ssl مخفف کلمه secure socket layer به معنای لایه اتصال امن می باشد، در واقع پروتکلی می باشد که برای انتقال اطلاعات و برقرای ارتباط بین صفحات وب.

در حقیقت از این پروتکل برای امن کردن پروتکل های غیر امنی نظیر: IMAP ، LDAP ، HTTP و …. استفاده می شود. به همین دلیل یک سری الگوریتم رمزنگاری شده جهت حفظ شدن داده ها و محرمانه ماندن آن ها، بروی داده های خام اعمال می شود تا امنیت آن ها در طول انتقال تضمین شود.

پروتکل امنیتی ssl یکی از پروتکل های استاندارد جهت انتقال داده ها بین سرویس دهنده و سرویس گیرنده می باشد که در ادامه در مورد کاربردهای و اعتبار آن، فواید و … صحبت می کنیم.

SSL یا گواهی https چه تفاوتی دارد؟

شاید برایتان بارها این سوال پیش آمده باشد که تفاوت بین http و https در چیست؟! درواقع اطلاعاتی که بین کاربر و دنیای اینترنت رد و بدل می شود، ممکن است توسط یک هکر حرفه ای یا توسط سرویس دهنده اینترنت قابل رویت باشد، لذا از لحاظ ایمنی برای وارد کردن اطلاعات حساس و مهمی مانند رمز حساب های بانکی اصلا مناسب نمی باشد.

این اطلاعات در صفحات به شکل پروتکل Http یا Hyper Text Transfer Proocol ( پروتکل انتقال ابرمتنی) انتقال می یابند. اما در حقیقت این S  اضافی در پایان HTTPS به معنای این است که وب سایت مورد نظرتان رمزگذاری شده است و اطلاعاتتان حفظ خواهد شد و فقط بین خودتان و همان وب سایت خواهند ماند.

چرا از ssl استفاده می کنیم؟

همان طور که می دانید بارها در اخبار روزانه و دیگر شبکه های اجتماعی اعلام کرده اند که برای استفاده از درگاه های اینترنتی و پرداخت پول یا جا به جایی آن، خرید کالا از سایت های اینترنتی، شما باید از نام کاربری و پسورد و مشخصات کارت اعتباریتان استفاده کنید که همین موضوع باعث شده است تا کلیه این خدمات را در بستری امن، در وب سایت ها انجام شود تا هکرها، رباط ها و سرویس های مختلف به اطلاعاتتان دسترسی پیدا نکنند.

بررسی اعتبار SSL

SSL یک پروتکل بوده که به وسیله نت اسکیپ برای انتقال اطلاعات خصوصی روی اینترنت ساخته شده است. اگر به تازگی آن را بر روی سایت های خود نصب کرده اید و سایتتان با پروتکل Https باز می شود، برای اطمینان از ایمن بودن سایت و کار کردن درست پروتکل از جهت حفظ امنیت و ایمنی اطلاعات، سایت را با https باز کنید و ببینید که آیا علامت قفل سبز رنگ درون مرورگر شما فعال می شود یا خیر.

ممکن در مواقعی شما ssl را به درستی بر روی وب سایت خود نصب کرده باشید اما https را اشتباه تنظیم کرده باشید که در این صورت قفل سبز رنگ نمایش داده نخواهد شد.

پروتکل امن یا ssl رایگان خوب است؟

با توجه به اهمیت بالای امنیت وب سایت ها و خطر ناشی از دزدیده شدن اطلاعات یا خالی شدن حساب های افراد، همچنین با توجه به وضعیت اقتصادی کنونی کشور، استفاده از پروتکل امن یا ssl رایگان طرفداران زیادی را در حوزه وب سایت و امنیت به خود جذب کرده است.

گواهی نامه ssl به صورت سه ماهه صادر می گردد و هر سه ماه نیاز به صدور مجدد دارد. این نوع از گواهی نامه ها از نظر امنیت تفاوتی با سایر گواهی نامه ها ندارد.

