи openssl:
Openssl s_server -accept 443 -cert server.pem -key server.key -state
На стороне клиента обращаемся к серверу, например, culr’ом:
Curl -k https://127.0.0.1:443
В консоли со стороны сервера можно наблюдать процесс обмена информацией между сервером и клиентом.
Можно также использовать опции -verify [глубина проверки] и -Verify [глубина проверки]. Опция с маленькой буквы запрашивает у клиента сертификат, но он не обязан его предоставлять. С большой буквы — если сертификат не предоставлен, возникнет ошибка. Запустим прослушку со стороны сервера таким образом:
Openssl s_server -accept 443 -cert server.pem -key server.key -state -Verify 3
Со стороны сервера ошибка выглядит так:
140203927217808:error:140890C7:SSL routines:SSL3_GET_CLIENT_CERTIFICATE:peer did not return a certificate:s3_srvr.c:3287:
Со стороны клиента так:
Curl: (35) error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure
Добавим с клиентской стороны сертификат и доменное имя (можно для проверки вписать в файл /etc/hosts имя хоста для адреса 127.0.0.1):
Curl https://www.mycompany.com:443 --cacert root.pem --cert client.pem --key client.key
Теперь соединение пройдет успешно и можно устанавливать серверный сертификат на веб-сервер, клиентский отдать клиенту, и работать с ними.
Безопасность
При использовании SSL/TLS одним из основных методов является метод MITM (Man In The Middle), «человек посередине». Этот метод основывается на использовании серверного сертификата и ключа на каком-то узле, который будет прослушивать трафик и расшифровывать информацию, которой обмениваются сервер и клиент. Для организации прослушивания можно использовать, например, программу sslsniff. Поэтому корневой сертификат и ключ обычно желательно хранить на машине, которая не подключена к сети, для подписания приносить запросы на подпись на флэшке, подписывать и так же уносить. И, естественно, делать резервные копии.
В общих чертах именно так и используются цифровые сертификаты и протоколы TLS и SSL. Если есть вопросы/дополнения, пишите в комментарии.
Запись опубликована автором в рубрике с метками , .Навигация по записям
: 29 комментариев
cl-service.com
CSR клиент генерирует сам при заказе сертификата, где сохранять закрытый ключ также решает клиент, для выпуска сертификата нам не нужен закрытый ключ и клиент нам его никак не передает. Естественно если это происходит на обычном виртуальном, то у администраторов с root доступом к серверу есть доступ и к ключам, которые там хранятся.
- Доброжелатель.
Тема сисек не раскрыта, ибо описанная технология работы PKI не имеет ничего общего с заголовком темы. Хоть бы для причия ссылки на rfc привел.
P.S. Был такой анекдот про собаку и блоху. - Доброжелатель.
Нивкоем случае не хотел тебя обидеть. Искал инфу о различии SSl и TLS на практике и твоя ссылка в гугле была первая. Был заинтрегован названием темы. Все круто, так держать!
- DrAibolit
Благодарю за толковые пояснения о цифровой сертификации. Я новичок в этом=)
Надеюсь разъясните следующий вопрос.
Поскольку в интернет индустрии очень развита тема мошенничества, хотелось бы научиться определять на «вшивость» самостоятельно посещаемые мною сайты (особенно, где присутствуют кашельки и оплаты, инвестиции и т.д) и определять исходя из этого степень моего доверия (приходится часто регистрироваться, оставлять личную информацию, совершать покупки, транзакции, инвестиции). Если я правильно понял, что наличие данной сертификации позволяет сделать такую оценку. Ну и с другой стороны, получить ее не проблема и даже бесплатно.
Как или с помощью какой программы можно определить наличие цифрового сертификата у того или иного сайта? и желательно его категорию, которая присваивается при выдаче спецорганом SSL DV (выдача сертификата проводится с проверкой только домена), SSL OV (с проверкой организации), EV (с расширенной проверкой юрлица). Мошеннические сайты скорее всего последним вариантом сертификации пользоваться не станут..
Буду рад, если поведаете еще способы определения надежности сайтов))- mnorin
Автор записи
Какой-то определенной программы для этих целей я еще не встречал, но пару советов по этому поводу могу дать.
Можно использовать, например, Chromium или Google Chrome. Возьмем, например, сайт https://www.thawte.com/ — компания, которая собственно цифровымисертификатами и занимается.
В адресной строке будет написано название компании и зеленый замочек. Это значит, что организация проверена, это как минимум SSL OV.
Если кликнуть на замочек, а в выпавшем окошке «Details», а затем «View Certificate», то можно увидеть информацию о сертификате. Для Thawte сертификат подписан следующим сертификатом: «thawte Extended Validation SHA256 SSL CA», а сертификат для click.alfabank.ru тоже подписан Thawte, но другим сертификатом. Это «thawte EV SSL CA — G3», то есть они тоже проходили Extended Validation.
Как-то так.
- mnorin
Автор записи
- Руслан
Раздел «Принцип работы SSL и TLS», «Клиент генерирует случайную цифровую последовательность».
Я был уверен что клиент генерирует сеансовый закрытый и, соответственно, открытый ключи (который вы, очевидно, и назвали «цифровая последовательность»). Открытый ключ передаётся серверу и сервер шифрует пакеты в сторону клиента сеансовым открытым клиентским ключом.
Уточните, пожалуйста.
