SSLچیست؟

گواهی SSL چیست و انواع آن کدامند؟

گواهی SSL مخفف Secure Sockets Layer یک پروتکل امنیت اینترنتی مبتنی بر رمزگذاری است. اولین بار این گواهینامه توسط Netscape در سال 1995 به منظور اطمینان از حفظ حریم خصوصی، احراز هویت و یکپارچگی داده‌­ها در ارتباطات اینترنتی ایجاد شد. گواهی لایه اتصال امن (SSL) باعث رمز‌گذاری اطلاعات میان سرویس‌­دهنده و سرویس­‌گیرنده می­‌شود و SSL از هرگونه اطلاعات حساسی که بین دو سیستم در حال تبادل است، حفاظت می­‌کند و این گواهینامه از هک کردن و تغییر هرگونه اطلاعات منتقل شده شامل هر چیز حساس یا شخصی مانند جزئیات کارت اعتباری، ورود به سیستم حساب، سایر اطلاعات مالی، نام و آدرس باشد، جلوگیری می­‌کند.

وب­‌سایتی که SSL را پیاده­‌سازی می­‌کند به جای “HTTP” در URL خود “HTTPS” دارد. HTTPS (Hyper Text Transfer Protocol Secure) هنگام ایمن‌­سازی وب­‌سایت توسط گواهی SSL در URL قابل رویت است. جزئیات گواهی از جمله مرجع صدور و نام شرکت صاحب وب‌­سایت را می­‌توانیم با کلیک بر روی نماد قفل در نوار مرورگر مشاهده کرد.

در سال 1999 با به ­روز­رسانی SSL، نام آن به Transport Layer Security (TLS) تبدیل شد و TLS (Transport Layer Security) فقط یک نسخه به روز شده و امن‌تر از SSL است و این گواهینامه هنوز با نام SSL شناخته می­‌شود.

SSL/TLS چرا مهم است؟

در سایت­‌های بدون SSL، داده‌­های موجود در وب به طور ساده منتقل می‌گردد که هکرها براحتی می‌­توانند پیام را بخوانند. به عنوان مثال، اگر مصرف کننده‌­ای از یک وب­‌سایت بازدید و سفارشی ثبت کند و شماره کارت اعتباری خود را در وب‌­سایت وارد کند، آن شماره کارت اعتباری بدون هیچ امنیتی در بستر اینترنت وارد می­‌شود و براحتی اطلاعات قابل هک شدن است اما اصل اساسی این است که وقتی گواهی SSL را روی سرور خود نصب می­‌کنید و یک مرورگر به آن متصل می­‌شود، پروتکل SSL (یا TLS) اطلاعات ارسالی بین سرور و مرورگر را رمزگذاری می­‌کند (یا بین سرورها)، SSL با رمزگذاری هر داده‌­ای که بین کاربر و وب سرور قرار دارد و با احراز هویت اطمینان حاصل می‌­کند که هر کسی که داده‌­ها را جستجو کند فقط می­‌تواند یک پیام  بهم ریخته را مشاهده کند. شماره کارت اعتباری مصرف­‌کننده ایمن است و فقط در وب­‌سایت خریدی که وارد کرده است پیام به درستی قابل مشاهده است.

با توجه به اینکه بسیاری از معاملات و ارتباطات روزمره ما بصورت آنلاین اتفاق می‌­افتد، دلیل بسیار کمی برای استفاده نکردن از SSL وجود دارد و گوگل جهت ایمن سازی فضای تبادل اطلاعات و اینترنت و جلوگیری از کلاه برداری، فیشینگ، سرقت اطلاعات و جاسوسی در سازمان‌ها، با اسکن و پویش کردن وب‌سایت‌­ها، تمامی وب­‌سایت‌­هایی که به هر دلیل یک ریسک امنیتی دارند را لیست کرده و در صورتی که کاربری بخواهد این صفحات را باز کند، به آنها هشدار می­‌دهد. این برنامه تحت عنوان Google Safe Browsing در حال حاضر و به مرور در حال لیست کردن وب­‌سایت­‌‌هایی است که کاربر در آنها امکان ورود اطلاعات، اعم از نام، آدرس، شماره حساب، پسورد و… را دارند اما این ورود اطلاعات تحت پروتکل امن SSL انجام نمی­‌شود و  در صورتی که در وب­‌سایت­‌ها فرمی جهت تکمیل توسط کاربران وجود دارد و از SSL استفاده نمی­‌کنند، وب­‌سایت آنها  به زودی توسط Google لیست شده و هنگام ورود به وب‌­سایت، پیغام آزار دهنده Not Safe دریافت خواهد کرد.