تاثیر ssl بر سئو سایت

با توجه به اعلامیه جدید گوگل، نصب گواهینامه ssl بر روی سایت ها، باعث بالا رفتن رتبه و رنکینگ سایت در گوگل می شود. برخی تصور می کنند ssl مخصوص سایت های فروشگاهی اینترنتی می باشند و برای دیگر سایت ها استفاده ای ندارد، اما شما می توانید با خرید ارزان ترین نوع ssl، علاوه بر بالا بردن امنیت سایت، رتبه سایتتان را در گوگل نیز افزایش دهید.

فواید گواهی نامه ssl

استفاده از گواهینامه ssl در سال ۲۰۲۰ برای تمامی سایت ها امری ضروری محسوب می شود. ما در ادامه چند فایده مهم و کاربردی آن را برایتان بیان میکنیم.

  • ssl از داده ها محافظت می کند.

عملکرد اصلی گواهی نامه ssl محافظت از ارتباط سرور و مشتری می باشد. در هنگام نصب ssl همه اطلاعات رمزگذاری می شوند، به عبارتی داده ها توسط گیرنده ( مرورگر یا سرور) در نظر گرفته شده، قفل می شوند و هیچ شخصی توانایی باز کردن آن را نخواهد داشت.

از آنجا که داده ها توسط  ssl به قالب غیرقابل رمزگذاری تبدیل می شوند، هیچ هکری حتی با مهارت بالا نیز نمی تواند به گواهینامه های ssl تصرف و دستیابی پیدا کند.

  • ssl هویت شما را تایید می کند.

دومین وظیفه اصلی گواهی ssl ارائه تایید اعتبار به وب سایت می باشد. زیرا تایید هویت یکی از مهم ترین جنبه ها در مورد امنیت وب سایت می باشد. ممکن است شما کیلومترها برای دیدن شخص مورد نظر خود به شهری بروید و درآخر متوجه شوید که گول خورده اید. در این مرحله گواهینامه ssl  به مرحله اجرا می رسد.

وقتی می خواهید یک گواهی نامه نصب کنید، باید فرایند اعتبار سنجی را که توسط شخص ثالت مستقل به نام مجوز گواهی (CA) تهیه شده است، طی کنید. بسته به نوع گواهینامه، CA هویت شما و سازمان شما را تایید می کند.

هنگامی که هویت خود را ثابت کردید، وبسایت شما برای حفظ صداقت، شاخص های اعتماد دریافت می کند. هنگامی که کاربران آن ها را ببینند متوجه می شوند که با چه کسانی صحبت می کنند،

  • رتبه بندی موتورهای جستجوی بهتر

در سال ۲۰۱۴ گوگل تغییرات اساسی را در الگوریتم خود، ایجاد کرد. مطالعات زیادی توسط متخصصین سئو در سراسر جهان انجام شده است که در این تحقیقات نشان داده شده است که ارتباط مستقیمی بین https و رتبه بندی موتورهای جستجو وجود دارد.

  • ssl در رفع نیازهای DSS / PCI کمک می کند.

اگر پرداخت های آنلاین و درگاه های اینترنتی را قبول دارید، باید راجع به نیازهای DSS / PCI بدانید. برای پرداخت های آنلاین وب سایت شما سازگار با PCI باشد. نصب گواهینامه SSL یکی از ۱۲ شرط اصلی تعیین شده توسط صنعت کارت پرداخت (PCI) است.

  • SSL به اعتماد مشتری می افزاید.

جدا از رمزگذاری و تایید اعتبار، گواهینامه های SSL از نظر دیدگاه مشتری بسیار حیاتی می باشد. شناسایی آسان علائم به کاربران اطلاع می دهد که داده های ارسال شده آن ها ایمن هستند یا خیر. اگر OV یا EV SSL نصب کرده اید، می توانند جزئیات سازمان شما را مشاهده کنند.

