Сегодня через интернет происходит оформление документов, заказ услуг и даже крупные покупки. Но для совершения этих операций требуется передача личных сведений, которые могут оказаться в руках мошенников. В целях защиты пакетные данные шифруются, а для работы на сайте устанавливается SSL-сертификат. В статье рассмотрим, как он работает и где можно приобрести для своего сайта.
Содержание:
- Какую функцию выполняет сертификат?
- Как происходит защищенное соединение?
- Как определить пользователю безопасность сайта?
- Можно ли посещать незащищенный сайт?
- Классификация сертификатов
- Какой сертификат выбрать?
- Как получить сертификат?
Какую функцию выполняет сертификат?
При выходе в сеть пользователь передает удаленному серверу пакетные данные. Обмен происходит по следующей схеме: пользователь => браузер => сервер => браузер => пользователь. При передаче пакетные данные можно перехватить и прочитать. Этой возможностью пользуются хакеры и мошенники, перехватывая сведения через взлом сервера или загруженное на устройство вредоносное ПО.
При обычном серфинге перехват данных не страшен, т.к. они не содержат ценной информации. Но когда пользователь для посещения сайта использует персональный аккаунт или совершает транзакцию — серверу передаются личные сведения, которые требуется защитить. И единственный на сегодня эффективный способ — это шифрование пакетных данных на стороне браузера.
Для распознавания зашифрованных ключей должен быть установлен SSL-сертификат, без которого продвижение сайта невозможно. Если такового сертификата нет, то его необходимо устанавливать.
Как происходит защищенное соединение?
Шифрование — это создание одноразовых ключей браузерами, которые становятся недействительными после передачи или приема данных.
Обмен происходит по такой схеме:
- пользователь передает пакетные данные в исходном виде;
- браузер шифрует их и отправляет удаленному серверу;
- на сайте ключи распознаются и расшифровываются;
- сервер на основе запроса пользователя отправляет ответ, но уже с новым ключ-шифром;
- браузер со своей стороны раскодирует данные и выводит информацию, поступившую в ответ на запрос.
По рассмотренной схеме можно понять, для поддержания обмена зашифрованными ключами SSL-сертификат работает как дешифратор и шифровщик.
Как определить пользователю безопасность сайта?
Если планируется обычное посещение новостных площадок или сервисов вроде прогноза погоды — можно не задумываться о защищенности. При обмене не происходит передача каких-либо ценных данных.
При входе на личный профиль или покупках уже важно обратить внимание на поддержку шифрования. Функцию выполняют все современные браузеры последних версий:
- во-первых, это нужно самому приложению чтобы понять, работает ли сайт с ключами и какие пакетные данные ему передать (открытые или зашифрованные);
- во-вторых, программа должна уведомить пользователя о наличии или отсутствии шифрования, чтобы тот принял решение о посещении.
У популярных браузеров Google Chrome, Яндекс и Safari есть встроенные модули, которые заранее предупреждают о небезопасности посещения, если на сайте отсутствует SSL-сертификат и требуется ввести данные.
Просмотр сведений о сертификате
Узнать уровень защищенности данных пользователя можно по сведениям безопасности. При посещении веб-ресурса слева от адресной строки отобразится замок. Кликнув на значок, можно получить дополнительную информацию о сертификате, лицензии и дате выдачи. Вместе с основными сведениями часто присутствуют опции настройки уровня защиты.
Сведения о сертификате определяется самостоятельно по адресной строке — у сайтов с SSL-сертификатом адрес начинается с https://… (s-secure) (у незащищенных веб-ресурсов устаревший http://…).
Важно! Браузер старой версии не поддерживает шифрование пакетных данных! Даже если адрес сайта начинается с https://…, но браузер не выводит сообщение о защищенности — сведения будут отправлены в открытом виде!
Можно ли посещать незащищенный сайт?
Если браузер сообщает о небезопасном соединении, ниже оповещения всегда будет кнопка вида «Все равно посетить». Входить на сайт или нет — выбор пользователя. Но нужно помнить:
- Хакеры не спят и постоянно ищут уязвимости на серверах. Поэтому при посещении крупного ресурса стоит быть бдительным.
