Jak se webové prohlížení stává ještě bezpečnějším

reklama

Množství osobních informací, které sdílíme online, od roku 1994, počínaje protokolem Secure Sockets Layer (SSL), exponenciálně rostlo.

Internet je propláchněte se přístupovými frázemi Proč jsou fráze stále lepší než hesla a otisky prstůPamatujete si, kdy hesla nemusí být složitá? Kdy bylo PIN snadno zapamatovatelné? Tyto dny jsou pryč a rizika počítačové kriminality znamenají, že skenery otisků prstů jsou k ničemu. Je čas začít používat přístupové kódy ... Přečtěte si více , údaje o kreditní kartě a data online bankovnictví 6 běžných důvodů, proč byste měli platit online, pokud ještě nejste [názor]Jak obvykle děláte své bankovnictví? Jedete do své banky? Čekáte v dlouhých řadách, jen chcete uložit jeden šek? Dostáváte měsíční výpisy v papírové podobě? Ukládáte ty ... Přečtěte si více . Máme SSL certifikáty, které děkujeme za naši bezpečnost a soukromí. Pravděpodobně jste však slyšeli o nedávných nedostatcích, které narušily vaši důvěru v kryptografický protokol.

Naštěstí se SSL přizpůsobuje, upgraduje a nahrazuje, aby vám poskytl lepší klid. Zde je návod.

Co je to protokol SSL?

Začněme s přesně to, co je SSL Co je to SSL certifikát a potřebujete jej?Prohlížení internetu může být děsivé, pokud se jedná o osobní údaje. Přečtěte si více .

SSL certifikáty jsou digitální autorizační dokumenty, které lze získat organizací nebo jednotlivcem provozujícím web, který pracuje s citlivými informacemi. Zajišťuje bezpečný přenos dat mezi webovým serverem a prohlížečem, že tyto informace nebyly zachyceny a jejich zdroje jsou skutečné.

Podívejte se například na Amazon. Podívejte se na adresu URL a místo typické adresy protokolu HTTP (HyperText Transfer Protocol) byste měli být přesměrováno na HTTPS Co je HTTPS a jak povolit zabezpečená připojení ve výchozím nastaveníBezpečnostní obavy se šíří široko daleko a dosáhly popředí většiny myslí všech. Termíny jako antivirus nebo firewall již nejsou zvláštní slovní zásobou a jsou nejen chápány, ale také používány ... Přečtěte si více - to navíc „S“ znamená bezpečné spojení HTTPS všude: Pokud je to možné, používejte místo HTTP HTTP Přečtěte si více , a můžete bezpečně platit za položky prostřednictvím webu. Hotmail, WordPress a dokonce Tumblr používají SSL certifikáty.

Je to skvělé pro spotřebitele (kdo ví, že s jejich údaji je zacházeno odpovědně) a pro prodávajícího (který nejen těží z důvěry kupujících, ale také získává vyšší hodnocení společností Google).

Nic však není neomylné a o tom svědčí několik nedostatků SSL odhalených během posledního roku. Naštěstí je procházení webu opět bezpečnější ...

Aktualizace TLS

Možná jste viděli zaměnitelně používané zabezpečení SSL a Transport Layer Security (TLS), a přestože rozdíly jsou možná jemné, zůstávají pozoruhodné.

Oba používají stejný systém šifrování dat a před provedením tohoto připojení se dohodnou s certifikační autoritou (CA). TLS je však nástupcem SSL, takže je důvod, proč by TLS bylo bezpečnější. Její tři inkarnace - TLS 1.0, 1.1 a 1.2 - skutečně odstraňují některá zranitelnost nalezená v metodě SSL.

TLS 1.3 existuje zhruba od roku 2008, ale vzhledem k tomu, že byly nedostatky v předchozích verzích považovány za takové nepatrné, že by neovlivnily situace „skutečného světa“, je to až donedávna kvůli jeho hmotnosti implementace. Ve skutečnosti, zpět v roce 2013, zdálo se, že ani Národní agentura pro bezpečnost (NSA) nezaměřuje domény, které používají protokoly TLS, protože jich jen málo používalo. Nyní však mandát Rady bezpečnosti PCI donutil jakýkoli web, který přenáší nebo zpracovává informace o držitelích karet, na upgrade.