گواهی SSL شامل چه اطلاعاتی می­‌باشند؟

• نام دامنه‌­ای که گواهی برای آن صادر شده است.
• برای کدام شخص، سازمان یا دستگاه صادر شده است.
• کدام سازمان گواهینامه آن را صادر کرده است.
• تاریخ صدور گواهینامه
• تاریخ انقضا گواهی و …
• کلید عمومی

یکی از مهمترین اطلاعات گواهی SSL کلید عمومی وب­‌سایت(Public Key) است که این کلید عمومی رمزگذاری را ممکن می‌­کند. دستگاه کاربر کلید عمومی را مشاهده می­‌کند و از آن برای ایجاد کلیدهای رمزگذاری امن با وب سرور استفاده می­‌کند. در همین حال وب سرور همچنین دارای یک کلید خصوصی (private key) است که به صورت مخفی نگهداری می‌­شود. کلید خصوصی داده­‌های رمزگذاری شده با کلید عمومی را رمزگشایی می‌­کند و اطلاعات بدون هیچ مشکلی به مقصد می‌­رسد.

انواع گواهینامه­‌های SSL کدامند؟

چندین نوع مختلف از گواهینامه­‌های SSL وجود دارد که عبارتند از :

Domain Validated (DV): این نوع SSL­ها گواهی‌­هایی هستند که تنها بر اساس ثبت دامنه است. هیچگونه بررسی بر روی ثبت بودن سازمان و یا شرکت مالک وب­‌سایت انجام نمی­‌شود و برای وب­‌سایت­های عمومی استفاده می­‌شوند.

Organization Validated (OV): در این نوع گواهینامه سازمان‌­ها به وسیله­‌ی شرکت ارائه دهنده گواهینامه بررسی می‌­شوند تا تایید گردد که سازمان­‌های متقاضی کاملا ثبت شده و رسمی می‌­باشند.

Extended Validation (EV): شرایط صدور این نوع گواهی­‌ها به وسیله استاندارد مشخصی تعیین شده‌­اند و مراحل احراز هویت بسیار سخت گیرانه‌­ای دارد. در کنار فراهم نمودن اعتماد و اطمینان، گواهی‌­های EV یک نوار سبز رنگ نیز در مرورگر بازدیدکننده­‌ها فعال می‌­کند و نام رسمی مطابق با روزنامه رسمی شما کنار قفل قابل نمایش خواهد بود.

SSL Wildcard: این امکان را فراهم می‌­کنند تا بتوانید به همراه دامنه اصلی خود تمامی دامنه­‌های فرعی آن دامنه را نیز تحت پوشش گواهی SSL خود قرار دهید. به عنوان مثال، یک گواهی wildcard می­‌تواند شامل www.nexfon.ir ،shop.nexfon.ir باشد، در حالی که یک گواهی تک دامنه فقط می­‌تواند مورد اول را پوشش دهد.

Multi-Domain SSL Certificates (MDC): از این گواهینامه می­‌توانیم برای دامنه­‌هایی که بر روی یک IP ست شده‌­اند تا 100 دامنه مختلف، استفاده کرد.

Cases for Multi-Domain SSL Certificates(UCC): از این گواهینامه می­‌توانیم برای دامنه­‌هایی که بر روی یک IP ست شده‌اند تا 100 دامنه مختلف، استفاده کرد و مانند EV یک نوار سبز رنگ نیز در مرورگر بازدیدکننده‌ها فعال می­‌کند.

آیا SSL همان TLS است؟

SSL را می‌توان پدربزرگ پروتکل دیگری به نام TLS معرفی کرد که برای اولین بار در سال 1999 توسط کارگروه مهندسی اینترنت (IETF) به‌عنوان نسخه به‌روزرسانی شده SSL معرفی شد. از آنجا که IETF مسئولیت این به‌روزرسانی را برعهده داشت و دیگر پای شرکت نت اسکیپ وسط نبود، نامش به TLS تغییر کرد. البته تفاوت قابل ملاحظه‌ای میان نسخه آخر SSL و اولین نسخه TLS دیده نمی‌شود و این تغییر نام صرفا برای اعلام تغییر مالکیت بود.

امروز این دو اصطلاح به کرات با یکدیگر اشتباه گرفته می‌شوند، چون هنوز ارتباط زیادی با هم دارند. برخی از افراد هنوز به‌جای TLS از همان کلمه SSL استفاده می‌کنند و برخی دیگر اصطلاح رمزگذاری SSL/TLS را جایگزین کرده‌اند.