- Новичок
Статья очень полезная! Даже есть практические примеры=) Только я не понял одну вещь — в чем различие между корневым сертификатом и серверным? или это одно и тоже?
- Виталий
Здравствуйте.
Хостер предложил услугу - SSL для виртуальных серверов. Воспользовались. Оказалось, что для третьего уровня, т.е. http://www.site.ru сертификат недействителен, только для site.ru. Притом, посетителей упорно кидает на протокол https, не важно, заходят они на site.ru или на http://www.site.ru . Разумеется, во втором случае браузер начинает истошно ругаться, а посетитель до сайта так и не добирается.
А для тех, кто до сайта таки добрался, сайт стал выглядеть криво, пропала часть меню, перестала отображаться часть картинок в выдаче некоторыми компонентами.
ЦИФРОВАЯ СЕРТИФИКАЦИЯ ЗАЩИЩЕННОГО СОЕДИНЕНИЯ SSL
Для безопасной передачи данных между браузером и веб-сервером используется протокол передачи данных https, в основе которого положено защищенное соединение SSL.
В данной статье рассказываются общие сведения о шифровании с открытым ключом, цифровых сертификатах, инфраструктуре открытого ключа (PKI - Public Key Infrastructure), о создании удостоверяющего центра, конфигурировании контейнеров сервлетов Apache Tomcat и JBoss для установления одностороннего и двухстороннего безопасного соединения, генерации хранилища сертификатов и как создать SSL сертификат при помощи утилиты keytool. Так же вы узнаете о способах проверки отозванных сертификатов в Java (CRL списки, протокол OCSP) и конфигурировании браузера для работы с сертификатами.
Современным способом безопасной передачи сообщений в сети является метод шифрования с открытым ключом. Суть метода заключается на наличии пары ключей: открытого и закрытого. Открытый и закрытый ключ – это алгоритмы преобразования исходного сообщения в зашифрованное и зашифрованного сообщения в исходное.
Открытый ключ находится в свободном доступе и предоставляется всем желающим отправить зашифрованное сообщение. Отправитель, зашифровав сообщение, может уверенно передавать его по небезопасному каналу связи и быть уверенным, что только адресат сможет прочитать данное сообщение.
Закрытый ключ, хранится в строгой секретности у владельца пары ключей. Получив сообщение, зашифрованное открытым ключом, адресат использует закрытый ключ для его расшифровки. Так как закрытый ключ известен только адресату сообщения, то никто другой не сможет его прочитать, что дает гарантию секретности сообщения.
Сообщение, зашифрованное закрытым ключом, может быть расшифровано всеми обладателями открытого ключа.
На основании данного алгоритма шифрования создается защищенное соединение SSL.
Цифровой сертификат
Цифровой сертификат – это электронный документ, идентифицирующий владельца. Он содержит основную информацию о владельце, открытый ключ владельца, сроки действия, цифровая подпись эмитента (издателя) и др. необходимую информацию. В цифровом сертификате существует раздел расширений (необязательный для заполнения), в котором расположены точки распространения списка отзыва, сведения об издателе и др. Цифровой сертификат позволяет организовать защищенное соединение SSL. О том как создать SSL сертификат рассказывается ниже в данной статье.
Основные особенности приведенных выше сертификатов:
SSL сертификат удостоверяющего центра должен содержать поле CA со значением TRUE, что позволяет выдавать другие сертификаты, т.е. данный сертификат не является конечным в цепочке.
Серверные SSL сертификаты в поле CN (common name) должны обязательно содержать доменное имя или ip-адрес по которому происходит обращение к серверу, в противном случае сертификат будет признан недействительным;
Клиентские SSL сертификаты содержат e-mail адрес клиента, его имя и фамилию. В отличие от серверного сертификата поле CN не критично к содержимому и может содержать как имя с фамилией, так и e-mail адрес.
Цифровой SSL сертификат считается действительным в пределах срока действия, указанного в его полях. Таким образом, сертификатом невозможно пользоваться ранее даты начала действия, и после даты окончания действия, т.к. системы, вступающие с ним в контакт, будут сообщать о недоверии к нему.
Существуют ситуации, когда пользователю или издателю сертификата необходимо приостановить или полностью остановить его действие. Допустим, что закрытый ключ, который должен надежно храниться, был утерян или к нему получили доступ злоумышленники. В такой ситуации пользователю необходимо обратиться к эмитенту (издателю) сертификата, чтобы последний отменил его действие. Также издатель может отменить сертификат в случае выяснения, что клиент предоставил сфальсифицированную информацию о себе. Для этих целей создается специальный список, называемый списком аннулированных (отозванных) сертификатов (англ. Certificate revocation list, CRL). Данный список содержит серийный номер сертификата, дату прекращения его действия и причину отзыва. С момента попадания сертификата в CRL он считается недействительным и издатель не несет ответственность за содержимое такого сертификата. Одним из методов проверки CRL списка является протокол OCSP, но для этого необходимо налицие у удостоверяющего центра OCSP-респондера.
Инфраструктура открытого ключа (PKI)
Основной задачей инфраструктуры открытого ключа (Public Key Infrastructure, PKI) является определение политики выдачи цифровых сертификатов.
Для выпуска и отмены SSL сертификатов, генерации списков отзыва (CRL) необходимо специальное программное обеспечение (ПО). В качестве примера такого ПО можно привести Microsoft CA (входит в состав MS Windows Server 2000/2003/2008), OpenSSL (распространяется на unix-подобных ОС). Данное ПО размещается на оборудовании удостоверяющего центра.
