Kuinka Web-selaaminen on tulossa entistä turvallisemmaksi

Mainos

Verkossa jaettavien henkilökohtaisten tietojen määrä on kasvanut räjähdysmäisesti vuodesta 1994 lähtien, jolloin perustettiin SSL (Secure Sockets Layer) -protokolla.

Internet on pese tunnuslauseilla Miksi salasanat ovat edelleen parempia kuin salasanat ja sormenjäljetMuistatko, kun salasanojen ei tarvinnut olla monimutkaista? Milloin PIN-koodit oli helppo muistaa? Nuo päivät ovat poissa, ja verkkorikollisuusriskit tarkoittavat, että sormenjälkitunnistimet ovat melkein turhia. On aika alkaa käyttää pääsykoodeja ... Lue lisää , luottokorttitiedot ja verkkopankkitiedot 6 yleistä järkeä, miksi sinun pitäisi pankkitoimia verkossa, jos et vielä ole [mielipide]Kuinka pankkisi yleensä tapahtuu? Ajatko pankkiisi? Odotatko pitkissä riveissä vain tallettaaksesi yhden sekin? Saatko kuukausittain paperitietoja? Säilytäkö ne nuo ... Lue lisää . Meillä on SSL-sertifikaatit kiittääksemme turvallisuudestamme ja yksityisyydestämme. Mutta olet todennäköisesti kuullut viimeaikaisista virheistä, jotka ovat pettäneet luottamuksesi salaustekniikkaan.

Onneksi SSL mukautuu, päivitetään ja korvataan antamaan sinulle paremman mielenrauhan. Tässä on miten.

Mikä on SSL joka tapauksessa?

Aloitetaan mitä SSL on Mikä on SSL-varmenne ja tarvitsetko sitä?Internetin selaaminen voi olla pelottavaa, kun kyse on henkilökohtaisista tiedoista. Lue lisää .

SSL-varmenteet ovat digitaalisia valtuutusasiakirjoja, jotka voi hankkia organisaatio tai henkilö, joka ylläpitää arkaluontoisia tietoja käsittelevää sivustoa. Se varmistaa, että tietoja voidaan kuljettaa turvallisesti web-palvelimen ja selaimen välillä, että näitä tietoja ei ole siepattu ja niiden lähteet ovat aitoja.

Katso esimerkiksi Amazon. Katso URL-osoitetta, ja tyypillisen HTTP-osoitteen (HyperText Transfer Protocol) sijaan sinun pitäisi olla ohjataan HTTPS-laitteeseen Mikä on HTTPS ja kuinka suojatut yhteydet otetaan käyttöön oletusarvoisestiTurvallisuusongelmat leviävät kauas ja laajalle ja ovat saavuttaneet kaikkien mielenkiinnon kärjessä. Termit, kuten virustentorjunta tai palomuuri, eivät ole enää omituisia sanastoja, eivätkä ne ymmärrä vaan myös käytä ... Lue lisää - että lisä ”S” tarkoittaa, että se on turvallinen linkki HTTPS kaikkialla: Käytä HTTPS: ää HTTP: n sijasta, kun mahdollista Lue lisää , ja maksat tuotteista turvallisesti sivuston kautta. Hotmail, WordPress ja jopa Tumblr käyttävät SSL-varmenteita.

Se on suuri kuluttajalle (joka tietää, että heidän tietojaan kohdellaan vastuuntuntoisesti) ja myyjälle (joka ei vain hyöty ostajien luottamuksesta, vaan myös Googlen paremmuusjärjestykseen).

Mikään ei ole erehtymätöntä, ja muutama viime vuoden aikana paljastunut SSL-virhe osoittaa sen. Onneksi selaaminen on entistä turvallisempaa ...

TLS-päivitykset

Olet ehkä nähnyt SSL- ja kuljetuskerrosten suojauksen (TLS) käytettävän keskenään, ja vaikka erot ovat ehkä pieniä, ne ovat edelleen huomionarvoisia.

Molemmat käyttävät samaa järjestelmää tietojen salaamiseen ja tapaamiseen varmentajalle (CA) ennen yhteyden muodostamista. TLS on kuitenkin SSL: n seuraaja, joten on selvää, että TLS olisi turvallisempi. Itse asiassa sen kolme inkarnaatiota - TLS 1.0, 1.1 ja 1.2 - tasoittavat joitain SSL-menetelmässä havaittuja haavoittuvuuksia.

TLS 1.3 on ollut olemassa vuodesta 2008, mutta kuten aiemmissa versioissa puutteita pidettiin niin miniskeleillä ne eivät vaikuttaisi "reaalimaailman" tilanteisiin, se kestää vasta viime aikoihin asti sen massa toteutus. Itse asiassa, vuonna 2013, näytti, ettei edes Kansallinen turvallisuusvirasto (NSA) ollut kohdistanut verkkotunnuksia, joissa oli TLS-protokollia, koska niin harvat käyttivät sitä. Nyt PCI: n turvallisuusneuvoston mandaatti on kuitenkin pakottanut päivittämään kaikki sivustot, jotka lähettävät tai käsittelevät kortinhaltijoiden tietoja.

