درس نهم: شناخت گواهینامه ssl و انواع آن

گواهینامه SSL چیست و انواع آن کدامند؟

گواهینامه SSL فایل‌های کوچک اطلاعاتی هستند که به‌صورت دیجیتالی یک کلید رمزنگاری شده را به وب‌سایت یک سازمان متصل می‌کنند. این گواهینامه‌ها با نصب بر روی وب‌سرور، یک کلید و پروتکل https را فعال کرده و اتصال امن و مطمئن بین وب سرور و مرورگر را امکان‌پذیر می‌کنند. اغلب از SSL برای اطمینان از امنیت تراکنش‌های مالی آنلاین، انتقال داده‌ها و ورود به سیستم استفاده می‌شود و اخیراً نیز در تامین امنیت سایت‌های مربوط به شبکه‌های اجتماعی استفاده می‌شود

چرا به گواهینامه SSL نیاز دارم؟
گواهینامه SSL موارد زیر را بهم وصل می کند:

• نام دامنه، نام سرور یا نام هاست
  
• هویت سازمانی (یعنی نام شرکت) و موقعیت مکانی

برای شروع و ایجاد یک ارتباط امن با مرورگرها، یک سازمان باید گواهینامه اس اس ال را بر روی وب‌سرور خود نصب کند. با برقراری این نوع اتصال امن، کلیه ترافیک بین وب‌سرور و مرورگر‌ها ایمن خواهد بود. با نصب موفقیت‌آمیز آن بر روی سرور، پروتکل اپلیکیشن (که تحت عنوان HTTP نیز شناخته می‌شود) به HTTPS تغییر می‌یابد، که در اینجا “S” مخفف کلمه “Secure” به معنای امنیت است. به‌هنگام بازدید از سایتی که دارای اس اس ال است، بسته به نوع آن و نوع مرورگر، در browser علامت یک قفل یا یک نوار سبز ظاهر می‌شود.

گواهینامه SSL چگونه کار می کند؟
انواع گواهینامه‌های اس‌ اس‌ ال از Public Key Cryptography استفاده می کنند. این نوع رمزنگاری یا cryptography از دو key که رشته‌های طولانی و تصادفی از اعداد هستند؛ استفاده می‌کند. یکی از این‌ها private key و دیگری نیز key public نامیده می‌شود. public key در سرور شناخته شده ‌است و در دسترس public domain است و می‌توان از آن برای رمزگذاری هر پیغامی استفاده کرد. فرض کنید دو شخص در حال ارسال پیغام به‌ یکدیگر هستند، زمانی که شخص اول در حال ارسال پیغام به شخص دوم باشد، آن پیغام با public key شخص دوم قفل می‌شود و تنها راهی که می‌توان آن پیغام را رمزگشایی کرد، باز کردن قفل آن با private key شخص دوم است. شخص دوم تنها کسی است که private key خود را در اختیار دارد، بنابراین تنها کسی است که می‌تواند پیغام شخص اول را باز کند. اگر قبل از باز کردن پیام توسط شخص دوم، هکری در میانه راه به پیغام دسترسی پیدا کند، تمام آنچه مشاهده می‌کند، متنی رمزنگاری شده یا cryptographic است که حتی یک کامپیوتر قدرتمند نیز قادر به شکستن آن نیست. اگر از منظر یک وب‌سایت به این موضوع نگاه کنیم، ارتباط بین وب‌سایت و سرور در حقیقیت، همان دو شخصی هستند که در حال تبادل پیغام با یکدیگر هستند.