Удостоверяющий центр (англ. Certification authority, CA) – организация, которая выдает цифровые SSL сертификаты на основании данных предоставленных заказчиком. Удостоверяющий центр несет полную ответственность за достоверность данных представленных в SSL сертификате, это значит, что владелец сертификата является именно тем, за кого себя выдает.
Наиболее распространенными удостоверяющими центрами в мире являются Verisign и Comodo. Сертификатам этих удостоверяющих центров доверяют 99% браузеров и большинство серверного ПО. Ниже описано создание удостоверяющего центра.
Защищенное соединение SSL с двухсторонней аутентификацией
Защищенное соединение SSL чаще всего применяется в электронной коммерции. В качестве примера можно рассмотреть покупку товаров через электронный магазин. Покупатель, указывая номера и коды кредитных карт, хочет быть уверенным, что они не попадут злоумышленнику. Поэтому сервер удостоверяет свою подлинность, предоставляя сертификат клиенту. Гарантом этой подлинности является удостоверяющий центр. Шифрование данных клиента будет производиться открытым ключом сервера. Эти данные могут быть расшифрованы только закрытым ключом, который находится на сервере. Поэтому клиент может не опасаться, что злоумышленник перехватит его данные, он все равно не сможет их расшифровать.
Клиентский SSL сертификат применяется в случаях, когда серверу необходимо подтверждение, что клиент именно тот за кого себя выдает. Например, банк предоставляет сетевой доступ для управления личным счетом. Он хочет обезопасить себя и быть уверенным, что к нему обращается владелец данного счета, а не злоумышленник, раздобывший логин и пароль. В данной ситуации клиент предоставляет свой открытый ключ серверу и все полученные данные от сервера могут быть расшифрованы только клиентом и никем другим, т.к. он является владельцем закрытого ключа.
На рисунке представлена схема, на которой показаны этапы создания защищенного соединения SSL.
Рис 1 - Схема создания защищенного соединения SSL с двухсторонней аутентификацией
Когда клиент пытается получить доступ к защищенному ресурсу, сервер отправляет свой цифровой сертификат. Получив сертификат, клиент осуществляет его проверку. Проверка заключается в следующем: даты начала действия и окончания не должны быть просроченными, издатель сертификата должен быть доверенным, сертификат не должен находиться в CRL. В случае неудачной проверки процесс установления соединения прерывается. Если условия проверки выполнены, то клиент передает свой сертификат серверу. Сервер проводит аналогичную проверку. В случае неудачной проверки сервер запретит доступ к своим ресурсам. При успешной проверке устанавливается безопасное соединение и данные передаются в шифрованном виде.
В данной схеме происходит двойное шифрование передаваемых данных. Клиент шифрует сообщение с помощью открытого ключа сервера, а затем собственным закрытым ключом. После получения сообщения, сервер расшифровывает сообщение открытым ключом клиента, а затем своим закрытым ключом. Таким образом, сервер и клиент аутентифицируют себя друг другу, т.к. только они могут расшифровывать полученные данные.
Следует отметить, что применение данной методики уменьшает скорость обмена данными, т.к. операции шифрования/дешифрования требуют дополнительного времени и скорость их выполнения зависит от мощности вычислительных ресурсов.
Создание удостоверяющего центра
Для тестовых целей или когда нецелесообразно покупать цифровой сертификат, следует создать собственный удостоверяющий центр.
Корневой удостоверяющий центр – удостоверяющий центр, которому доверяют все. Он обладает SSL cертификатом, который подписан его собственным закрытым ключом. Такие SSL сертификаты называют самоподписными (англ. self signed).
Закрытый ключ корневого удостоверяющиего центра должен храниться очень надежно, т.к. в случае его утери или кражи пропадает доверие ко всем подчиненным SSL сертификатам.
Подчиненный удостоверяющий центр – удостоверяющий центр, который выдает SSL сертификаты клиентам. Сертификат подчиненного удостоверяющего центра подписывается закрытым ключом вышестоящего удостоверяющего центра. В качестве клиентов подчиненного удостоверяющего центра могут выступать удостоверяющие центы, web-серверы, web-обозреватели, почтовые клиенты, для которых генерируются сертификаты необходимого типа. Типы сертификатов определяются политикой удостоверяющего цента.
Из вышесказанного следует, что создается цепочка сертификатов от корневого удостоверяющего центра до конечного клиентского сертификата.
Рис 2 – Цепочка сертификатов
Для создания удостоверяющего центра воспользуемся двухуровневой схемой, представленной на рисунке 3. В данной схеме имеется корневой удостоверяющий центр (Root CA) и подчиненный удостоверяющий цент (Issuing CA). Корневой удостоверяющий центр подписывает собственный SSL сертификат и SSL сертификаты подчиненных удостоверяющего. Следует отметить тот факт, что чем больше уровней используется, тем более безопасной является схема.
В сертификатах корневого и подчиненного удостоверяющего центра в расширении прописаны точки распространения CRL. Точка распространения CRL представляет собой сетевой адрес. По данному адресу должен с заданной периодичностью выкладываться файл CRL, генерируемый специальным ПО.
Рис 3 – Двухуровневая схема удостоверяющего центра
Пример организации удостоверяющего центра на основе Microsoft CA можно прочитать в статье «Разворачивание цепочки центров сертификации на основе Microsoft CA».
