Замочек в адресной строке и буквы https видят все, а что за ними стоит − почти никто. Одни хотят понять, безопасно ли вводить на сайте данные карты. Другим нужно прикрутить такой же замочек к своему сайту, чтобы браузер перестал ругаться на «небезопасное соединение».
В этой статье разберем обе стороны: что такое SSL-сертификат простыми словами, как работают протоколы SSL и TLS и чем они отличаются, какой сертификат нужен сайту и где взять базовый бесплатный, как проверить сертификат у чужого сайта. И отдельно − чего SSL не умеет, потому что замочек защищает меньше, чем многие думают.
TL;DR
SSL-сертификат шифрует данные между браузером и сайтом, чтобы их нельзя было подсмотреть или подменить по дороге. Замочек и https в адресной строке − признак того, что соединение защищено.
SSL и TLS − это про одно и то же: TLS пришел на смену SSL, но название осталось по привычке. Базовый сертификат можно получить бесплатно (например, через Let's Encrypt) − для большинства сайтов этого достаточно.
Важная граница: сертификат защищает только канал передачи. Он не делает сам сайт честным или защищенным от взлома, и не скрывает от провайдера, какие сайты вы открываете − это уже задача VPN.
Что такое SSL-сертификат
SSL-сертификат − это цифровой документ сайта, что-то вроде паспорта: он подтверждает, что сайт действительно тот, за кого себя выдает, и включает шифрование данных между вами и этим сайтом. Браузер проверяет паспорт при подключении, и если все в порядке − показывает замочек.
Если совсем просто, сертификат нужен для трех вещей:
- данные не передаются в открытом виде;
- их нельзя перехватить или подменить по дороге;
- вы попадаете именно на тот сайт, адрес которого видите, а не на его подделку.
Аббревиатура SSL расшифровывается как Secure Sockets Layer − защищенный уровень сокетов. Это технология, которую придумали для защиты сетевых соединений. Со временем ей на смену пришла более современная версия − TLS, но название SSL прижилось и используется до сих пор (про эту путаницу − отдельный раздел ниже).
Узнать защищенное соединение легко: адрес начинается с https://, рядом стоит значок замка, а браузер не показывает предупреждений. Сертификат закрывает данные, которые идут между браузером и сервером, − формы, логины, пароли, персональную информацию − и гарантирует, что по дороге их не изменили. А вот сам сайт от взлома он не защищает: его работа заканчивается на канале передачи.
Как работает SSL/TLS-соединение
Когда вы открываете сайт по https, между браузером и сервером за доли секунды проходит установка защищенного соединения. Браузер запрашивает безопасное подключение, сервер присылает свой сертификат, браузер проверяет его подлинность, и стороны договариваются о параметрах шифрования. Все это незаметно и автоматически.
На этапе проверки браузер смотрит сразу несколько вещей:
- выдан ли сертификат доверенным центром сертификации;
- совпадает ли домен с тем, что указан в сертификате;
- не истек ли срок действия;
- не отозван ли сертификат.
Если хотя бы один пункт не сходится, браузер останавливает вас предупреждением о небезопасном соединении.
Дальше данные между браузером и сервером идут уже в зашифрованном виде: перед отправкой информация кодируется, перехваченный трафик выглядит как бессмысленный набор символов, а прочитать его может только получатель. Это и защищает вас от перехвата в сети, включая публичный Wi-Fi в кафе или аэропорту.
Внутри SSL/TLS работают сразу два типа шифрования. Асимметричное (с парой ключей) используется на этапе рукопожатия, чтобы безопасно договориться о секрете. Симметричное (с одним общим ключом) − для самой передачи данных, потому что оно быстрее. Такая связка дает и защиту, и скорость одновременно, а вся криптография остается полностью скрытой от пользователя.
SSL и TLS − в чем разница
Термины SSL и TLS постоянно используют вместе, и отсюда путаница «это одно и то же или нет». Если коротко: это один и тот же механизм на разных этапах развития.
TLS (Transport Layer Security) − современный криптографический протокол, который пришел на смену SSL и решает ту же задачу, но надежнее: более сильные алгоритмы шифрования, лучшая защита от атак, строгие проверки. Старые версии SSL давно отключены из-за уязвимостей, и сегодня все защищенные соединения работают на TLS. Когда вы видите «SSL-сертификат», за ним почти всегда стоит именно TLS.
Почему же название SSL никуда не делось? Оно стало привычным, закрепилось в интерфейсах и документации и понятно широкой аудитории. Поэтому «SSL-сертификат» − это устоявшееся выражение, хотя технически точнее было бы говорить «TLS-сертификат». Запоминать тут особо нечего: безопасность обеспечивает не слово на коробке, а актуальная версия TLS под ним.
Зачем сайтам нужен SSL-сертификат
Сертификат нужен не для галочки и не только из-за требований браузеров. Он закрывает несколько вполне конкретных задач.
Первая и главная − защита данных пользователей. Все, что вы вводите на сайте (логин и пароль, данные форм, информацию в личном кабинете), шифруется при передаче. Без сертификата эти данные идут открытым текстом, и их можно перехватить в сети.