Lisäksi kaikki suuret selaimet - Google Chrome, Microsoft Edge, Safari, Firefox ja Opera - tukevat oletusarvoisesti TLS 1.2: tä, jotta molemmat osapuolet varmistavat salausasteen. Huomaa kuitenkin, että valtuutus näyttää koskevan vain maksutietoja, ei kirjautumistietoja.

Salaus kaikkialla

Varmenteiden päivittäminen on hyödyllistä vain, jos se otetaan laajasti käyttöön, ja näin ei ole. Kaikissa verkkokauppasivustoissa tarvitaan tietoturvakäytäntöjä, ja suurimmalla osalla todellakin pitäisi olla SSL tai TLS. Monet luottavat kolmansien osapuolien maksuprosessorien, kuten PayPalin, suojaan (tämä näyttää olevan aukko PCI: n turvallisuusneuvoston mandaatti), mutta jos sivusto hyväksyy yksityisiä tietoja, sen tulisi käyttää suojattua tasoa.

Jos yhteytesi ei ole yksityinen, hakkerit voivat hankkia tietoja, kuten sähköpostiosoite ja salasana kirjautumisen yhteydessä. Ja koska useimmat ihmiset yleensä käytä samoja salasanoja 7 yleisintä taktiikkaa, jota käytetään salasanojen hakkerointiinMitä tulee mieleen, kun kuulet "tietoturvaloukkauksia"? Pahanlaatuinen hakkeri? Joku kellarissa asuva poika? Tosiasia on, että kaikki mitä tarvitset on salasana, ja hakkereilla on 7 tapaa hankkia omasi. Lue lisää useilla sivustoilla (kaikista varoituksista huolimatta 7 salasanavirheitä, jotka todennäköisesti saavat sinut hakkeroitumaanVuoden 2015 pahimmat salasanat on julkaistu, ja ne ovat aika huolestuttavia. Mutta ne osoittavat, että heikkojen salasanojen vahvistaminen on ehdottoman välttämätöntä vain muutamalla yksinkertaisella säädöllä. Lue lisää ), se voi olla tärkeä tieto.

Siitä huolimatta, monet sivustot eivät ota käyttöön SSL-protokollia, koska se voi olla kallista ja monimutkaista. Siellä Symantecin Salaus kaikkialla -ohjelma tulee.

Amerikkalainen turvallisuuspalveluyritys tarjoaa freemium-palvelun, jolla sertifikaatti saadaan täysin ilmaiseksi, ja päivitykset (kuten haittaohjelmien skannaukset) ovat saatavissa kustannuksin. Kumppanuudet isäntäyritysten kanssa vievät monimutkaisuuden sivuston järjestelmänvalvojien käsistä, kun taas automaattiset päivitykset virtaviivaistavat prosessia mahdollisten muiden haavoittuvuuksien korjaamiseksi.

Tämän tavoitteena on saada 100-prosenttinen suojakerros käyttöön vuoteen 2018 mennessä, joten odotamme, että suurin osa sivustoista hyväksyy sen pian.

Salatkoon

Mutta odota! Symantec ei ole ainoa, joka pyrkii Web-laajuiseen SSL / TLS-salaukseen.

Let’s Encrypt näyttää ajavan viimeisempien virheiden aaltoa; Joulukuussa 2015 julkistetussa projektissa on jo lukuisia merkittäviä kansainvälisiä sponsoreita, kuten Google Chrome, Mozilla, Facebook, Shopify, YunPian ja Akamai. Internet Security Research Group (ISRG): n ylläpitämä Let’s Encrypt on tämän kuukauden aikana myöntänyt yli viisi miljoonaa varmennetta ja ennustaa 50% HTTPS-sivukuormitusta tämän vuoden loppuun mennessä.

Miksi Let’s Encrypt osoittautuu suosituksi? Koska se on ilmainen ja automatisoitu, sivustot ovat uskomattoman helppoja saada sertifikaatteja ja päivityksiä.

Aloite alkaa uudella yksityisellä avainparilla ja todistuksella verkkotunnuksen omistajasta CA: lle. kun tämä on varmistettu käyttämällä automaattista varmenteiden hallintaympäristöä (ACME), sivuston ohjelmisto voi allekirjoittaa varmenteiden hallintaviestit avaimella varmenteiden uusimiseksi ja peruuttamiseksi tai uusien luomiseksi samoille verkkotunnuksen.

Annoimme juuri viidennen miljoonan todistuksen!

- Salatkoon (@letsencrypt) 17. kesäkuuta 2016

Let’s Encrypt on kiistatta tunnetuin projekti, joka tarjoaa ilmaisia ​​varmenteita, ja näiden suurten ohjelmien välillä se varmasti näyttää olevan luotettava syy.

lähentyminen

Saatat kuitenkin olla pettynyt SSL-varmenteisiin.

