Với rất nhiều vụ rò rỉ dữ liệu lớn xảy ra gần đây, bạn có thể tự hỏi làm thế nào dữ liệu của bạn được bảo vệ khi bạn trực tuyến. Khi bạn truy cập vào một trang web để mua sắm và nhập số thẻ tín dụng của mình, bạn hy vọng trong vài ngày tới, một gói hàng sẽ đến cửa nhà. Nhưng tại thời điểm trước khi bạn nhấn nút đặt hàng, bạn có thắc mắc bảo mật trực tuyến hoạt động như thế nào không?
Khái niệm cơ bản về bảo mật trực tuyến
Ở dạng cơ bản, bảo mật trực tuyến - bảo mật diễn ra giữa máy tính và trang web - được thực hiện thông qua một loạt câu hỏi và câu trả lời. Bạn nhập địa chỉ web vào trình duyệt, sau đó trình duyệt yêu cầu trang web đó xác minh tính xác thực của nó. Trang web phản hồi với thông tin thích hợp, và sau khi cả hai bên đồng thuận, trang web sẽ mở trong trình duyệt web.
Nằm giữa các câu hỏi được hỏi và thông tin được trao đổi là dữ liệu về loại mã hóa truyền thông tin trình duyệt, thông tin máy tính và thông tin cá nhân giữa trình duyệt và trang web. Những câu hỏi và câu trả lời này được gọi là một handshake. Nếu quá trình handshake đó không diễn ra, thì trang web bạn đang cố truy cập được coi là không an toàn.
- HTTPS là gì? và tại sao nó cần cho trang web của bạn
SSL và TLS
SSL
- Ban đầu được phát triển vào năm 1995.
- Mức độ mã hóa web cũ.
- Bị tụt hậu so với Internet đang phát triển nhanh chóng.
TLS
- Bắt đầu là phiên bản thứ ba của SSL.
- Viết tắt của Transport Layer Security [Bảo mật tầng giao vận].
- Tiếp tục cải tiến mã hóa được sử dụng trong SSL.
- Đã thêm các bản sửa lỗi bảo mật cho các kiểu tấn công và lỗ hổng bảo mật mới.
SSL là giao thức bảo mật gốc để đảm bảo rằng những trang web và dữ liệu được truyền giữa các trang là bảo mật. Theo GlobalSign, SSL được giới thiệu vào năm 1995 dưới dạng phiên bản 2.0. Phiên bản đầu tiên [1.0] chưa bao giờ được đưa vào public domain. Phiên bản 2.0 đã được thay thế bằng phiên bản 3.0 trong vòng một năm để giải quyết các lỗ hổng trong giao thức.
Năm 1999, một phiên bản SSL khác, được gọi là Transport Layer Security [TLS], đã được giới thiệu để cải thiện tốc độ của cuộc trò chuyện và tính bảo mật của quá trình handshake. TLS là phiên bản hiện đang được sử dụng.
Tìm hiểu thêm về SSL trong bài viết: SSL là gì? SSL có quan trọng với website không?
Mã hóa TLS
Ưu điểm
- Mã hóa bảo mật hơn.
- Ẩn dữ liệu giữa máy tính và các trang web.
- Thực hiện quá trình handshake tốt hơn với giao tiếp được mã hóa.
Nhược điểm
- Không có mã hóa nào là hoàn hảo.
- Không tự động bảo mật DNS.
- Không hoàn toàn tương thích với các phiên bản cũ.
Mã hóa TLS đã được giới thiệu để cải thiện khả năng bảo mật dữ liệu. Mặc dù SSL là một công nghệ tốt, nhưng việc bảo mật thay đổi với tốc độ nhanh chóng và điều đó dẫn đến nhu cầu bảo mật tốt hơn, cập nhật hơn. TLS được xây dựng dựa trên framework của SSL với các cải tiến đối với những thuật toán chi phối quá trình giao tiếp và handshake.
Phiên bản TLS nào mới nhất?
Cũng như SSL, mã hóa TLS tiếp tục được cải thiện. Phiên bản TLS hiện tại là 1.2, nhưng TLSv1.3 đã được soạn thảo và một số công ty, cũng như trình duyệt đã sử dụng chuẩn bảo mật này trong một thời gian ngắn. Trong hầu hết các trường hợp, chúng hoàn nguyên về TLSv1.2 vì phiên bản 1.3 vẫn đang được hoàn thiện.