Получение серверного SSL сертификата в удостоверяющем центре и конфигурирование контейнера сервлетов
Цифровой SSL сертификат сервера дает возможность создать защищенное соединение SSL, которое позволит передавать данные в шифрованном виде.
Для получения сертификата, который будет использоваться контейнером сервлетов, необходимо сгенерировать запрос на выдачу цифрового сертификата (англ. Certificate signing request, CSR) к удостоверяющему центру. Запрос содержит основные данные об организации и открытый ключ.
Основное поле, которое должно быть правильно заполнено называется Common Name (CN). В данном поле необходимо указать доменное имя или IP-адрес хоста, на котором располагается контейнер сервлетов.
Для генерации секретного и открытого ключей и запроса на SSL сертификат можно воспользоваться утилитой keytool, входящей в состав JDK (Java development kit).
В командной строке необходимо ввести следующую команду:
$JAVA_HOME\bin> keytool -genkey -alias
Рис 4 – Создание хранилища SSL сертификатов утилитой keytool
Данная команда утилиты keytool создает хранилище сертификатов с именем
Во время создания хранилища утилитой keytool будет предложено ввести пароль на доступ к хранилищу, сведения об организации и пароль к секретному (закрытому) ключу. При ответе на вопрос утилиты keytool «What is your first and last name?» необходимо ввести доменное имя или ip-адрес хоста, т.к. значение ответа будет использовано в качестве поля CN SSL сертификата.
После того как утилитой keytool сгенерированно хранилище с ключами, следует сформировать запрос к удостоверяющему центру на подпись SSL сертификата. Это делается командой:
$JAVA_HOME\bin> keytool -certreq -keyalg RSA -alias
В файле
Для выдачи SSL сертификата организации удостоверяющий центр может потребовать учредительные документы, свидетельство о регистрации и др. При получении заявки на SSL сертификат удостоверяющий центр выполняет проверку, сравнивая данные в запросе на сертификат и присланных документах, после чего подписывает запрос. Подписанный запрос является сертификатом.
Рис 5 – Схема получения сертификата сервера
Получив сертификат из удостоверяющего центра его необходимо поместить в хранилище, предварительно добавив SSL сертификаты корневого и промежуточного удос товеряющих центров. Для добавления SSL сертификатов в хранилище следует воспользоваться следующими командами утилиты keytool:
1) добавление сертификата корневого удостоверяющего центра утилитой keytool:
$JAVA_HOME\bin> keytool -import -trustcacerts -alias rootca -file
2) добавление сертификата промежуточного удостоверяющего центра утилитой
keytool: $JAVA_HOME\bin> keytool -import -trustcacerts -alias subca -file
3) замена самоподписного сертификата сертификатом, подписанным в
удостоверяющем центре (указывается значение параметра alias, которое
использовалось при создании хранилища): $JAVA_HOME\bin> keytool -import -trustcacerts
-alias
Чтобы в приложениях использовать защищенное соединение SSL необходимо сконфигурировать контейнер сервлетов. Для Apache Tomcat и JBoss необходимо в файле server.xml добавить следующее содержимое:
clientAuth="false" sslProtocol="TLS" keystoreFile=" keystorePass=" keystoreType="JKS" keyAlias=" Данная запись позволяет контейнеру сервлетов устанавливать защищенное
соединение, используя цифровой SSL сертификат, который располагается в хранилище
В приведенной конфигурации используется односторонняя аутентификация, т.е.
предоставление цифрового SSL сертификата требуется только от сервера. Для
создания двухсторонней аутентификации, т.е. когда и клиент предоставляет
цифровой SSL сертификат, необходимо изменить конфигурацию контейнера сервлетов
следующим образом: maxThreads="150" scheme="https" secure="true" clientAuth="true" sslProtocol="TLS" keystoreFile="
keystorePass=" keystoreType="JKS" keyAlias=" truststoreFile="
truststorePass=" В данной конфигурации устанавливается параметр clientAuth=”true” и
подключается хранилище доверенных сертификатов. Создание хранилища доверенных
SSL сертификатов производится утилитой keytool так же, как и обычное хранилище.
В него необходимо добавить сертификаты удостоверяющих центров, выдающих цифровые
сертификаты, которым должен доверять контейнер сервлетов. В противном случае при
аутентификации предоставляемые SSL сертификаты будут отклонены контейнером
сервлетов, т.к. к ним не будет доверия. Существует 3 способа проверки сертификата на отзыв: статическая проверка CRL,
динамическая проверка CRL, проверка по протоколу OCSP. Рассмотрим эти способы
подробнее. 1) Статическая проверка CRL При использовании данного типа проверки администратору сервера необходимо в
конфигурации прописать имя файла на локальном диске, где располагается список
отозванных сертификатов. Данный список загружается с сетевого ресурса
удостоверяющего центра. Для подключения CRL в контейнерах сервлетов Apache Tomcat и Jboss следует у
ssl-коннекторе добавить атрибут: crlFile=”
Недостатком данного способа является необходимость постоянного контроля
администратора за обновлением файла CRL. 2) Динамическая проверка CRL Данный способ позволяет осуществлять проверку CRL автоматически. Для этого
необходимо, чтобы в предоставляемом клиентом SSL сертификате в разделе
расширений был прописан атрибут CRLDistributionPoint, в котором указывается
URL-адрес, по которому расположен список отозванных сертификатов (CRL). Чтобы выполнялась проверка клиентского SSL сертификата в CRL необходимо
сконфигурировать два параметра для виртуальной машины Java. Эти параметры можно
указать в скрипте запуска контейнера сервлетов. Для Apache Tomcat и Jboss под
Windows это выглядит следующим образом: set JAVA_OPTS=%JAVA_OPTS% -Dcom.sun.net.ssl.checkRevocation=true Dcom.sun.security.enableCRLDP=true -Djava.security.debug=certpath Параметр java.security.debug=certpath позволяет наблюдать в консоли
запущенного контейнера проверку подлинности сертификата. К недостаткам данного способа можно отнести задержку доступа к защищенному
ресурсу, связанную с загрузкой большого по объему файла CRL. 3) Проверка с помощью протокола OCSP Протокол OCSP (Online certificate status protocol) разработан в качестве
альтернативы CRL. Данная проверка поддерживается технологией JSSE (Java Secure
Socket Extension) начиная с версии JDK 5. OCSP работает в сочетании с CRL.