منبع: سئو ایران


امنیت لایه انتقال

پروتکل امنیتی لایهٔ انتقال (Transport Layer Security)، بر پایه لایهٔ سوکت‌های امن(Secure Sockets Layer) که یکی از پروتکل‌های رمزنگاری است و برای تأمین امنیت ارتباطات از طریق اینترنت بنا شده‌است. برای اطمینان از هویت طرف مقابل و تبادل کلید متقارن از گواهی X.509 و رمزنگاری نامتقارن استفاده می‌کند. این پروتکل امنیت انتقال داده‌ها را در اینترنت برای مقاصدی چون کار کردن با پایگاه‌های وب، پست الکترونیکی، نمابرهای اینتزنتی و پیام‌های فوری اینترنتی به کار می‌رود. اگرچه TLS و SSL با هم تفاوت‌های اندکی دارند ولی قسمت عمده‌ای از این پروتکل کم و بیش یکسان مانده‌است. TLS و SSL درمدل TCP/IP عمل رمزنگاری را در لایه‌های پایینی لایه کاربرد انجام می‌دهند ولی در مدل OSI در لایه جلسه مقداردهی را شده و در لایه نمایش کار می‌کنند: ابتدا لایه جلسه با استفاده از رمزنگاری نامتقارن تنظیمات لازم برای رمزنگاری را انجام می‌دهد و سپس لایه نمایش عمل رمزگذاری ارتباط را انجام می‌دهد. در هر دو مدل TLS و SSL به نمایندگی از لایه انتقال کار می‌کنند.

لایهٔ سوکت‌های امن (Secure Sockets Layer) یا اس‌اس‌ال (SSL) پروتکلی است که توسط شرکت Netscape برای ردّ و بدل کردن سندهای خصوصی از طریق اینترنت توسعه یافته‌است. SSL از یک کلید خصوصی برای به رمز درآوردن اطلاعاتی که بر روی یک ارتباط SSL منتقل می‌شوند استفاده می‌نماید. هر دو مرورگر Netscape Navigator و Internet Explorer (و امروزه تمام مرورگرهای مدرن) از این پروتکل پشتیبانی می‌نمایند. هم‌چنین بسیاری از وب‌سایت‌ها برای فراهم کردن بستری مناسب جهت حفظ کردن اطلاعات محرمانهٔ کاربران (مانند شمارهٔ کارت اعتباری) از این پروتکل استفاده می‌نمایند. طبق آنچه در استاندارد آمده‌است. URLهایی که نیاز به یک ارتباط از نوع SSL دارند با:https به جای:http شروع می‌شوند. SSL یک پروتکل مستقل از لایه برنامه‌است (Application Independent). بنابراین، پروتکل‌هایی مانند FTP, HTTP و شبکه راه دور قابلیت استفاده از آن را دارند. با این وجود SSL برای پروتکل‌های FTP, HTTP و آی‌پی‌سک بهینه شده‌است. درssl ازدوکلیدعمومی وخصوصی استفاده می‌شودهمچنین درssl ازدوحالت متقارن ونامتقارن نیز می‌توان نام بردکه می‌تواند همان بحث کلید عمومی واختصاصی باشد به اینصورت که دررمزنگاری متقارن ازدو کلیدعمومی توسط serverوclient استفاده می‌شود که در این صورت مطالب رمزنگاری شده ازامنیت برخوردارنخواهدشدزیراکلید مشترک مابین (سرورومشتری) توسط شخص ثالث می‌تواند استراق سمع یاهک شودبنابراین ازحالت نامتقارن استفاده می‌شوددر رمزنگاری نامتقارن ازدوکلیدBوAاستفاده می‌شودیعنی اگر مطالب باکلیدA رمزنگاری شوددیگر باهمان کلیدرمزگشایی نخواهد شدفقط باکلیدB که متناظرباکلیدA می‌باشدرمزگشایی خواهدشد.

تعریف

پروتکل TLS به برنامه‌های Client/Server اجازه می‌دهد که در شبکه از طریقی که از eavesdropping(شنود)، message forgery(جعل پیام) جلوگیری می‌کند با یکدیگر ارتباط برقرار کنند. authentication TLS(احراز هویت) و communications confidentiality(ارتباط مطمئن) در اینترنت را از طریق استفاده از cryptography(رمز نگاری) فراهم می‌کند.