Khi được hoàn thiện, TLSv1.3 sẽ mang lại nhiều cải tiến bảo mật, bao gồm khả năng hỗ trợ được cải thiện cho nhiều loại mã hóa hiện tại hơn. Tuy nhiên, TLSv1.3 cũng sẽ ngừng hỗ trợ cho các phiên bản cũ hơn của giao thức SSL và các công nghệ bảo mật khác không còn đủ mạnh để đảm bảo tính bảo mật, cũng như khả năng mã hóa thích hợp cho dữ liệu cá nhân nữa.
Lớp cổng bảo mật [SSL] và Bảo mật lớp vận chuyển [TLS] là các giao thức được thiết kế để cung cấp bảo mật giữa máy chủ web và trình duyệt web.
Tuy nhiên, có một số khác biệt nhỏ giữa SSL và TLS, SSL là cách tiếp cận quan trọng nhất để phục vụ mục đích và nó cũng được hỗ trợ bởi tất cả các trình duyệt trong khi TLS là tiêu chuẩn internet tiếp theo với một số tính năng bảo mật và bảo mật nâng cao.
Biểu đồ so sánh
| Phiên bản | 3.0 | 1 |
| Bộ mật mã | Hỗ trợ Fortezza [thuật toán] | Không hỗ trợ Fortezza |
| Bí mật mật mã | Sử dụng thông báo tiêu hóa của bí mật tiền chủ để tạo bí mật chính. | Sử dụng chức năng giả ngẫu nhiên để tạo bí mật tổng thể. |
| Giao thức ghi | Sử dụng MAC [Mã xác thực tin nhắn] | Sử dụng HMAC [Hashing MAC] |
| Giao thức cảnh báo | Thông báo cảnh báo "Không có chứng chỉ" được bao gồm. | Nó loại bỏ mô tả cảnh báo [Không có chứng chỉ] và thêm hàng tá giá trị khác. |
| Xác thực tin nhắn | Quảng cáo | Tiêu chuẩn |
| xác thực vật liệu quan trọng | Quảng cáo | Chức năng giả danh |
| Xác nhận chứng chỉ | Phức tạp | Đơn giản |
| Đã kết thúc | Quảng cáo | Chức năng giả danh |
Định nghĩa của SSL
Giao thức Lớp cổng bảo mật [SSL] là giao thức Internet đảm bảo trao đổi thông tin an toàn giữa trình duyệt web và máy chủ web. Nó cung cấp hai dịch vụ bảo mật cơ bản: Xác thực và bảo mật . Theo logic, nó cung cấp một kết nối an toàn giữa trình duyệt web và máy chủ web. Netscape Corporation đã phát triển SSL vào năm 1994. Kể từ đó, SSL đã trở thành cơ chế bảo mật Web phổ biến nhất thế giới. Tất cả các trình duyệt Web quan trọng đều hỗ trợ SSL. Hiện tại, SSL có sẵn trong ba phiên bản: 2, 3 và 3, 1.
Lớp SSL có thể được coi là một phần bổ sung trong bộ giao thức TCP / IP . Lớp SSL được định vị giữa lớp ứng dụng và lớp vận chuyển . Ở đây lúc đầu, dữ liệu của lớp ứng dụng được chuyển đến lớp SSL. Sau đó, lớp SSL thực hiện mã hóa trên dữ liệu nhận được từ lớp ứng dụng và cũng thêm tiêu đề thông tin mã hóa của riêng nó được gọi là tiêu đề SSL [SH] vào dữ liệu được mã hóa.
Sau này, dữ liệu lớp SSL trở thành đầu vào cho lớp vận chuyển. Nó thêm tiêu đề của riêng mình và chuyển nó vào lớp internet, v.v. Quá trình này xảy ra chính xác như cách nó xảy ra trong trường hợp truyền dữ liệu TCP / IP bình thường. Cuối cùng, khi dữ liệu đến lớp vật lý, nó được truyền dưới dạng xung điện áp dọc theo môi trường truyền.Ở phần cuối của người nhận, quy trình này khá giống với cách nó xảy ra trong trường hợp kết nối TCP / IP bình thường cho đến khi đến lớp SSL mới. Lớp SSL ở cuối máy thu loại bỏ tiêu đề SSL [SH], giải mã dữ liệu được mã hóa và trả lại văn bản đơn giản trở lại lớp ứng dụng của máy tính nhận.