Обращение к CRL происходит в случае возникновения ошибки при взаимодействии по
OCSP. В случае, если OCSP определил статус SSL сертификата проверка CRL не
осуществляется. Сертификат может обладать одним из трех статусов: аннулирован,
нормальный, неизвестный. Для проверки по OCSP сертификат должен содержать в разделе расширений
атрибут AuthorityInfoAccess со значением URL-адреса OCSP-респондера. OCSP-респондер – программное обеспечение, расположенное на сетевом ресурсе
удостоверяющего центра, которое обрабатывает запросы на определение статуса
сертификата и выдает результаты проверки. Для того, чтобы виртуальная машина Java осуществляла проверку по OCSP
необходимо установить свойство ocsp.enable=true. Данное свойство настраивается в
файле JAVA_HOME\jre\lib\security\java.security. В данном файле можно прописать
адрес OCSP-респондера в свойстве ocsp.responderURL. Это свойство будет
использоваться в случае отсутствия URL респондера в SSL сертификате. Существуют ситуации, когда не только серверу необходимо подтвердить, что он
является тем за кого себя выдает, но и когда сервер требует от клиента
подтвердить свою личность цифровым сертификатом. Получить клиентский SSL сертификат можно без самостоятельной генерации
запроса, сделав это с помощью удостоверяющего центра. Для этого на сайте УЦ
необходимо заполнить форму с указанием имени, фамилии, e-mail адреса и др. На
основании этих данных будет сгенерирован запрос. В данной ситуации генерация
секретного ключа возлагается на удостоверяющий центр. После проверки данных и
подписи запроса, клиенту высылается файл, содержащий секретный ключ и
сертификат, а так же файлы корневого и промежуточных удостоверяющих центров. Получив файлы сертификатов необходимо настроить программное обеспечение,
которое будет устанавливать защищенные соединения. В качестве примера произведем установку клиентского SSL сертификата в
web-обозреватель
Microsoft Internet Explorer. Для этого необходимо в меню
выбрать Сервис > Свойства обозревателя. На закладке «Содержание» выбрать
«Сертификаты…». Запускаем мастер импорта сертификатов, нажав на кнопку «Импорт…». В данном
мастере указываем путь к сертификату корневого удостоверяющего центра. Далее
выбираем хранилище «Доверенные корневые центры сертификации» для добавления в
него сертификата. Аналогичным образом добавляются сертификаты промежуточных центров
сертификации в хранилище «Промежуточные центры сертификации» и клиентский
сертификат в хранилище «Личные». Для просмотра содержимого сертификата, выбирается нужный SSL сертификат и
нажимается кнопка «Просмотр». Если получение клиентского сертификата происходит у известного
удостоверяющего центра, то, как правило, его SSL сертификаты уже содержатся в
хранилищах web-обозревателя и нет необходимости их добавлять. Следует только
добавить клиентский сертификат. Если сервер, с которым будет производиться взаимодействие, получал
сертификат не у распространенного удостоверяющего центра, то серверный
сертификат следует добавить в доверенные, чтобы web-обозреватель не выдавал
сообщение о недоверии к такому сертификату. Если в качестве клиента использует web-обозреватель MS Internet Explorer, то
его можно настроить, чтобы производилась проверка присланных сертификатов в CRL.
Для этого необходимо в свойствах обозревателя перейти на закладку
«Дополнительно» и отметить два атрибута «Проверять аннулирование сертификатов
издателей» и «Проверять аннулирование сертификатов серверов». Последнее время с завидной регулярностью приходится сталкиваться с HTTPS/SSL. Однако каждый раз, когда наступает подобный проект, успеваю позабыть как это делается. Чтобы проще было восстанавливать в памяти знания, решил сделать перевод материалов отсюда . Однако, постепенно, перевод отошел от оригинала. SSL — семейство протоколов для установки шифрованного соединения между двумя сторонами, желающими обмениваться данными. Это обмен в процессе которого соединяющиеся стороны договариваются какие механизмы шифрования каждый из них поддерживает, какую длину ключа использовать, режимы шифрования, производится обмен сертификатами, несимметричный алгоритм шифрования используется для обмена ключом симметричного протокола шифрования, который потом используется при дальнейшем взаимодействии. Такой начальный обмен данными называется handshake. Симметричный ключ генерируется во время handshake и действует только для одной SSL сессии. Если сессия не остается активной, ключ устаревает (expire). Максимальное время после которого SSL сессия устаревает (expire) может быть задано. После устаревания сессии handshake должен быть повторен с начала. Результатом установки сессии является новый симметричный ключ. Сертификаты и ключи
Прежде чем углубляться в детали SSL, нужно ввести понятие ключей и сертификатов. SSL/TLS используют асимметричное шифрование для аутентификации и для обмена симметричным ключом, который будет использоваться для шифрования данных во время сессии. Асимметричное шифрование использует пары ключей
для шифрования — приватный ключ и соответствующий ему публичный ключ. Данные зашифрованные одним ключом могут быть расшифрованы парным ключом. Аналогично данные подписанные одним ключом, могут быть проверены вторым ключом. Приватный ключ, как предполагает его имя, должен храниться в секрете. Сертификаты.