Client باید برای Server مشخص کند که آیا می‌خواهد یک اتصال TLS داشته باشد با نه. دو راه برای رسیدن به این هدف وجود دارد: یک راه این است که از شماره پورت متفاوتی برای اتصال TLS استفاده شود (برای مثال پورت ۴۴۳ پروتکل امن انتقال ابرمتن) و دیگر اینکه اختصاص یک پورت مشخص از طریق سرور به کلاینت، که کلاینت آن را درخواست کرده باشد با استفاده از یک مکانیسم پروتکل خاص (برای مثال STARTTLS).
زمانی که کلاینت و سرور تصمیم گرفتند از اتصال TLS استفاده کنند، به مذاکره با استفاده از روش handshaking می‌پردازند. سپس سرور و کلاینت بر روی پارامترهای مختلفی که برای ایجاد امنیت اتصال استفاده می‌شود به توافق می‌رسند:

  1. کلاینت اطلاعاتی را که سرور برای برقراری ارتباط با استفاده از SSL به ان نیاز دارد را ارسال می‌کند. مانند:شماره نسخه SSL کلاینت، تنظیمات رمزگذاری و سایر اطلاعاتی که سرور ممکن است به آن نیاز داشته باشد.
  2. سرور اطلاعاتی را که کلاینت برای برقراری ارتباط با استفاده از SSL به ان نیاز دارد را برایش ارسال می‌کند. مانند:شماره نسخه SSL سرور، تنظیمات رمزگذاری و سایر اطلاعاتی که کلاینت به آن نیاز دارد. سرور همچنین گواهینامه خود را برای کلاینت ارسال می‌کند و اگر کلاینت درخواست منبعی از سرور داشته باشد، کلاینت باید احراز هویت شود و باید گواهینامه کلاینت برای سرور ارسال شود.
  3. با اطلاعات دریافتی از سرور، کلاینت می‌تواند سرور را احرازهویت کند. اگر سرور تصدیق نشود، به کاربر هشدار داده می‌شود که عمل رمزگذاری و تصدیق نمی‌تواند انجام گیرد. اگر سرور به درستی تصدیق شد کلاینت به مرحله بعد می‌رود.
  4. با استفاده از اطلاعات به دست آمده، کلاینت یک pre-master secret ایجاد کرده و آن را ب سرور ارسال می‌کند.
  5. اگر سرور از کلاینت بخواهد هویتش را ثابت کند، کلاینت کلیه اطلاعات لازم و گواهی خود را برای سرور ارسال می‌کند.
  6. اگر کلاینت تصدیق نشود، ارتباط قطع می‌شود اما اگر به درستی تصدیق شود، سرور از کلید خصوصی خود برای یاز کردن pre-master secret استفاده می‌کند.
  7. کلاینت و سرور از master secret برای تولید کلید جلسات استفاده می‌کنندکه یک کلید متقارن است و برای رمزگذاری و رمزگشایی اطلاعات مبادله شده استفاده می‌شود.
  8. وقتی کلاینت پیغامی برای سرور ارسال می‌کند با استفاده از کلید جلسه آن را رمز می‌کند.
  9. وقتی سرور پیغامی برای کلاینت ارسال می‌کند با استفاده از کلید جلسه آن را رمز می‌کند.

اکنون SSL handshake کامل است و ارتباط شروع می‌شود. کلاینت و سرور از کلید جلسه برای رمزگذاری و رمزگشایی اطلاعاتی که برای هم می‌فرستند استفاده می‌کنند.
اگر یکی از قدم‌های بالا با شکست مواجه شود TLS دچار شکست شده و ارتباط برقرار نمی‌شود.
در قدم سوم مشتری باید گواهی سرور را به درستی چک کند تا باعث بروز مشکل نشود.

SSL

لایه سوکت امن (SSL) توسط Netscape طراحی شد و نسخه ۳ آن به صورت استاندارد اینترنت درآمد. معماری SSL به صورت دولایه‌ای است که روی TCP قرار گرفته‌است. لایه اول بالای لایه حمل قرار گرفته‌است و لایه دوم در لایه کاربرد است. قسمتی از SSL که در لایه دوم قرار می‌گیرد مربوط به سرویس‌های مدیریتی است و شامل پروتکل دست دادن، پروتکل تغییر مشخصات رمزکننده و پروتکل هشدار است. SSL اجازه می‌دهد که بین کلاینت و سرور یک جلسه ایجاد شود و از آن طریق هر تعداد اتصال امن امکان‌پذیر باشد. از نظر تئوری بین یک کلاینت و یک سرور می‌تواند بیش از یک جلسه وجود داشته باشد و در عمل فقط یک جلسه به وجود می‌آید.
یک جلسه توسط پروتکل دست دادن ایجاد می‌شود و مجموعه‌ای از پارامترهای امنیتی را تعریف می‌کند که به صورت اشتراکی در اتصالات مربوط به آن جلسه استفاده می‌شوند. برای هر جلسه و هر اتصال به یک سری پارامترها نیاز است.

