ColoMax
October 18th, 2015, 17:09
گواهینامه های دیجیتال SSL، ابزاری برای تأیید هویت و حفظ امنیت وب سایت ها هستند. گواهینامه های SSL که تنها برای شرکتها و اشخاص حقیقی معتبر صادر میشوند حاوی اطلاعاتی در مورد نام دامنه، شرکت، آدرس، تاریخ ابطال گواهینامه و همین طور اطلاعاتی در مورد صادرکننده گواهینامه هستند.
واژه‌ی SSL، مخفف Secure Socket Layer است و در واقع عنوانی برای یک فناوری استاندارد و به ثبت رسیده برای ایجاد ارتباطات امن بین وب سرورها و مرورگرهای اینترنت است. استاندارد مذکور، یک استاندارد فنی بوده و در حال حاضر توسط میلیون ها وب سایت در سراسر دنیا مورد استفاده قرار می گیرد.
پروتکل SSL برای اولین بار توسط شرکت Netscape به منظور انتقال اطلاعات به صورت امن بین دو نقطه در اینترنت تهیه شد و سپس توسط دیگر مرورگرها از جمله IE نیز مورد استفاده قرار گرفت. سپس پروتکل مذکور توسط شرکت Internet Engineering Task Force(IETF) به عنوان استاندارد تعریف شده و به ثبت رسید.
بنا بر پروتکل SSL، اطلاعاتی که میان مرورگر و وب‌سایتی که در حال مرور شدن است، مبادله می شود، به وسیله‌ی کلید های خصوصی (private key) رمزنگاری (http://certcc.ir/index.php?module=cdk&func=loadmodule&system=cdk&sismodule=user/content_view.php&cnt_id=2663&ctp_id=89&id=38&sisOp=view) شده و در صورتی که در طول مسیر اطلاعات استراق سمع شوند، قابل استفاده نخواهند بود. به همین جهت است که از پروتکل مذکور برای کاربردهای تجاری استقبال خوبی به عمل آمده است.
در حال حاضر بسیاری از وب سایت ها علاوه بر پروتکل معمول HTTP از SSL نیز حمایت می کنند و برای دسترسی امن به اطلاعات وب‌سایت های مذکور می توان از HTTPS استفاده کرد. پروتکل HTTP-S همان Secure HTTP است و از پروتکل SSL برای انتقال اطلاعات استفاده می‌کند. قابل ذکر است که پروتکل HTTP به صورت پیش فرض از پورت 80 استفاده می کند در حالی که پروتکلHTTPS به صورت پیش فرض از پورت 443 استفاده می کند. به عبارت دیگر این دو پروتکل دو مجرای ارتباطی کاملاً مجزا دارند.
وب سایت هایی که قصد استفاده از پروتکل SSL را دارند باید گواهینامه ای را برای این منظور دریافت نمایند که به گواهینامه SSL معروف است. دارنده گواهینامه SSL تضمین می کند تمام اطلاعاتی که مابین وب سرور و مرورگر کاربرانش رد و بدل می شود محرمانه و دست نخورده باقی بماند.
به عبارتی دیگر، گواهینامه‌های دیجیتال یک ارتباط امن را بر مبنای پروتکل SSL تضمین می کنند و این کار را اولاً از طریق رمزنگاری بسته های اطلاعاتی و ثانیاً از طریق تأیید هویت وب سایت و یا سرویس نرم افزاری دارای گواهینامه انجام می‌دهند.
همان طور که در بالا گفته شد، رمزنگاری بسته های اطلاعاتی در هنگام تبادل آنها این امکان را به طرفین می‌دهد که ارتباط خود را در بستری امن و به دور از مداخله شخص ثالث، به صورت رمز شده و غیر قابل خواندن برای دیگران برقرار سازند و از صحت اطلاعات رد و بدل شده اطمینان حاصل کنند. قابل ذکر است که اطلاعاتی که بدون وجود این پروتکل رد و بدل می شوند، به سادگی توسط افراد ثالث در گره های(Node) بین راه قابل رویت، تغییر و سوء استفاده هستند.