Сертификат состоит из публичного ключа, вместе с некоторой идентифицирующей владельца информацией и даты прекращения срока действия ключа. Также сертификат содержит цифровую подпись организации выдавшей сертификат (certificate authority CA). Цифровая подпись гарантирует, что сертификат не подделан. Сертификат обычно выдается веб-серверу, приложению или пользователю. Сертификат является способом распространения публичного ключа шифрования. Если клиент шифрует сообщение публичным ключом сервера (из сертификата сервера), клиент может быть уверен, что только легальный сервер сможет расшифровать сообщение. В процессе установления SSL/TLS сессии, клиент создает часть сессионного ключа, шифрует сообщение с помощью публичного ключа сервера и передает на сервер. Если сервер тот, за кого себя выдает, он сможет расшифровать сообщение с помощью приватного ключа и достать из сообщения сессионный ключ. Сертификаты бывают двух типов. Self-signed сертификаты — сертификаты введенные для тестирования, чтобы разработчики могли не дожидаясь получения официально-подписанного сертификата могли тестировать свое программное обеспечение. Self-signed сертификат отличается тем, что подлинность его невозможно проверить, если только вы его не сделали лично или не получили на цифровом носителе из надежного источника. В остальном self-signed сертификаты точно такие, как и официальные. Программно они могут использоваться точно также. Доверие (Trust)
Ключевым понятием SSL соединения является концепция доверия (trust) сертификату. Важным является способ получения сертификата, используемого для соединения. Если вы получаете сертификат из надежного источника, например лично от владельца сайта, вы можете быть уверенным что сертификат подлинный и вы действительно соединяетесь с настоящим сайтом. Однако при установке соединения из веб-браузера, к примеру, сертификат сервера может получаться с самого сервера, с которым вы устанавливаете соединение. Встает вопрос подлинности сертификата. Что если хакер создал его собственную пару асимметричных ключей и затем сделал собственный сертификат для подделки сервера банка? Модель доверия, простая. Каждый клиент или сервер решает, что он доверяет определенным организациям (certificate authorities (CA)) выдающим сертификаты. Доверять CA, значит доверять что любые сертификаты выданные CA легальные и что идентифицирующая информация в сертификате корректна и заслуживает доверия. Verisign — пример CA, подписывающий множество сертификатов для больших Internet компаний. Все браузеры верят Verisign по умолчанию. Идентификационная информация сертификата содержит цифровую подпись, сгенерированную CA. Клиент или сервер доверяет CA, добавляя сертификат в файл хранилище, называемый ‘truststore’. Сохранение CA сертификата в truststore позволяет java проверять цифровую подпись сертификата сгенерированную CA и решить доверять сертификату или нет. Если хакер подкладывает поддельный сертификат для Barclay’s банка, ваш браузер будет пытаться проверить цифровую подпись у сертификата. Эта проверка будет не успешной поскольку в truststore нет сертификата, которым подписан сертификат злоумышленника. Certificate Chain
На практике формат сертификатов таков, что в сертификат может входить множество подписей. В сертификате хранится не одна подпись а некий «Certificate Chain» Когда генерируются приватный и публичные ключи, для публичного ключа автоматически генерируется self-signed сертификат. Т.е. изначально вы получаете пару из приватного ключа и сертификата, содержащего подписанный публичный ключ. Self-signed certificate — такой сертификат, в котором создатель ключа и подписывающий является одним лицом. Позже, после генерации Certificate Signing Request (CSR) и получения ответа от Certification Authority (CA), self-signed (самоподписанный) сертификат заменяется на цепочку сертификатов (Сertificate Chain). В цепочку добавляется сертификат от CA, подтверждающий подлинность публичного ключа, за ним сертификат, подтверждающий подлинность публичного ключа CA. В многих случаях, последний сертификат в цепочке (удостоверяющий подлинность публичного ключа CA) сам является самоподписанным. В других случаях, CA в свою очередь, может вернуть не один а цепочку сертификатов. В таком случае, первым в цепочке лежит публичный ключ, подписанный CA который выдал сертификат, а вторым сертификатом может быть сертификат другого CA, подтверждающий подлинность публичного ключа первого CA, которому посылался запрос на подпись. Следом будет идти сертификат, подтверждающий подлинность публичного ключа второго CA, и т.д. до тех пор пока цепочка не закончится самоподписанным корневым root — сертификатом. Каждый сертификат в цепочке подтверждает подлинность публичного ключа предыдущего сертификата в цепочке. Рассмотрим SSL глубже. Бывает два вида SSL соединений. Простая аутентификация (1 way SSL authentication)
Перед установкой шифрованного SSL/TLS соединения должна быть выполнена аутентификация. Чтобы простое соединение могло быть установлено, должен быть установлен сервер с закрытым ключом, для которого получен сертификат. Клиент также должен хранить список организаций СА, которым он доверяет. Клиент проверяет подлинность сервера перед установкой шифрованного соединения. 2 way SSL authentication (двусторонняя аутентификация)