پروتکل رکورد در SSL

این پروتکل مربوط به لایه اول SSL است که دو سرویس محرمانگی و احرازهویت را بواسطهٔ کلیدهایی که در پروتکل دست دادن ساخته می‌شوند فراهم می‌کندو در این پروتکل محرمانگی توسط الگوریتم رمز متقارن و احرازاصالت توسط MAC فراهم می‌شود. این پروتکل شامل مراحل زیر است:

  • قطعه قطعه کردن: داده کاربر تقسیم‌بندی می‌شود.
  • فشرده سازی: SSL دارای یک الگوریتم فشرده سازیست که در نسخه ۳٫۰ اختیاری است.
  • کد احرازاصالت پیام
  • رمزگذاری: قطعه فشرده شده به همراه MAC رمز می‌شوند.
  • سرآیند: سرآیند به ابتدای قطعه رمزشده می چسپد.

پروتکل تغییر مشخصات رمز در SSL

این پروتکل ساده‌ترین پروتکل مربوط به لایه دوم است که تنها یک بایت با مقدار یک دارد. هدف از این پیام یک بایتی تغییر اطلاعات رمزگذاری مربوط به ارتباط موجود است که در واقع وضعیت معلق را به وضعیت جاری کپی می‌کند.

پروتکل هشدار در SSL

این پروتکل به منظور اعلام هشدارهای SSL به طرفین اتصال استفاده می‌شود. مربوط به لایه دوم است و از ۲ بایت تشکیل شده‌است. این ۲ بایت عبارتنداز:

  1. نوع خطا که می‌تواند Warning یا Fatal باشد.
  2. کد خطا مانند پیغام غیرمنتظره، خطا در بازگشایی، خطا در گواهی و …

اگر خطا ز نوع Fatal باشد، اتصال مذکور فوراً قطع می‌شود و اجازه ایجاد اتصال جدید در جلسه فوق داده نمی‌شود، اما ارتباطات دیگر موجود در این جلسه می‌توانند ادامه پیدا کنند.

پروتکل دست دادن در SSL

این عمل به منظور احرازاصالت دوطرف و توافق روی الگوریتم‌ها و کلیدهای رمزگذاری است و به لایه دوم مربوط است و قبل از هر انتقال داده بین دو طرف این پروتکل صورت می‌گیرد. این پروتکل پیچیده‌ترین پروتکل SSL است که یکسری پیام دارد که بین دوطرف ارتباط مبادله می‌شود. هر پیام شامل نوع پیام، طول پیام به بایت و محتوای پیام است. این پروتکل دارای ۴ مرحله است.

مرحله ۱: برقراری قابلیت‌های امنیتی

این مرحله به منظور آغاز یک اتصال منطقی برای معین کردن قابلیت‌های امنیتی مربوط به آن اتصال است.

مرحله ۲: احراز اصالت و تبادل کلید سرور

در این مرحله حداکثر ۴ پیام از طرف سرور به کلاینت ارسال می‌شود که ۳ تا از آن‌ها اختیاری است. پیام اول شامل گواهی سرور است. پیام دوم مربوط به تبادل کلید از طرف سرور است. پیام سوم در صورتی که سرور مخفی نباشد ممکن است از سرور به کلاینت ارسال می‌شود. پیام چهارم که حتماً باید ارسال شود پارامتری ندارد و بیان‌کننده پایان ارسال پیام مرحله دوم است.

مرحله ۳: احرازاصالت و تبادل کلید کلاینت

در این مرحله ۳ پیام از کلاینت به سرور ارسال می‌شودکه فقط یکی از آن‌ها اجباری است.

مرحله ۴: پایان

در این مرحله طرفین با ارسال مشخصات رمزکننده وضعیت جدید رمز خود را اطلاع می‌دهند و سپس با ارسال پیام پایانی، پروتکل دست دادن را پایان می‌دهند.