Navíc všechny hlavní prohlížeče - Google Chrome, Microsoft Edge, Safari, Firefox a Opera - ve výchozím nastavení podporují TLS 1.2, takže úroveň šifrování je zajištěna oběma stranami. Nezapomeňte však, že se zdá, že se mandát vztahuje pouze na platební údaje, nikoli na přihlašovací údaje.

Šifrování všude

Upgradování certifikátů je užitečné, pouze pokud je široce přijato, a není tomu tak. Všechny weby elektronického obchodování vyžadují bezpečnostní postupy a většina by skutečně měla mít SSL nebo TLS. Mnoho se spoléhá na ochranu zpracovatelů plateb třetích stran, jako je PayPal (zdá se, že je to mezera v systému Windows) mandát Rady bezpečnosti PCI), ale pokud web přijímá soukromé informace, měl by používat bezpečnou vrstvu.

Pokud vaše připojení není soukromé, hackeři mohou při přihlášení získat data včetně e-mailové adresy a hesla. A protože většina lidí má sklon používat stejná hesla 7 nejčastějších taktik používaných k hackování heselKdyž uslyšíte „narušení bezpečnosti“, co vás napadne? Zlovolný hacker? Nějaké dítě žijící v suterénu? Realita je taková, že jediné, co je potřeba, je heslo a hackeři mají 7 způsobů, jak se dostat k vám. Přečtěte si více na více webech (i přes všechna varování 7 chyb hesel, které vás pravděpodobně napadnouNejhorší hesla z roku 2015 byla vydána a jsou docela znepokojující. Ukazují však, že je absolutně důležité posílit slabá hesla pomocí několika jednoduchých vylepšení. Přečtěte si více ), může to být zásadní informace.

Mnoho webů však nepřijímá protokoly SSL, protože to může být nákladné a může být komplikované. Tam přichází program Symantec Encryption Everywhere.

Americká bezpečnostní společnost nabízí bezplatnou službu, díky níž je certifikát získán zcela zdarma, s upgradem (jako je skenování malwaru) za dostupnou cenu. Partnerství s hostitelskými společnostmi komplikovanost ruší administrátoři stránek, zatímco automatizované aktualizace zefektivňují proces řešení dalších zranitelných míst.

To je ve snaze získat 100% úroveň zabezpečení do roku 2018, takže očekáváme, že bude přijata většina webů velmi brzy.

Pojďme se zašifrovat

Ale počkej! Společnost Symantec není jediným, kdo usiluje o šifrování SSL / TLS na celém webu.

Zdá se, že šifrování je na vlně novějších chyb; Projekt, který byl zahájen pro veřejnost v prosinci 2015, má již řadu významných mezinárodních sponzorů včetně Google Chrome, Mozilly, Facebooku, Shopify, YunPian a Akamai. Let's Encrypt, kterou provozuje Výzkumná skupina pro internetovou bezpečnost (ISRG), vydala tento měsíc více než 5 milionů certifikátů a do konce letošního roku očekává 50% načtení stránky HTTPS.

Proč se šifrování ukáže jako populární? Jednoduše, jak je to zdarma a automatizované, což znamená, že je pro web neuvěřitelně snadné získat certifikáty a upgrady.

Iniciativa začíná novým párem soukromých klíčů a důkazem o vlastníkovi domény certifikační autoritě; jakmile je to ověřeno pomocí protokolu ACME (Automated Certificate Management Environment), může se webový server podepsat zprávy pro správu certifikátů s klíčem za účelem obnovení a odvolání certifikátů, nebo pro ně vytvořit nové doména.

Právě jsme vydali náš 5 miliontý certifikát!

- Pojďme se zašifrovat (@letsencrypt) 17. června 2016

Pojďme šifrovat je patrně nejznámější projekt nabízející bezplatné certifikáty a mezi těmito hlavními programy se určitě jeví jako důvěryhodná věc.

