[Wiedza o budowaniu stron internetowych] HTTPS Te Rzeczy (1) Zasada HTTPS (przedruk)

Plotka Crusher opublikowała kilka dni temu "Czy dostęp do Internetu z publicznym WiFi zagrozi bezpieczeństwu kont bankowych? Artykuł wprowadza pewne sytuacje związane z wykorzystaniem HTTPS do transmisji szyfrowanej sieci, a sądząc po odpowiedzi, wciąż istnieją spory. W miarę jak Internet staje się coraz bardziej popularny, aplikacja staje się coraz powszechniejsza, a niektóre kwestie związane z bezpieczeństwem sieci będą przyciągać coraz większą uwagę internautów; tutaj porozmawiamy o TLS/SSL, które często nazywamy HTTPS, od zasady po faktyczną aplikację, aby zobaczyć, czym jest i na jakie problemy zwracać uwagę przy użyciu HTTPS i powiązanych technik bezpieczeństwa.

Cyberbezpieczeństwo to wydarzenie całościowe, które obejmuje bezpieczeństwo komputerów osobistych, protokołów, transmisji danych oraz firm i stron internetowych zajmujących się tworzeniem oprogramowania. Mam nadzieję, że stopniowe wyjaśnianie kwestii związanych z bezpieczeństwem w przyszłości pozwoli więcej osób zrozumieć bezpieczeństwo sieci, aby mogli bezpieczniej korzystać z sieci.

Artykuł będzie długi i planowano podzielić go na trzy części na razie:

Pierwsza część głównie opisuje zasadę HTTPS; Druga część głównie opisuje proces weryfikacji certyfikatów SSL oraz pewne środki ostrożności dotyczące użytkowania. Trzecia część przedstawia niektóre przypadki ataków HTTPS.

Zanim przejdziemy do HTTPS, porozmawiajmy o tym, czym jest HTTP – protokół zwykle używany podczas przeglądania internetu. Dane przesyłane przez protokół HTTP są nieszyfrowane, czyli w tekście jawnym, dlatego przesyłanie prywatnych informacji za pomocą protokołu HTTP jest bardzo niebezpieczne. Aby zapewnić szyfrowanie i przesyłanie tych danych prywatnych, Netscape zaprojektował protokół SSL (Secure Sockets Layer) do szyfrowania danych przesyłanych przez protokół HTTP, co dało początek HTTPS. Obecna wersja SSL to 3.0, zdefiniowana w RFC 6101 przez IETF (Internet Engineering Task Force), a następnie IETF zaktualizowała SSL 3.0, co skutkowało TLS (Transport Layer Security) 1.0, zdefiniowanym w RFC 2246. W rzeczywistości nasz obecny HTTPS to protokół TLS, ale ponieważ SSL pojawiło się stosunkowo wcześnie i jest nadal obsługiwane przez obecne przeglądarki, SSL nadal jest synonimem HTTPS, ale niezależnie od tego, czy jest to TLS czy SSL – to już z ostatniego stulecia, ostatnia wersja SSL to 3.0, a TLS będzie nadal dostarczać nam usługi szyfrowania w przyszłości. Obecna wersja TLS to 1.2, zdefiniowana w RFC 5246, i nie jest jeszcze szeroko stosowana.

Dla zainteresowanych historią można sięgnąć po http://en.wikipedia.org/wiki/Transport_Layer_Security, który zawiera szczegółowy opis TLS/SSL.

Odpowiedź brzmi: tak, jest bezpieczny. W nadchodzących tygodniach Google włączy HTTPS dla wszystkich lokalnych domen na świecie, użytkownicy muszą jedynie zalogować się za pomocą swojego konta Google przed rozpoczęciem wyszukiwania, a wszystkie operacje wyszukiwania będą szyfrowane za pomocą protokołu TLS, zobacz: http://thenextweb.com/google/2012/03/05/google-calls-for-a-more-secure-web-expands-ssl-encryption-to-local-domains/。

HTTPS wymaga połączenia się z klientem (przeglądarką) a serwerem (stroną internetową) przed przesłaniem danych, a informacje o hasłach obu stron zostaną ustalone podczas procesu uścisku ręki. Protokół TLS/SSL to nie tylko zestaw protokołów transmisji szyfrowanej, ale także dzieło sztuki starannie zaprojektowane przez artystów, wykorzystujące szyfrowanie asymetryczne, symetryczne i algorytmy HASH. Prosty opis procesu uścisku dłoni jest następujący:

   4. Po otrzymaniu danych z przeglądarki, strona wykonuje następujące czynności:

   5. Przeglądarka odszyfrowuje i oblicza HASH wiadomości handshake, jeśli jest on zgodny z HASH wysłanym przez serwer, proces handshake się kończy, a następnie wszystkie dane komunikacyjne zostaną zaszyfrowane losowym hasłem wygenerowanym przez poprzednią przeglądarkę i wykorzystującym symetryczny algorytm szyfrowania.

W tym przypadku przeglądarka i strona internetowa wysyłają sobie nawzajem zaszyfrowaną wiadomość handshake i weryfikują, aby upewnić się, że obie strony uzyskały to samo hasło, mogą normalnie zaszyfrować i odszyfrować dane oraz przeprowadzić test późniejszej transmisji rzeczywistych danych. Ponadto algorytmy szyfrowania i HASH powszechnie stosowane w HTTPS są następujące:

Wśród nich algorytm szyfrowania asymetrycznego jest używany do szyfrowania wygenerowanego hasła podczas procesu uścisku ręki, algorytm szyfrowania symetrycznego do szyfrowania rzeczywistych przesyłanych danych, a algorytm HASH służy do weryfikacji integralności danych. Ponieważ hasło wygenerowane przez przeglądarkę jest kluczem do szyfrowania wszystkich danych, jest ono szyfrowane za pomocą asymetrycznego algorytmu szyfrowania podczas transmisji. Algorytm szyfrowania asymetrycznego generuje klucze publiczne i prywatne, klucze publiczne mogą być używane tylko do szyfrowania danych, więc mogą być przesyłane według własnego uznania, a klucze prywatne strony internetowej służą do odszyfrowania danych, więc strona bardzo starannie przechowuje klucz prywatny, aby zapobiec wyciekom.

Każdy błąd podczas procesu uścisku dłoni TLS może przerwać szyfrowane połączenie, uniemożliwiając przesyłanie prywatnych informacji. To właśnie dlatego, że HTTPS jest bardzo bezpieczny, atakujący nie mogą znaleźć punktu startowego, więc używają fałszywych certyfikatów, by oszukać klientów i uzyskać informacje w formacie jawnym, ale te metody można zidentyfikować, o czym opowiem w kolejnym artykule. Jednak w 2010 roku eksperci ds. bezpieczeństwa odkryli lukę w obsłudze protokołu TLS 1.0: http://www.theregister.co.uk/2011/09/19/beast_exploits_paypal_ssl/ faktycznie metoda ataku zwana BEAST została odkryta przez ekspertów ds. bezpieczeństwa już w 2002 roku, ale nie została upubliczniona. Microsoft i Google naprawili tę lukę. Zobacz: http://support.microsoft.com/kb/2643584/en-us https://src.chromium.org/viewvc/chrome?view=rev&revision=90643

Uproszczona wersja HTTPS działa także w szyfrowaniu symetrycznym kontra szyfrowaniu asymetrycznym.