При таком типе аутентификации и сервер, и клиент, оба предоставляют сертификаты для проверки подлинности друг-друга перед установкой шифрованного соединения. Проверка сертификата
При односторонней аутентификации (первый тип), сервер имеет сертификат с парным приватным ключом. Данные зашифрованные с помощью публичного серверного ключа могут быть расшифрованы с помощью приватного ключа на сервере. Клиент, желающий установить соединение с сервером, проверяет сертификат сервера прежде чем переходить к установке шифрованного соединения. Клиент должен проверить следующее: Проверяются также другие мелкие детали, такие как алгоритм шифрования цифровой подписи, длины ключа и т.д. При 2 стороней аутентификации клиент и сервер оба владеют приватными ключами и сертификатами. Оба проверяют сертификаты друг-друга, перед установкой шифрованного соединения. Клиент проделывает проверки описанные выше и сервер выполняет те же действия над клиентским сертификатом. Запрос подписи и подписывание сертификатов Создание ключей и сертификатов регламентируется стандартами. Ключи генерируются в соответствии с PKCS… . Когда пара состоящая из публичного и приватного ключей сгенерирована, создается объект запроса на сертификат, называющийся Certificate Signing Request (CSR), регламентируемый стандартом PKCS#10. Trusted CA (certificate authority) должен затем решить хочет ли он подписать CSR, доверяет ли он запрашивающему регистрацию клиенту и предоставленной им информации в его сертификате. Если CA (certificate authority) рещает доверять запросу на подпись сертификата (CSR), результатом становится выпуск подисанного сертификата с идентификационной информацией предоставленной в CSR. Сертификат регламентируется стандартом X.509. Мы выпустили новую книгу «Контент-маркетинг в социальных сетях: Как засесть в голову подписчиков и влюбить их в свой бренд». Мир помешался на интернет-безопасности. Если вы в тренде и переписываетесь исключительно в «Телеграме», то почитайте про то, как установить на сайт защищенного соединения . Он пригодится в любом случае, а если вы интернет-магазин, то без него вообще нельзя будет обойтись. Попутно расскжем про сертификаты : что это такое и для чего они нужны.
Это протокол защищенного соединения. Он шифрует информацию, которой обменивается сервер и браузер пользователя – это помогает защитить данные о паролях, номерах кредиток и адресах электронной почты. Использование HTTPS сильно и делает его немного привлекательнее в глазах поисковых систем – Google ранжирует защищенные сайты выше, чем незащищенные. Чтобы включить протокол HTTPS на своем сайте, нужно сперва установить на сервере SSL-сертификат.
Он формирует уникальную цифровую подпись сайта, которая и помогает защитить соединение. Без сертификата SSL получить протокол HTTPS не получится, как ни старайся. В нем содержится:
Сертификат понадобится и для подключения любой платежной системы, например «Яндекс.Денег». Логика простая – никто не позволит вам рисковать чужими деньгами.
Они делятся на два типа, в зависимости от степени защиты и .
Самый простой вариант. Заработает после того, как вы подвтердите владение доменом. Сделать это можно тремя способами:
Такая верификация подойдет, если у вас личный блог или небольшой офлайновый бизнес, потому что она не позволяет защищать субдомены и проводить финансовые операции. Плюс, для подтверждения чистоты домена и ваших помыслов не требуется делать ничего сложного, а готовый сертификат делается быстро.
Этот вид сертификата SSL надежней, потому что вы подтверждаете факт связи компании с сайтом. Для этого нужно отправить в верификационный центр несколько документов и принять звонок на корпоративный номер. Business Validation-сертификаты делятся на 3 вида:
Да. Большинство таких продуктов платные, но есть и варианты, за которые не придется отдавать деньги. Это базовые сертификаты с валидацией по домену. Они не позволят прикрутить к ресурсу онлайн-кассу, но защитить соединение пользователя с сервером смогут. Такие SSL подойдут небольшим информационным сайтам или офлайн-бизнесам. Пример – базовый сертификат StartSSL . Сперва нужно сгенерировать запрос CSR на получение сертификата. В нем содержится вся информация о хозяине домена и открытый ключ. Большинство поставщиков SSL позволяют сделать это в процессе заказа сертификата, но сгенерировать запрос можно и на стороне веб-сервера.
В процессе генерации ключа CSR нужно указать:
Запрос CSR отправляется в центр верификации. На выходе вы получаете сертификат SSL и файл с приватным ключом, который нельзя терять и выкладывать в открытый доступ.
После этого нужно установить сертификат на веб-сервер. Рассмотрим случаи с Apache и nginx.
Чтобы это сделать, нужно загрузить на сервер все сертификаты: и основные, и промежуточные. Первым делом нужно последний в директорию /usr/local/ssl/crt (используется по умолчанию, в вашем случае может отличаться). В ней будут храниться все сертификаты.
После этого скачайте основной сертификат, откройте его в любом текстовом редакторе и полностью скопируйте содержимое вместе со строчками «BEGIN» и «END».
В директории /ssl/crt/ создайте файл vashsite.crt и вставьте в него содержимое сертификата.