مهم‌ترین مزیت‌های ssl چیست؟

در بخش‌های قبلی تا حدی دریافتیم اهمیت داشتن گواهی ssl چیست و چطور به امنیت وب‌سایت ما کمک می‌کند؛ با این حال در این بخش قصد داریم مزیت‌های مهم ssl را با نگاه موشکافانه‌تری بررسی کنیم.

۱. نقش ssl در حفاظت از داده‌های وب‌سایت و کاربران

مهم‌ترین وظیفه ssl همین است؛ حفاظت از داده‌های کاربران. زمانی که یک گواهی ssl روی وب‌سایت نصب می‌شود، بیت به بیت اطلاعاتی که روی وب‌سایت ذخیره می‌شوند، رمزگذاری می‌شوند تا هیچ شخص ثالثی قادر به خواندن آن‌ها نباشد. به این ترتیب اطلاعات وب‌سایت در برابر هکرها و مهاجمان کاملا ایمن است؛ چراکه حتی اگر مهاجم به‌نحوی وارد سیستم شود، قادر به تفسیر این داده‌ها نخواهد بود. این یعنی از تمام داده‌های وب‌سایت و کاربران در برابر هرگونه حمله سایبری محافظت می‌شود.

۲. تایید هویت وب‌سایت با گواهی ssl

اینترنت مفید و کار راه انداز و در عین حال پر از فریب و کلاهبرداری است. به همین خاطر نیاز به پروتکل‌های امنیتی که از کاربران در برابر وب‌سایت‌های کلاهبرداری یا سایر اشکال جرایم سایبری محافظت کند، هر روز بیشتر می‌شود. گواهی ssl با احراز هویت وب‌سایت‌ها، در واقع کاربران را راهنمایی می‌کند که به کدام وب‌سایت‌ها اعتماد کنند و به کدام نکنند.

۳. رتبه‌بندی بهتر در موتورهای جستجو با ssl

گوگل به وب‌سایت‌هایی که حریم خصوصی و امنیت کاربران را در اولویت قرار دهند، بیشتر اهمیت می‌دهد و آن‌ها را در رتبه‌های بالاتری می‌نشاند. پس حتی اگر مسائل امنیتی خیلی برایتان مهم نیست، اگر می‌خواهید اسم وب‌سایت‌تان در صفحات اول نتایج موتور جستجو دیده شود، به فکر تهیه گواهی ssl باشید.

فراموش نکنید حتی اگر سرمایه زیادی برای بحث سئو سایت در نظر بگیرید، با همین اشتباه کوچک و بی‌توجهی به اهمیت گواهی ssl، برای رتبه‌بندی بهتر توسط گوگل با مشکل مواجه خواهید شد.

۴. برآورده‌کردن الزامات PCI/DSS به کمک ssl

صنعت کارت پرداخت (PCI) ۱۲ الزام امنیتی دارد که همه وب‌سایت‌ها باید رعایت کنند تا یک تجربه مرور ایمن برای مشتریان فراهم شود. مهم‌ترین آنها گواهی SSL است که داده‌های حساس مثل شماره کارت اعتباری، شماره تامین اجتماعی و غیره را امن نگه می‌دارد. بنابراین، اگر وب سایتی دارید که کاربر باید اطلاعات حساس خود را در اختیار شما بگذارد، ارائه گواهی SSL الزامی است.

۵. تقویت اعتماد مشتریان با گواهی SSL

خود شما چقدر تمایل دارید از وب‌سایت‌هایی بازدید کنید که امن نیستند یا با مرور آن‌ها کوچکترین خطری اطلاعات شما را تهدید می‌کند؟ قطعا نه! هیچ‌کس به چنین سایتی اعتماد نمی‌کند و حتی عده‌ای از بازکردن چنین صفحاتی امتناع می‌کنند. بنابراین، با نصب گواهی‌های SSL بازدیدکنندگان شما با اطمینان خاطر وب‌سایت را مرور می‌کنند و احتمال بازگشت آنان چند برابر بیشتر خواهد بود.

کلام آخر

پروتکل رمزنگاری امن Ssl به شما کمک می‌کند با ارائه تجربه‌ای کاملا ایمن و رمزگذاری‌شده به کاربران نشان دهید می‌توانند به شما اعتماد کنند. کافی است یک گواهی ssl برای وب‌سایت تهیه کنید و با جلب توجه گوگل به‌عنوان یک وب‌سایت تاییدشده، با یک تیر دو نشان بزنید.