منبع: ویکی پدیا


ssl چیست

SSL مخفف Secure Socket Layer به معنی «لایه اتصال امن» و پروتکلی (مجموعه ای از قوانین) جهت برقراری ارتباطات ایمن میان سرویس دهنده و سرویس گیرنده در اینترنت است.امروزه اینترنت به یکی از ارکان ارتباطی بین افراد و سازمان ها تبدیل شده است. بسیاری از ما روزانه اطلاعاتی از این طریق می گیریم یا می فرستیم. این اطلاعات از نظر اهمیت با هم تفاوت زیادی دارند. برخی از این اطلاعات مانند اخبار یک سایت اهمیت امنیتی چندانی ندارند، اما در طرف دیگر اسناد شخصی مثل ایمیل ها، رمز حساب های بانکی و … قرار دارند که دوست نداریم به دست دیگران بیافتند.
اطلاعاتی که در حالت عادی بین کاربران و دنیای اینترنت رد و بدل می شوند، به گونه ای هستند که یک هکر یا خراب کار حرفه ای می تواند آنها را ببیند و برای اهداف خود مورد سواستفاده قرار دهد. مثلا در یک خرید اینترنتی، زمانی که قصد دارید برای پرداخت به حساب بانکی خود وارد شوید، سایت از شما رمزعبور می خواهد. حال اگر سایت مورد نظر فاقد برنامه های امنیتی لازم باشد، ممکن است اطلاعات شما در میانه راه بدون آنکه متوجه شوید، دزدیده شوند و اگر بد شانس باشید چند روز بعد که به حساب تان سر می زنید آن را خالی شده می یابید.

اما احتمال این اتفاق بسیار اندک است، زیرا اکثر حساب های بانکی و سایت هایی از این قبیل که با اطلاعات حساس و مهم در ارتباط اند، معمولا از روش هایی برای رمزگذاری (Encrypt) اطلاعات استفاده می کنند. در این حالت اگر اطلاعات در میان راه دزدیده شوند جای نگرانی نخواهد بود، زیرا شکستن رمز آنها تقریبا غیرممکن است.

اطلاعات معمولاً کی و کجا دزدیده می شوند؟

زمانی که آدرس یک سایت را در مرورگر وارد می کنیم اطلاعات بین کامپیوتر ما و کامپیوتری که سایت روی آن قرار دارد (سرور) در حال رد و بدل هستند. پس اگر بتوانیم به طریقی ارتباط بین کامپیوتر خود و کامپیوتر سرور را امن کنیم اطلاعات ما دزدیده نخواهند شد.

اطلاعات در اینترنت چگونه جابجا می شوند؟

اطلاعات در اینترنت – درست مثل فرستادن یک نامه- به صورت فایل های متنی جابجا می شوند. همان طور که یک نامه از زمانی که در صندوق پست گذاشته می شود تا زمانی که به صاحبش می رسد در دست افراد مختلفی قرار می گیرد، به همان صورت نیز اطلاعات ما توسط سیستم های زیادی دست به دست می شود تا به سایت یا شخص مورد نظر می رسد. اگر اطلاعات به صورت عادی فرستاده شوند، هر کدام از سیستم های بین راه می توانند آنها را ببینند. پس برای جلوگیری از خوانده شدن و سرقت احتمالی، باید آنها را رمزگذاری کرد. با یک مثال مسئله را روشن تر می کنم. فرض کنید می خواهید برای نامزد خود یک نامه بنویسید. اما دوست ندارید افراد خانواده او بتوانند آن نامه را بخوانند. یکی از راه ها این است که نوشته ها را به رمز بنویسید، رمزی که فقط نامزدتان از آن سر در بیاورد! در اینترنت هم برای اینکه هکرها نتوانند اطلاعات را بفهمند، آنها را به رمز در می آورند. یکی از بهترین و متداول ترین روش‌های رمز گذاری اینترنتی، استفاده از پروتکل اس ال ال است.

اس اس ال چیست؟

از این پروتکل برای امن کردن پروتکل های غیرامن نظیرHTTP ،LDAP ، IMAP و … استفاده می شود. بر این اساس یکسری الگوریتم های رمزنگاری بر روی داده های خام که قرار است از یک کانال ارتباطی غیرامن مثل اینترنت عبور کنند، اعمال می‌شود و محرمانه ماندن داده‌ها را در طول انتقال تضمین می‌کند.