Файл приватного ключа переместите в директорию /usr/local/ssl/private/
В файле VirtualHost добавьте строки:
SSLEngine on
SSLCertificateKeyFile /usr/local/ssl/private/private.key
SSLCertificateFile /usr/local/ssl/crt/vashsite.crt
SSLCertificateChainFile /usr/local/ssl/crt/intermediate.crt
Указывать нужно действительные пути до файлов. Сохраните изменения и перезапустите сервер.
Здесь процесс установки SSL сертификата немного отличается. Сначала нужно объеденить корневой, промежуточный и SSL-сертификаты в один. Для этого создайте файл vashsite.crt и вставьте туда содержимое сертификатов вместе со строчками «BEGIN» и «END» (порядок: SSL, промежуточный, корневой). Пустых строк быть не должно.
Почти то же самое нужно сделать и с приватным ключом – создать файл vashsite.key и перенести содержимое ключа, загруженного с сайта поставщика.
Оба файла (vashsite.crt и vashsite.key) поместите в директорию /etc/ssl/ (она используется по умолчанию, но может отличаться).
В файле с конфигурациями отредактируйте VirtualHost. Добавьте:
server{
ssl_certificate /etc/ssl/vashsite.crt;
Если директория с сертификатом и ключом отличается от дефолтной, поменяйте ее.
Теперь сохраните изменения и перезапустите nginx.
После установки сертификатов SSL сайт станет доступен по двум адресам: http://vashsite.com и https://vashsite.com. Вам нужно оставить только последний. Для этого настройте файл robots.txt и сделайте 301-редирект со старого сайта.
В «robots» нужно обновить host. Пример: Host: https://vashsite.com. Для настройки редиректа нужно добавить в файл.htacsess строчки:
RewriteCond %{SERVER_PORT} !^443$
RewriteRule ^(.*)$ https://vashsite.com/$1 .
Теперь осталось сообщить об изменениях поисковикам. В «Вебмастере» «Яндекса» добавьте страницу с https и укажите ее как главное для старого сайта.
Мы разобрались, что такое https, как установить его на свой сайт и как настроить все правильно. Этот протокол уже стал стандартом соединения и со временем на него перейдут все живые сайты. Этот процесс поощрают поисковики – наличие установленного протокола защищенного соединения HTTPS стало одним из факторов ранжирования. Поэтому, если хотите попасть в топ, установить его придется. Приятные новости ноября 2016 года для наших дорогих клиентов и пользователей сайта сайт. Наш интернет-магазин не стоит на месте, регулярно обновляя не только ассортимент товарных предложений, но и расширяя функционал сайта, его безопасность для пользователей и значимость в глобальной системе Интернет. Итак, 26 сентября 2016 года интернет-магазин сайт получил сертификат SSL с расширенной проверкой, а с 1 ноября 2016 года после тестирования и улучшения алгоритмов работы мы подключили на сайт платежные системы! Теперь рассмотрим подробнее необходимость данных действий и какие плюсы получают от этого наши драгоценные клиенты? Основным визуальным плюсом, который каждый клиент может заметить, - это возможность оплатить ОНЛАЙН банковской картой любой заказ из нашего интернет-магазина и принять его по удобному адресу. Что же касается внутреннего, скрытого достоинства обновлений сайта - сертификат SSL - это специальный способ шифрования сайта между глобальной сетью Интернет, браузером и пользователем сайта, другими словами это то, что теперь сайт защищен от возможности атаки и завладения Вашей платежной (и даже контактной) информации третьими лицами. Для получения сертификата SSL нашему сайту необходимо было пройти проверку реального существования организации, подтверждения получения и привязки сертификата к домену и интегрирования новой системы защищенного сайта на привычный всем интернет-магазин сайт. Отныне пользователи нашего сайта могут быть полностью уверены в безопасности пользования нашим удобным и современным сайтом, совершать покупки и не бояться за утечку своих данных третьим лицам. Кстати, мы также не стоим на месте в расширении возможностей получения наших заказов и с осени 2016 года мы начали предлагать нашим клиентам возможность получения заказов новыми способами доставки - курьерской службой СДЭК и через почтоматы компании inPost. Обе службы присутствуют во многих крупных городах России, стоимость их услуг весьма демократичная, а скорость работы иногда поражает даже любителей дорогих и качественных курьерских служб! Советуем попробовать воспользоваться новыми способами доставки, это сэкономит Ваше время и деньги, и подарит Вам приятные впечатления от получения товаров. Наш интернет-магазин сайт является современной, динамично развивающейся компанией, предлагая нашим клиентам самые современные и безопасные способы оплаты и получения наших заказов. Следите за обновлениями, которые грядут быть грандиозными и глобальными, как в расширении ассортимента, так и в предоставлении бОльших возможностей нашим драгоценных клиентам!!Проверка отозванных сертификатов на сервере
Получение клиентского SSL сертификата в удостоверяющем центре и
конфигурирование web-обозревателя
Рис 6 – Схема получения SSL сертификата клиента
Рис 7 – Управление SSL сертификатами в MS Internet Explorer
Рис 8 – Цепочка сертификации
Проверка отозванных сертификатов на клиенте
Что такое HTTPS
Для чего нужен сертификат SSL
Как выбрать SSL-сертификат
Domain Validation SSL
Business Validation
Можно ли установать на свой сайт бесплатный SSL-сертификат?
Установка сертификата SSL
Apache
nginx
listen 443;
ssl on;
ssl_certificate_key /etc/ssl/vashsite.key;
server_name vashsite.com;
Как получить рабочее HTTPS-соединение
Итоги