مزایای صدور گواهینامه SSL :
با صدور گواهینامه‌ SSL برای یک سایت، از اطلاعات حساس و حائز اهمیت کاربران در فضای وب، مانند تراکنش‌های مالی، نام‌های کاربری، رمز عبور و غیره محافظت می‌شود. این گواهینامه‌ها همچنین می‌توانند:

• رتبه‌بندی Google وب‌سایت شما را ارتقاء دهند
• اعتماد مشتری را ایجاد/تقویت کنند
  
• موجب بهینه‌سازی نرخ تبدیل شوند
  

شرکت صادرکننده امنیتی یا CA کیست؟
شرکت‌هایی مانند COMODOT ,CERTUM ،‌GeoTrust و غیره از جمله شرکت‌های اصلی صادر‌کننده گواهینامه امنیتی یا همان CA‌ها هستند. این شرکت‌ها، نهاد‌های معتبری هستند که اعتبار و اطمینان لازم جهت صدور گواهینامه‌های امنیتی دیجیتال را کسب کرده‌اند. CA هویت و قانونی بودن شرکت و یا شخص درخواست‌دهنده یک گواهینامه امنیتی را بررسی کرده و در صورت تایید، یک گواهینامه برای وی صادر می‌کنند. وب‌سایت‌ها، گواهینامه را از طریق CA‌ها خریداری می‌کنند. CA‌ها گواهی‌های امنیتی و public keys را که برای برقراری ارتباط در یک شبکه عمومی استفاده می‌شوند، مدیریت و صادر می‌کنند. مرورگرهای وب معمولاً لیستی از‌CA‌ها دارند که اعتبار گواهینامه‌ها را با این لیست مقایسه می‌کنند. در صورتی که صادرکننده در این لیست نباشد، مثلاً در مواردی یک سایت خودش گواهینامه را امضاء کند، مرورگر پیغام هشداری را به کاربر نشان می‌دهد مبنی بر اینکه که گواهینامه امنیتی سایت مورد نظر ناشناخته است و از کاربر می‌خواهد که در ادامه کار با آن سایت دقت کند.

انواع گواهینامه SSL کدامند؟

قبل از مراجعه به شرکت‌های ارائه‌دهنده خدمات صدور گواهینامه SSL باید بدانید جهت خرید گواهینامه SSL کدام نوع مناسب کسب‌و‌کار شما می‌باشد. سه نوع اس اس ال مختلف وجود دارد که هر یک سطح امنیتی متفاوتی را ارائه می‌دهند. سطوح امنیتی در بین انواع گواهینامه‌ها بسیار متفاوت است. به همین دلیل مهم است بدانیم که یک سایت در هنگام انجام یک تراکنش مالی یا انجام هرگونه کار با داده‌های شخصی کاربر، از چه نوعی از آن استفاده کنند:

• گواهینامه اعتبار سنجی دامنه (Domain validated (DV:

گواهینامه‌های DV فقط مالکیت وب‌سایت را تایید می‌کنند. که با یک فرایند ساده انجام می‌شود. یک CA برای تایید هویت، یک ایمیل به آدرس ایمیل وب‌سایت ارسال می‌کند و به هیچ اطلاعات دیگری در مورد شرکت نیازی ندارد. توجه داشته باشید که گواهینامه‌های DV کمترین میزان اعتبار را دارند و معمولاً توسط مجرمان سایبری مورد استفاده قرار می‌گیرند، زیرا به‌راحتی قابل نفوذ هستند.

• گواهینامه اعتبار سنجی سازمانی (Organizationally validated (OV:

برای دریافت یک گواهینامه OV، یک CA باید اطلاعات خاصی از جمله مشخصات شرکت، موقعیت فیزیکی و نام دامنه وب‌سایت را تایید کند. این روند به‌طور معمول چند روز زمان می‌برد. گواهینامه‌های OV از سطح اعتبار متوسطی برخوردار هستند و گزینه خوبی برای وب‌سایت‌های عمومی هستند که از لحاظ تراکنشی از حساسیت کمتری برخوردار هستند.