Вторая − подтверждение подлинности. Сертификат показывает, что вы подключились именно к тому сайту, чей адрес видите в строке, а не к его фишинговой копии. Это снижает риск подмены сайта и атак типа «человек посередине», когда кто-то встраивается между вами и сервером.
Третья − требования браузеров. Сайты без https помечаются как небезопасные, при попытке ввести данные пользователь видит предупреждение, а часть возможностей страницы просто не работает. Поэтому сегодня сертификат нужен любому сайту, который как-то взаимодействует с посетителями, − от интернет-магазина до личного блога. Особенно это критично для веб-приложений: они постоянно обмениваются данными с сервером, используют авторизацию и сессии, и без защищенного канала становятся уязвимыми.
Какой сертификат нужен и как его получить или проверить
Сертификаты различаются уровнем проверки − то есть тем, что именно центр сертификации подтвердил перед выдачей. На практике типов три.
| Тип | Что подтверждает | Кому подходит |
|---|---|---|
| DV (Domain Validation) | Контроль над доменом − самый быстрый и простой уровень | Личным сайтам, блогам, большинству небольших проектов |
| OV (Organization Validation) | Существование организации-владельца | Компаниям, сайтам с формами и обработкой данных |
| EV (Extended Validation) | Расширенную юридическую проверку компании | Банкам, крупным магазинам, сервисам с платежами |
Важный момент: на уровень шифрования тип сертификата не влияет − соединение одинаково защищено и у DV, и у EV. Разница только в глубине проверки владельца. Поэтому, если задача − просто «включить https и убрать предупреждение браузера», базового DV-сертификата достаточно.
Получить такой сертификат можно бесплатно. Самый известный способ − некоммерческий центр Let's Encrypt, который выдает DV-сертификаты автоматически; их поддерживают почти все хостинги и панели управления. Многие хостеры подключают бесплатный сертификат в пару кликов прямо в панели − отдельно ничего настраивать не нужно.
Проверить сертификат у чужого сайта тоже несложно. Два простых способа:
- нажать на значок замка слева от адреса − браузер покажет, кому выдан сертификат, кем и до какой даты он действует;
- открыть онлайн-проверку (например, SSL Labs от Qualys), которая разберет сертификат и настройки сервера подробнее.
Если замок есть, а данные сертификата совпадают с адресом сайта − соединение в порядке. Если браузер ругается на сертификат, вводить на таком сайте логины и платежные данные не стоит.
Чего SSL не защищает
SSL/TLS закрывает данные в процессе передачи − и только. Полезно понимать, где проходит эта граница, чтобы не считать замочек гарантией полной безопасности.
Сертификат не защищает сам сервер от взлома, не предотвращает утечки данных на стороне сайта и не исправляет ошибки в его коде. Если сайт уязвим сам по себе, замочек на это никак не влияет − он отвечает за дорогу, а не за то, что происходит в пункте назначения. Поэтому наличие https не означает, что сайту можно доверять: фишинговая страница тоже бывает с сертификатом, ведь базовый DV выдается любому владельцу домена.
И есть еще одна граница, о которой говорят редко. SSL шифрует содержимое того, что вы передаете, но не скрывает сам факт визита. Ваш интернет-провайдер не видит, что именно вы пишете и какие пароли вводите, − но видит, на какие сайты вы заходите. Адрес назначения остается открытым, потому что сеть должна знать, куда вести трафик.
Эту часть приватности − сам маршрут − закрывает уже VPN. Он шифрует соединение целиком и ведет его через свой сервер, так что провайдеру виден только факт подключения к VPN, а не список открытых сайтов. У нас в LagomVPN это работает по принципу zero-knowledge: мы не храним логи и не передаем данные третьим лицам. То есть SSL и VPN решают разные задачи и хорошо дополняют друг друга: первый защищает разговор с сайтом, второй − приватность самого маршрута.
Стоит добавить про два бытовых момента. Сертификаты имеют ограниченный срок действия, поэтому их нужно вовремя продлевать − просроченный сертификат вызывает у посетителей то же предупреждение, что и его отсутствие; на бесплатных сертификатах обновление обычно автоматическое. А про «SSL замедляет сайт» можно забыть: современные алгоритмы TLS оптимизированы, на скорость шифрование почти не влияет, и многие веб-технологии вообще работают только по https.
Защищенное соединение как норма современного интернета
SSL/TLS-сертификаты − базовая технология безопасной передачи данных в интернете. Они подтверждают подлинность сайтов, шифруют информацию пользователей и формируют доверие к сервисам. Сегодня это не конкурентное преимущество, а обязательное условие нормальной работы в сети.
Главное − держать в голове и возможности, и границы. Замочек означает, что данные между вами и сайтом защищены от перехвата по дороге. Но он не делает сам сайт честным, не спасает от взлома сервера и не скрывает, куда вы ходите. Понимая, где заканчивается зона ответственности SSL, проще принимать спокойные и взвешенные решения о собственной безопасности в сети.