Heidän maineensa on vaurioitunut viime vuosina: useimmilla on ainakin kuullut sydämenlyönnistä Sydämen syke - Mitä voit tehdä pysyäksesi turvassa? Lue lisää , avoimen lähdekoodin salauskirjaston OpenSSL-haavoittuvuus, jonka avulla hakkerit voivat lukea salaamatonta tietoa. Sydämen verenvuoto vaikutti moniin palveluihin Kaivaminen hypeen: Onko sydämenlyönti todella vahingoittanut ketään? Lue lisää , mutta se oli kaksi vuotta sitten Viisi yksityisyyden suojan rikkomusta vuonna 2014, jonka olet voinut unohtaaLukuisat julkaisut paljastivat kuuluisuuksien yksityiselämässä vuonna 2014, vuonna, jolloin valokeila valonsi myös suurelle yleisölle. Voimmeko oppia mitään näistä rikkomuksista? Lue lisää ja korjaus on saatavilla. Mutta sitten viime vuonna, siellä oli Superfish Lenovo-kannettavien omistajat varovat: Laitteesi saattaa olla esiasennettu haittaohjelmiaKiinalainen tietokonevalmistaja Lenovo on myöntänyt, että myymälöihin ja kuluttajiin vuoden 2014 lopulla toimitetuissa kannettavissa tietokoneissa oli esiasennettu haittaohjelmia. Lue lisää , haittaohjelmat, jotka saivat aikaan HTTPS-äänityksen; Tämä myös, on ladattu Superkalaa ei ole vielä saatu kiinni: SSL-kaappaus selitettyLenovon Superfish-haittaohjelma aiheutti levottomuutta, mutta tarina ei ole vielä ohi. Vaikka irrotit mainosohjelman tietokoneeltasi, sama haavoittuvuus esiintyy muissa online-sovelluksissa. Lue lisää .

Ja se ei myöskään rajoitu vain tietokoneeseen: omaan Tämä vaikuttaa älypuhelinten sovelluksiin 1 000 iOS-sovelluksessa on turmelevaa SSL-virhettä: Kuinka tarkistaa, onko asia vaikuttunutAFNetworking-virhe aiheuttaa ongelmia iPhonen ja iPadin käyttäjille, ja tuhannet sovellukset aiheuttavat haavoittuvuuden SSL-varmenteiden oikea todennus, mikä mahdollisesti helpottaa henkilöllisyysvarkauksia keskellä olevaa ihmistä kautta hyökkäyksiä. Lue lisää myös SSL-virheiden takia.

Konvergenssi on sitten selaimen lisäosa, jonka monet sekoittavat järjestelmään, joka korvaa SSL-varmenteet; enemmän kuin mitään, se on kuitenkin CA: n seuraava vaihe. Lähinnä sen sijaan, että luottaa yhden CA: n vakuuttamiseen sivuston aitoudesta, lähentyminen kääntyy notaaripalvelut osoittaa sivuston turvallisuus.

Vierailet HTTPS-osoitteessa. Päätavoitteita on kolme: kaikki notaarit ovat yhtä mieltä siitä, että se on turvallista, jolloin käytät sivustoa; kaikki eivät ole samaa mieltä, mutta voit mennä enemmistön kanssa tai hylätä sivuston, koska et luota notaareihin tehdä vakuuttaa siitä; tai ääritapauksissa suurin osa tai kaikki notaarit ovat yhtä mieltä siitä, ettei siihen pidä luottaa. Tällä tavoin ei ole yhtä ainoaa epäonnistumispistettä.

Ajattele sitä tällä tavalla: kyse on mielipiteiden lähentymisestä siitä, voiko käyttäjä luottaa HTTPS: ään.

Kuinka Internetistä tulee turvallisempaa?

Miksi me edelleen kutsumme niitä SSL-varmenteiksi? Varmasti niiden pitäisi olla TLS-varmenteita? #ssl#tls#MostBrowsersDontDoSSLAnymore

- Chris Pont (@chrispont) 7. kesäkuuta 2016

Pähkinänkuoressa: Sivustojen todennus SSL-varmenteita päivitetään TLS: ksi, mikä tärkeintä verkkotunnuksissa, kuten PayPal, jotka käsittelevät maksutietoja. Ne otetaan käyttöön en masse, jonka tavoitteena on 100% HTTPS-käyttö seuraavien vuosien aikana. Myös CA: ta arvioidaan uudelleen, ja lähentymislisäosa näyttää vankalta vaiheelta todentaa sivuston luotettavuus luottamalla notaarien suostumukseen.

Antavatko nämä toimenpiteet sinulle uskon uudelleen SSL: ään? Teetkö sinä tuntea syötetäänkö maksutiedot turvallisesti verkossa? Mitä muita turvaprotokollia haluaisit nähdä laajasti toteutettuina?

Kuvahyvitykset: Christiaan Colenin HTTPS (WeTransfer); ja https: Sean MacEntee.