به بیان دیگر شرکتی که صلاحیت صدور و اعطاء گواهی های دیجیتال اس اس ال را دارد، برای هر کدام از دو طرفی که قرار است ارتباطات میان شبکه‌ای امن داشته باشند، گواهی‌های مخصوص سرویس دهنده و سرویس گیرنده را صادر می‌کند و با مکانیزم های احراز هویت خاص خود، هویت هر کدام از طرفین را برای طرف مقابل تأیید می‌کند. البته علاوه بر این تضمین می کند، اگر اطلاعات حین انتقال به سرقت رفت، برای رباینده قابل درک و استفاده نباشد که این کار را به کمک الگوریتم های رمزنگاری و کلیدهای رمزنگاری نامتقارن و متقارن انجام می‌دهد.

ملزومات ارتباط بر پایه اس اس ال
برای داشتن ارتباطات امن مبتنی بر اس اس ال عموماً به دو نوع گواهی دیجیتال اس اس ال، یکی برای سرویس دهنده و دیگری برای سرویس گیرنده و یک مرکز صدور و اعطای گواهینامه دیجیتال (Certificate authorities) نیاز است. وظیفه CA این است که هویت طرفین ارتباط، نشانی ها، حساب های بانکی و تاریخ انقضای گواهینامه را بداند و براساس آن ها هویت ها را تعیین نماید. رمزنگاری
رمزنگاری (Cryptography) علم به رمز در آوردن (encryption) اطلاعات است. توضیح روش های بسیار پیچیده ای که امروزه برای رمزنگاری استفاده می شود از حوصله این مطلب خارج است، اما برای رفع ابهام، در زیر به یکی از ساده ترین روش های رمزنگاری می پردازیم:
می دانیم که هر حرف در الفبا جایگاهی دارد. مثلا حرف «الف قبل از ب» و «حرف م قبل از ن» قرار دارد.
حال، اگر بخواهید یک جمله را به رمز در آورید. در ساده ترین شکل ممکن، هر حرف را با حرف بعدی خود در الفبا جایگزین می کنید.
یعنی به جای «الف» حرف «ب»، به جای «ب» حرف «پ»، … ، به جای «ه» حرف «ی» و به جای حرف «ی» حرف «الف» را می گذارید.
با این کار می توان جمله «بابا آب داد» را به جمله بی معنی «پبپب بپ ذبذ» تبدیل کرد که اگر فردی کلید رمز را نداشته باشد، به هیچ وجه از آن سر در نمی آورد. اس اس ال چگونه کار می کند؟
اس اس ال در واقع پروتکلی است که در آن ارتباطات بوسیله یک کلید، رمزگذاری (Encryption) می شوند. زمانی که قرار است یکسری اطلاعات را به صورت اس اس ال به یک سایت که سرور (server) اش گواهی نامه اس اس ال را دارد (در آدرس سایت https است) ارسال شود. ابتدا باید از یک کلید به عنوان قالبی برای به رمز در آوردن اطلاعات بین خدمات گیرنده (کاربر) و خدمات دهنده (سرور) استفاده شود. برای ساخت این کلید نیاز به چند مرحله هماهنگی به شرح زیر است.

۱. وقتی سروری بخواهد پروتکل اس اس ال را فعال کند. ابتدا یک کلید عمومی (Public Key) می سازد.
۲. سپس کلید عمومی را همراه با یک درخواست گواهی نامه اس اس ال به یکی از صادرکنندگان این گواهی نامه ها مثل وریساین (Verisign) می فرستد.
۳. وریساین نیز ابتدا مشخصات و میزان قابل اعتماد بودن و امنیت سرور را ارزیابی کرده و کلید عمومی را دوباره رمزگذاری می کند و برای سرور می فرستد تا در انتقال اطلاعات خود از آن استفاده کند. به کلید جدید کلید امنیتی (private key) می گویند.
۴. حال هر زمان که کاربر بخواهد از طریق پروتکل اس اس ال به این سایت دست یابد، ابتدا کامپیوتر کاربر یک کلید عمومی برای سرور می فرستد (هر کامپیوتری کلید مخصوص به خود را دارد).
۵. سرور نیز این کلید عمومی را با کلید امنیتی خود مخلوط کرده و از آن کلید جدیدی می سازد. سپس آن را به کامپیوتر کاربر می فرستد.
۶. از این به بعد تمامی اطلاعاتی که بین کاربر و سرور جابجا می شوند با این کلید جدید رمز گذاری می شوند.