Konvergence

Můžete však být znechuceni SSL certifikáty.

Jejich pověst byla v posledních letech poškozena: většina jich má alespoň slyšel o Heartbleed Heartbleed - Co můžete udělat, abyste zůstali v bezpečí? Přečtěte si více , zranitelnost v otevřené kryptografické knihovně OpenSSL, která hackerům umožňuje číst nešifrované informace. Heartbleed ovlivnil mnoho služeb Kopání skrz humbuk: Skutečně ublížil někdo? Přečtěte si více , ale to bylo před dvěma lety Pět porušení vašeho soukromí v roce 2014, které byste mohli vynechatV soukromém životě osobností v roce 2014 se objevilo mnoho publikací, rok, kdy se pozornost zaměřila i na širokou veřejnost. Můžeme se z těchto porušení něco naučit? Přečtěte si více a oprava je k dispozici. Ale loni, tam byla Superfish Pozor na majitele notebooků Lenovo: Zařízení může mít předinstalovaný malwareČínský výrobce počítačů Lenovo připustil, že notebooky dodávané do obchodů a spotřebitelé na konci roku 2014 měli předinstalovaný malware. Přečtěte si více , malware, který vykreslil HTTPS; to také, byl opraven Superfish nebyl dosud chycen: Vysvětlení SSL únosůLenovo Superfish malware způsobil rozruch, ale příběh není u konce. I když jste z počítače odstranili adware, stejná zranitelnost existuje i v jiných online aplikacích. Přečtěte si více .

A není to omezeno pouze na váš počítač: váš jsou ovlivněny aplikace smartphonu 1 000 aplikací pro iOS má ochromující chybu SSL: Jak zkontrolovat, zda jste zasaženiChyba AFNetworking způsobuje problémy uživatelům zařízení iPhone a iPad, přičemž tisíce aplikací nesou zranitelnost, což má za následek SSL certifikáty jsou správně autentizovány, což potenciálně usnadňuje krádež identity prostřednictvím man-in-the-middle útoky. Přečtěte si více chybami SSL.

Konvergence je tedy doplněk prohlížeče, který si mnozí zaměňují se systémem, který nahrazuje certifikáty SSL; více než cokoli jiného, ​​je to další fáze pro CA. Konvergence se místo toho, aby věřila jednomu certifikačnímu orgánu, který věří autentičnosti webu, věřila notářské služby svědčí o bezpečnosti webu.

Navštěvujete adresu HTTPS. Existují tři hlavní výsledky: všichni notáři souhlasí s tím, že je to bezpečné, a v tom případě používáte web; ne všichni se shodují, ale můžete jít s většinou nebo web odmítnout, protože tomu notářům nedůvěřujete dělat ručit za to; nebo v extrémních případech většina nebo všichni notáři souhlasí s tím, že mu nebude důvěřováno. Tím pádem není jediný bod selhání.

Přemýšlejte o tom tímto způsobem: jedná se o konvergenci názorů na to, zda uživatel může HTTPS důvěřovat.

Jak se internet stává zabezpečovatelem?

Proč je stále označujeme jako SSL certifikáty? Určitě by to měly být certifikáty TLS? #ssl#tls# MostBrowsersDontDoSSLAnymore

- Chris Pont (@chrispont) 7. června 2016

Ve skořápce ořechů: SSL certifikáty, které autentizují weby, jsou upgradovány na TLS, hlavně na doménách, jako je PayPal, které se zabývají platebními informacemi. Ty jsou zaváděny en masse, s cílem 100% využití HTTPS v příštích několika letech. Příslušné orgány jsou rovněž přehodnocovány a doplněk Konvergence se jeví jako solidní fáze při ověřování důvěryhodnosti webu spoléháním na notáře, aby s tím souhlasili.

Dávají vám tato opatření opět důvěru v SSL? Děláš? cítit bezpečné zadávání platebních údajů online? Jaké další bezpečnostní protokoly byste rádi viděli široce implementované?

Obrazové kredity: HTTPS (WeTransfer) od Christiaan Colen; a https od Sean MacEntee.