مورد دیگری که گواهینامه های دیجیتال تضمین می کنند، تأیید هویت وب‌سایت و یا سرویس نرم افزاری است که گواهینامه دیجیتال بر روی آن نصب گردیده است. به عبارت دیگر، کاربر وب‌سایتی که دارای گواهینامه دیجیتال معتبر است می تواند از جعلی نبودن وب‌سایت مذکور و هویت حقیقی آن اطمینان حاصل کند و مطمئن باشد که این وب‌سایت با توجه به گواهینامه‌ی معتبری که دارد، واقعآً همان است که ادعا می نماید، نه یک وب‌سایت جعلی که شبیه به وب‌سایت اصلی ایجاد شده و با روشهای متعددی که برای انحراف مسیر و هک کردن وجود دارد کاربر را به سمت خود هدایت کرده است. (پیشگیری از حملات Phishing و man-in-the-middle)
پیچیدگی‌های پروتکل SSL برای کاربران پوشیده است، اما آنها می توانند با استفاده از قفل کوچک زردرنگی که در پایین صفحه مرورگر نمایش داده میشود، از برقراری یک ارتباط امن اطلاع حاصل کنند. قابل ذکر است که در نسخه های جدید برخی از مرورگرها همچون IE، قفل مذکور در کنار نوار آدرس نمایش داده میشود. هنگامی که کاربر روی قفل کوچک زرد رنگ دوبار کلیک کند، گواهینامه وب سایت به همراه سایر جزئیات نمایش داده می شود. در زیر مثالی از نمایش مشخصات و جزئیات گواهینامه دیجیتال در مرورگر IE که مربوط به بانک ملی است، آورده شده است:
http://www.certcc.ir/parameters/certcc/modules/cdk/upload/content/article/Image/SSL_certificate_sample_detail.PNG
http://www.certcc.ir/parameters/certcc/modules/cdk/upload/content/article/Image/SSL_certificate_sample.PNG
زمانیکه یک مرورگر اینترنت به یک وب‌سایت از طریق ارتباط امن SSL متصل میشود , علاوه بر دریافت گواهینامه SSL (کلید عمومی)، پارامترهایی را نظیر تاریخ ابطال گواهینامه، معتبر بودن صادرکننده گواهینامه و مجاز بودن وب‌سایت به استفاده از این گواهینامه را نیز بررسی می‌کند و هر کدام از موارد را که مورد تایید نباشد به صورت یک پیغام اخطار به کاربر اعلام میدارد.
واژه‌ی SSL، مخفف Secure Socket Layer است و در واقع عنوانی برای یک فناوری استاندارد و به ثبت رسیده برای ایجاد ارتباطات امن بین وب سرورها و مرورگرهای اینترنت است. استاندارد مذکور، یک استاندارد فنی بوده و در حال حاضر توسط میلیون ها وب سایت در سراسر دنیا مورد استفاده قرار می گیرد.
پروتکل SSL برای اولین بار توسط شرکت Netscape به منظور انتقال اطلاعات به صورت امن بین دو نقطه در اینترنت تهیه شد و سپس توسط دیگر مرورگرها از جمله IE نیز مورد استفاده قرار گرفت. سپس پروتکل مذکور توسط شرکت Internet Engineering Task Force(IETF) به عنوان استاندارد تعریف شده و به ثبت رسید.
بنا بر پروتکل SSL، اطلاعاتی که میان مرورگر و وب‌سایتی که در حال مرور شدن است، مبادله می شود، به وسیله‌ی کلید های خصوصی (private key) رمزنگاری (http://certcc.ir/index.php?module=cdk&func=loadmodule&system=cdk&sismodule=user/content_view.php&cnt_id=2663&ctp_id=89&id=38&sisOp=view) شده و در صورتی که در طول مسیر اطلاعات استراق سمع شوند، قابل استفاده نخواهند بود. به همین جهت است که از پروتکل مذکور برای کاربردهای تجاری استقبال خوبی به عمل آمده است.
در حال حاضر بسیاری از وب سایت ها علاوه بر پروتکل معمول HTTP از SSL نیز حمایت می کنند و برای دسترسی امن به اطلاعات وب‌سایت های مذکور می توان از HTTPS استفاده کرد. پروتکل HTTP-S همان Secure HTTP است و از پروتکل SSL برای انتقال اطلاعات استفاده می‌کند. قابل ذکر است که پروتکل HTTP به صورت پیش فرض از پورت 80 استفاده می کند در حالی که پروتکلHTTPS به صورت پیش فرض از پورت 443 استفاده می کند. به عبارت دیگر این دو پروتکل دو مجرای ارتباطی کاملاً مجزا دارند.