• گواهینامه با اعتبار سنجی گسترده (Extended validation (EV:

این نوع گواهینامه برای وب‌سایت‌هایی که اطلاعات حساس را کنترل می‌کنند، ازبالاترین سطح امنیتی برخوردار هستند و شناسایی آن‌ها نیز ساده است؛ بسیار ضروری است. CA‌ها به‌‍منظور صدور گواهینامه EV، بررسی پیشرفته‌ای را جهت به حداکثر رساندن میزان اعتبار و اطمینان در مورد آن کسب‌و‌کار انجام می‌دهند. روند بررسی شامل بررسی اسناد شرکت، تایید هویت متقاضی و بررسی اطلاعات با پایگاه داده شخص ثالث است. کاربران با مشاهده نماد یک قفل یا درج نام شرکت به رنگ سبز در URL bar متوجه می‌شوند که این وب‌سایت دارای گواهینامه از نوع EV است.

چگونه می توانم از امن بودن یک وب سایت اطمینان حاصل کنم؟
حال که با SSL Certificate، انواع آن و احتمال خطر کلاهبرداری در سایت‌هایی از نوع DV آشنا شدید، مهم است که یاد بگیرید که چگونه در هنگام خرید یا انجام تراکنش‌های حساس آنلاین کمتر در معرض خطر قرار بگیرید. این چهار مرحله را دنبال کنید:

1- Privacy policy فروشنده را مطالعه کنید:
بررسی کنید که چگونه از اطلاعات شخصی شما استفاده می‌شود. شرکت‌های معتبر باید درباره اطلاعاتی که جمع‌آوری می‌کنند و کارهایی که با آن انجام می‌دهند، شفاف باشند.

2- به دنبال نماد‌های اعتماد الکترونیکی در سایت باشید:
نشان‌ها یا نماد‌های معتبر نشان می‌دهد که وب‌سایت مطابق با استانداردهای امنیتی خاص است.

3- نوع گواهینامه اس اس ال را که یک وب‌سایت در اختیار دارد، شناسایی کنید:
به‌عنوان اولین قدم، به‌دنبال نشانه‌های بصری حاکی از تامین و حفظ امنیت مانند نماد قفل و رنگ سبز در نوار آدرس باشید. فقط وب‌سایت‌های نوع EV دارای نام شرکت در url bar هستند. مرورگرها گواهی DV را از گواهی OV تشخیص نمی‌دهند. ابزار Norton's Safe Web می‌تواند به شما کمک کند به‌راحتی این تفاوت را رمزگشایی کنید.

4- تراکنش‌های مالی و اطلاعات شخصی خود را تنها در سایت‌هایی با گواهینامه‌های OV یا EV انجام دهید:
از گواهینامه‌های DV می‌توان برای اهداف و مقاصد مشروع استفاده کرد، اما این استفاده شامل سایت‌های e-commerce نیست. اگر آدرس URL را در ابزار Norton Safe Web بررسی کنید و نتیجه گزارش حاکی از استفاده از گواهینامه DV توسط سایت باشد، در انجام هر نوع تراکنش از طریق آن سایت تجدید نظر کنید. اما اگر آن سایت دارای مجوز OV یا EV باشد، مطمئن باشید که اطلاعات تجاری آن تایید شده است.
با افزایش توجه و علاقه کاربران به انجام خرید‌های آنلاین، خطرات سایبری نیز به‌همان صورت در حال افزایش هستند. براساس گزارش Global Risk سال ۲۰۱۸ که توسط مجمع جهانی اقتصاد منتشر شده، هزینه‌های مالی حملات سایبری در حال افزایش است و پیش بینی می‌شود زیان جرایم سایبری به کسب‌و‌کارها طی ۵ سال آینده به ۸ هزار میلیارد دلار برسد. آشنایی با انواع گواهینامه‌ها، فاکتور‌های تامین امنیت سایت و خطرات احتمالی خرید آنلاین به کاربران کمک می‌کند تا از کلاهبرداری‌ها جلوگیری کرده و از اطلاعات شخصی خود در برابر جرایم سایبری محافظت کنند.

در پست های بعد، آموزش نصب گواهینامه SSL را بر روی ویندوز، سرور لینوکس،دایرکت ادمین، ساخت برنامه CSR و نصب گواهینامه SSL روی سی پنل را کاملا توضیح می دهیم.