- Передача простых данных (поиск в Википедия, уточнение адреса фирмы) не несет ценности для мошенников. Если просмотр подобных сведений для пользователя не принципиален — можно переходить.
Внимание! Мошенники часто создают поддельные интернет магазины и сайты знакомств (SCAM-проекты) с сбора ценных данных. На их сайтах всегда будет поле для ввода личной информации или реквизитов, при этом сертификат отсутствует.
Браузеры также поддерживают добавление сайта в исключения, после которого они будут доступны для посещения без предупреждений о безопасности. Эту удобную функцию можно использовать, например, чтобы добавить свой веб-ресурс еще в разработке.
Классификация сертификатов
Каждый проект работает с разным качеством информации и требует конкретный тип защиты, поэтому существуют разные виды сертификации.
На небольших некоммерческих сайтах подключены бесплатные самоподписные сертификаты. Их может получить любой желающий с помощью двух сервисов:
- Cloudflare выдает общая защита на несколько сайтов;
- Let’s Encrypt каждому домену закрепляется индивидуально.
У обоих сервисов есть недостатки. Ввиду подключения сразу на нескольких веб-ресурсах браузеры выдают предупреждение о безопасности. Хотя шанс перехватит данные крайне низкий, для посетителей оповещение будет надоедать, что заставит их покинуть проект. Сертификаты Let’s Encrypt поддерживают не все браузеры.
Платные сертификаты бывают двух видов:
- SAN шифруют данные только на указанном при активации домена;
- Действие Wildcard распространяется и на поддомены.
Также платные сертификаты классифицируются по уровню защиты:
- Domain Validation — базовый вариант, с которым сертификат закрепляется за доменом и шифрует пакетные данные. Отлично подойдет для небольших форумов, развлекательных проектов и онлайн-игр, на которых обмениваются пользовательскими данными и совершают небольшие покупки.
- Organization Validation — базовая защита и шифрование с прикреплением сертификата к компании. Рекомендуется подключать крупным проектам и интернет-магазинам.
Также доступна версия Extended Validation с высокой степенью защиты. При подключении потребуется предоставить центру сертификации документы подтверждающие покупку и права владения доменным именем, а также регистрационные сведения о компании.
С таким SSL-сертификатом можно быть уверенным в защите данных, а при их утечке подтвердить его в суде. Многие страховые компании при заключении договора на случай материального ущерба от кражи данных пользователей требуют именно Extended Validation.
Какой сертификат выбрать?
Простой и бесплатный сертификат может и не защитить ввиду массового распространения. С другой стороны — нет смысла переплачивать за избыточные опции. Выбор стоит делать исходя из специфики проекта и качества поступающих от пользователя данных:
- Для небольших проектов типа лендинга, сервиса погоды, афиши или справочника подойдет версия Domain Validation. Посетители не будут отправлять личные сведения, поэтому вопрос шифрования не имеет большой актуальности.
- Небольшие коммерческие проекты с мелкими покупками (продажа аккаунтов, донат, онлайн-подписки) можно защитить также сертификатом Domain Validation. Хотя и происходит отправка пользователем ценных сведений, сайты с небольшими оборотами хакерам не интересны.
- Интернет-магазины, крупные порталы вроде знакомств и сервисы электронных услуг должны устанавливать Organization Validation. Этим будет подтверждено закрепление SSL-сертификата за конкретной организацией и доменом. Следовательно, его использование другими будет незаконным.
Перед запуском веб-проекта рекомендуется установить сначала бесплатный сертификат, чтобы протестировать шифрование и на практике оценить защиту данных.
Как получить сертификат?
Ввиду последних политических событий, приобрести напрямую защиту в России невозможно из-за недоступности платежных сервисов. Поэтому единственный способ подключить SSL на своем сайте — через посредника. Крупные отечественные регистраторы успели заключить долгосрочные контракты и продолжают предоставлять SSL-сертификат. Самый простой способ — купить домен у регистратора reg.ru.
На данном этапе рассматривается вопрос о разработке и внедрении собственного SSL-сертификата. На данный момент получить защиту для своего проекта можно на сайте Госуслуг — https://www.gosuslugi.ru/tls. Он является отечественным аналогом и предоставляется бесплатно.