SSL hoạt động như thế nào?
Ba giao thức con hình thành nên chức năng tổng thể của giao thức SSL là-
- Giao thức bắt tay : Nó thực sự được tạo thành từ bốn giai đoạn.
- Thiết lập khả năng bảo mật
- Xác thực máy chủ và trao đổi khóa
- Xác thực ứng dụng khách và trao đổi khóa
- Hoàn thành
- Giao thức ghi : Giao thức ghi trong SSL chỉ xuất hiện sau khi hoàn thành bắt tay thành công giữa máy khách và máy chủ. Giao thức cung cấp hai dịch vụ được xác định cho các kết nối SSL như sau:
- Bảo mật - Điều này đạt được bằng cách sử dụng khóa bí mật được xác định bởi giao thức bắt tay.
- Tính toàn vẹn - Khóa bí mật chung [MAC] được chỉ định bởi giao thức bắt tay được sử dụng để đảm bảo tính toàn vẹn của tin nhắn.
- Giao thức cảnh báo : Nếu lỗi được xác định bởi máy khách hoặc máy chủ, bên xác định sẽ gửi một thông báo cảnh báo cho một bên khác. Trong trường hợp lỗi nghiêm trọng, cả hai bên nhanh chóng đóng kết nối SSL.
Định nghĩa về TLS
Transport Layer Security [TLS] là một sự khởi đầu tiêu chuẩn hóa của IETF [Lực lượng đặc nhiệm kỹ thuật Internet], nhằm mục đích đưa ra một phiên bản SSL tiêu chuẩn Internet. Netscape đã thông qua giao thức qua IETF vì họ muốn chuẩn hóa SSL. Có sự khác biệt lớn giữa SSL và TLS. Tuy nhiên, ý tưởng chính và thực hiện khá giống nhau.
Sự khác biệt chính giữa SSL và TLS
- Giao thức TLS không hỗ trợ các bộ mật mã Fortezza / DMS trong khi SSL hỗ trợ Fortezza. Ngoài ra, quy trình tiêu chuẩn hóa TLS giúp việc xác định bộ mật mã mới dễ dàng hơn nhiều.
- Trong SSL để tạo bí mật chính, thông báo tiêu hóa bí mật trước chủ được sử dụng. Ngược lại, TLS sử dụng chức năng giả ngẫu nhiên để tạo bí mật chính.
- Giao thức bản ghi SSL thêm MAC [Mã xác thực tin nhắn] sau khi nén từng khối và mã hóa nó. Đối với, giao thức bản ghi TLS sử dụng HMAC [Mã xác thực thư dựa trên Hash].
- Tin nhắn cảnh báo không có giấy chứng nhận của Nhật Bản được bao gồm trong SSL. Mặt khác, TLS xóa mô tả cảnh báo [Không có chứng chỉ] và thêm hàng tá giá trị khác.
- Xác thực tin nhắn SSL kết hợp thông tin chính và dữ liệu ứng dụng theo cách đặc biệt, được tạo ra chỉ dành cho giao thức SSL. Trong khi đó, giao thức TLS chỉ dựa vào mã xác thực tin nhắn tiêu chuẩn được gọi là HMAC.
- Trong chứng chỉ TLS xác minh thông báo, băm MD5 và SHA-1 chỉ được tính trên các tin nhắn bắt tay. Ngược lại, trong SSL, phép tính băm cũng bao gồm bí mật chính và phần đệm.
- Như với tin nhắn đã hoàn thành trong TLS, được tạo bằng cách áp dụng PRF cho khóa chính và tin nhắn bắt tay. Trong khi đó trong SSL, nó được xây dựng bằng cách áp dụng thông báo tiêu hóa cho khóa chính và tin nhắn bắt tay.
Phần kết luận
Cả SSL và TLS đều là các giao thức phục vụ cùng một mục đích, cung cấp bảo mật và mã hóa cho kết nối của bạn giữa TCP và các ứng dụng. SSL phiên bản 3.0 được thiết kế đầu tiên sau đó TLS phiên bản 1.0 được thiết kế, đây là phiên bản tiền nhiệm hoặc phiên bản mới nhất của SSL bao gồm tất cả các tính năng SSL nhưng cũng có một số tính năng bảo mật nâng cao.