وب سایت هایی که قصد استفاده از پروتکل SSL را دارند باید گواهینامه ای را برای این منظور دریافت نمایند که به گواهینامه SSL معروف است. دارنده گواهینامه SSL تضمین می کند تمام اطلاعاتی که مابین وب سرور و مرورگر کاربرانش رد و بدل می شود محرمانه و دست نخورده باقی بماند.
به عبارتی دیگر، گواهینامه‌های دیجیتال یک ارتباط امن را بر مبنای پروتکل SSL تضمین می کنند و این کار را اولاً از طریق رمزنگاری بسته های اطلاعاتی و ثانیاً از طریق تأیید هویت وب سایت و یا سرویس نرم افزاری دارای گواهینامه انجام می‌دهند.
همان طور که در بالا گفته شد، رمزنگاری بسته های اطلاعاتی در هنگام تبادل آنها این امکان را به طرفین می‌دهد که ارتباط خود را در بستری امن و به دور از مداخله شخص ثالث، به صورت رمز شده و غیر قابل خواندن برای دیگران برقرار سازند و از صحت اطلاعات رد و بدل شده اطمینان حاصل کنند. قابل ذکر است که اطلاعاتی که بدون وجود این پروتکل رد و بدل می شوند، به سادگی توسط افراد ثالث در گره های(Node) بین راه قابل رویت، تغییر و سوء استفاده هستند.
مورد دیگری که گواهینامه های دیجیتال تضمین می کنند، تأیید هویت وب‌سایت و یا سرویس نرم افزاری است که گواهینامه دیجیتال بر روی آن نصب گردیده است. به عبارت دیگر، کاربر وب‌سایتی که دارای گواهینامه دیجیتال معتبر است می تواند از جعلی نبودن وب‌سایت مذکور و هویت حقیقی آن اطمینان حاصل کند و مطمئن باشد که این وب‌سایت با توجه به گواهینامه‌ی معتبری که دارد، واقعآً همان است که ادعا می نماید، نه یک وب‌سایت جعلی که شبیه به وب‌سایت اصلی ایجاد شده و با روشهای متعددی که برای انحراف مسیر و هک کردن وجود دارد کاربر را به سمت خود هدایت کرده است. (پیشگیری از حملات Phishing و man-in-the-middle)
پیچیدگی‌های پروتکل SSL برای کاربران پوشیده است، اما آنها می توانند با استفاده از قفل کوچک زردرنگی که در پایین صفحه مرورگر نمایش داده میشود، از برقراری یک ارتباط امن اطلاع حاصل کنند. قابل ذکر است که در نسخه های جدید برخی از مرورگرها همچون IE، قفل مذکور در کنار نوار آدرس نمایش داده میشود. هنگامی که کاربر روی قفل کوچک زرد رنگ دوبار کلیک کند، گواهینامه وب سایت به همراه سایر جزئیات نمایش داده می شود. در زیر مثالی از نمایش مشخصات و جزئیات گواهینامه دیجیتال در مرورگر IE که مربوط به بانک ملی است، آورده شده است:
http://www.certcc.ir/parameters/certcc/modules/cdk/upload/content/article/Image/SSL_certificate_sample_detail.PNG
http://www.certcc.ir/parameters/certcc/modules/cdk/upload/content/article/Image/SSL_certificate_sample.PNG
زمانیکه یک مرورگر اینترنت به یک وب‌سایت از طریق ارتباط امن SSL متصل میشود , علاوه بر دریافت گواهینامه SSL (کلید عمومی)، پارامترهایی را نظیر تاریخ ابطال گواهینامه، معتبر بودن صادرکننده گواهینامه و مجاز بودن وب‌سایت به استفاده از این گواهینامه را نیز بررسی می‌کند و هر کدام از موارد را که مورد تایید نباشد به صورت یک پیغام اخطار به کاربر اعلام میدارد.