W tym wpisie na blogu wyjaśnimy podstawowe koncepcje i proces komunikacji SSL w prostych słowach, wykorzystując przykład z życia wzięty: zakupy online.

Dlaczego protokół SSL jest konieczny?

Wraz z upowszechnieniem się smartfonów i możliwością łączenia się z internetem o każdej porze i w dowolnym miejscu, które stały się częścią naszego codziennego życia, potrzeba bezpiecznej ochrony danych osobowych i finansowych stała się ważniejsza niż kiedykolwiek. Ostatnie masowe naruszenia bezpieczeństwa danych wyraźnie pokazują, jak łatwo przesyłane przez nas dane mogą zostać ujawnione w sieci. W takim środowisku, jeśli w pasku adresu witryny widzisz „https://” zamiast „http://”, oznacza to, że komunikacja między Tobą a witryną jest zabezpieczona, a jedną z kluczowych technologii stojących za tym zabezpieczeniem jest SSL (Secure Sockets Layer).
Mówiąc najprościej, SSL to technologia szyfrująca dane przesyłane przez sieć, aby chronić je przed podsłuchem i manipulacją. Wiele stron internetowych korzysta z protokołu HTTPS do bezpiecznej wymiany danych między użytkownikami a serwerami, co jest szczególnie istotne w przypadku wymiany poufnych informacji, na przykład podczas zakupów online lub bankowości internetowej.

Metody szyfrowania: klucz symetryczny i klucz asymetryczny

Metody szyfrowania można ogólnie podzielić na metody z kluczem symetrycznym i asymetrycznym. Szyfrowanie z kluczem symetrycznym to metoda, która szyfruje informacje za pomocą jednego klucza tajnego i deszyfruje je za pomocą tego samego klucza. Podobnie jak w przypadku relacji między zamkiem a kluczem w rzeczywistości, każdy, kto zna klucz, może odczytać zaszyfrowaną treść. Zaletą tej metody jest szybkość przetwarzania i prostota implementacji.
Natomiast szyfrowanie asymetryczne wykorzystuje inny klucz publiczny do szyfrowania i inny klucz prywatny do deszyfrowania. Wydawca tworzy parę kluczy publicznego i prywatnego, a następnie szeroko rozpowszechnia klucz publiczny. Ponieważ treść zaszyfrowana kluczem publicznym może zostać odszyfrowana tylko za pomocą odpowiadającego mu klucza prywatnego, wysoki poziom poufności jest zapewniony, jeśli klucz prywatny jest bezpieczny. Jednak obliczenia są skomplikowane, co skutkuje stosunkowo wolniejszą szybkością.
SSL łączy w sobie mocne i słabe strony tych dwóch metod. Szyfrowanie asymetryczne jest stosowane w przypadku wrażliwych na bezpieczeństwo, ale krótkotrwałych procesów obliczeniowych, takich jak uwierzytelnianie serwera i wymiana kluczy sesji, podczas gdy rzeczywista transmisja danych wykorzystuje szybkie szyfrowanie kluczem symetrycznym, aby zapewnić zarówno wydajność, jak i bezpieczeństwo.

Jak działa komunikacja SSL — przykład z wykorzystaniem sklepu internetowego

Przyjrzyjmy się działaniu protokołu SSL na przykładzie typowego scenariusza zakupów online. Załóżmy, że studentka o imieniu pani CM wprowadza swoje dane, aby kupić ubrania na stronie internetowej „12th Street” i klika przycisk „Kup”. Podczas tego procesu przesyłane są poufne informacje, takie jak numery kart kredytowych. Jeśli strona jest fałszywa i podszywa się pod legalną, dane pani CM mogą zostać skradzione. Aby temu zapobiec, protokół SSL najpierw przechodzi fazę uwierzytelniania serwera.
Początkowy proces, w którym klient (CM) i serwer (12th Street) nawiązują połączenie, nazywa się „uzgadnianiem”, podczas którego weryfikują wzajemnie swój status. Podczas uzgadniania klient wysyła do serwera komunikat informujący, że „chce bezpiecznego połączenia”, a serwer przesyła swój certyfikat i klucz publiczny. Certyfikat ten jest wydawany przez zaufany Urząd Certyfikacji (CA) i gwarantuje, że klucz publiczny serwera jest powiązany z tożsamością serwera. Klient weryfikuje certyfikat, aby potwierdzić, że klucz publiczny należy do autentycznego 12th Street, a następnie kontynuuje komunikację z przekonaniem.
Kolejnym krokiem jest proces udostępniania kluczy, które zostaną użyte do faktycznej szyfrowanej komunikacji. Klient generuje token znany tylko obu stronom (np. wstępnie uzgodnioną wartość tajną lub „pre-master secret”) i szyfruje go kluczem publicznym serwera przed wysłaniem. Serwer odszyfrowuje token za pomocą swojego klucza prywatnego, aby pobrać token, a obie strony używają tej wartości do wygenerowania kluczy symetrycznych, które będą używane w sesji. Gwarantuje to, że nawet jeśli podsłuchujący przechwyci wiadomość w trakcie, nie będzie mógł wygenerować kolejnych kluczy symetrycznych bez tokena.
Klucze sesji faktycznie używane w protokole SSL zazwyczaj dzielą się na cztery typy. Są to: klucz szyfrujący dane przesyłane przez klienta, klucz szyfrujący dane przesyłane przez serwer, klucz weryfikujący integralność i pochodzenie wiadomości przesyłanych przez klienta oraz klucz weryfikujący integralność i pochodzenie wiadomości przesyłanych przez serwer. Innymi słowy, system składa się z dwóch typów kluczy szyfrujących i dwóch typów kluczy weryfikujących wiadomości, co zapewnia poufność, integralność i autentyczność komunikacji.
W praktyce, podczas wymiany wiadomości, każda ze stron dołącza własne informacje weryfikacyjne do wysyłanych danych, szyfruje je i przesyła. Strona odbierająca odszyfrowuje dane i weryfikuje te informacje, aby upewnić się, że wiadomość nie została zmodyfikowana ani sfałszowana podczas transmisji. Proces ten zapobiega modyfikacji lub sfałszowaniu wiadomości w trakcie transmisji.

Podsumowanie i środki ostrożności osobiste

Podsumowując, komunikacja SSL to metoda uwierzytelniania tożsamości drugiej strony i szyfrowania danych za pomocą klucza sesji znanego tylko obu stronom. Zapobiega to odczytaniu lub modyfikacji danych przez osoby trzecie oraz weryfikuje zarówno pochodzenie, jak i integralność wiadomości. Jednak metody atakujących stale ewoluują, a technologie bezpieczeństwa rozwijają się wraz z nimi.
W świecie, w którym jesteśmy stale połączeni za pośrednictwem smartfonów, dane osobowe mogą być szeroko rozproszone, a w wielu przypadkach uprawnione instytucje lub dostawcy usług legalnie gromadzą i wykorzystują takie informacje. Oprócz wysiłków na rzecz wzmocnienia bezpieczeństwa technicznego, niezwykle ważne jest, aby użytkownicy zdawali sobie sprawę z wagi swoich informacji i wyrobili w sobie nawyk weryfikacji, czy dana strona internetowa jest godna zaufania.