واضح است که نیازی به دانستن تمام این جزییات نیست و ما جهت رفع کنجکاوی آنها را آورده ایم. فقط این را بدانید که با استفاده از این سرویس اطلاعات کاملا رمزنگاری و باز کردن آنها تقریبا غیر ممکن است. تنها وظیفه شما به عنوان کاربر این است که از این امکانات استفاده کنید و پروتکل اس اس ال را در مرورگر، ایمیل و دیگر حساب های خود که سرور آن به شما این امکان را می دهد، فعال کنید.

اگر هم یک مدیر سرور هستید، سعی کنید گواهی نامه پروتکل اس اس ال را از صادرکنندگان آن مثل Verisign و Thawte خریداری و در اختیار بازدیدکنندگان خود بگذارید.

چگونه می توان مطمئن شد، یک سایت از اس اس ال استفاده می کند؟

این بخش بسیار ساده اما مهم و حیاتی است. برای این کار ابتدا وارد آن سایت شوید. زمانی که صفحه به طور کامل بارگذاری (load) شد، به ابتدای آدرس آن نگاه کنید. می بایست به جای http حروف https نوشته شده باشد (منظور از حرف s در پایان http عبارت secure است). البته در این حالت یک علامت قفل هم در مرورگر دیده می شود. جای این قفل در مرورگرهای مختلف متفاوت است. در فایرفاکس و اینترنت اکسپلورر در پایین و سمت راست صفحه، در نوار وضعیت (status bar) و در مرورگرهای سافاری، کروم و اپرا در سمت راست آدرس دیده می شود.

نکته جالب در خصوص این قفل کوچک این است که با دو بار کلیک کردن بر روی آن، می‌توانید مشخصات کامل گواهی اس اس ال سایت مورد نظر را ببینید. مهم‌ترین نکته در خصوص این اطلاعات تاریخ خرید و انقضای این گواهینامه است که باید به آن توجه داشته باشید.
حتی اگر اطلاعات چندان مهمی را رد و بدل نمی کنید، پیشنهاد می کنیم که از اس اس ال استفاده کنید. وقتی سرویسی با امنیت بالا و رایگان در اختیارتان قرار می گیرد، چرا از آن بهره نبرید؟ در زیر چند نمونه از روش های استفاده از این پروتکل را می توانید مطالعه کنید.

مرورگر

در فایرفاکس 3 پروتکل اس اس ال به صورت پیش فرض فعال است. البته برای فعال و غیر فعال کردن این امکان می‌توانید به روش زیر اقدام کنید:

از منوی Tools فایرفاکس، گزینه Options را انتخاب کنید. در پنجره باز شده از سربرگ Advanced بخش Encryption را باز کنید. می بینید که به صورت پیش فرض Use SSL 3.0 تیک خورده است.

Firefox > Tools > Options > Advanced > Encryption

چگونه اس اس ال ایمیل را فعال کنیم؟

اگر خواهان ارتباط ایمیلی امنی هستید، توصیه می کنیم از ایمیل شرکت گوگل که به اختصار جیمیل نامیده می شود، استفاده کنید. در پایین اطلاعات لازم برای فعال کردن پروتکل اس اس ال در جیمیل آورده شده است.

• به جیمیل خود وارد شوید و در کادر بالا در سمت راست دکمه Setting را پیدا کنید (در سمت چپ کلمه Setting، نام جیمیل شما و در سمت راست آن کلمه Help نوشته شده است.). روی Setting کلیک کنید.

• در پنجمین کادر تب General، عبارت Browser connection را پیدا کرده و روی عبارت Always use https کلیک کنید تا انتخاب شود

• به پایین صفحه بیاید و دکمه Save Changes را بزنید.

• حال تمامی ایمیل های شما طبق پروتکل اس اس ال منتقل می شوند.

حساب های بانکی

در ایران همه بانک های ارائه دهنده خدمات بانکداری الکترونیک، از پروتکل اس اس ال استفاده می کنند. گفتیم که برای اطمینان از این موضوع کافی است در صفحات خدمات اینترنتی بانک خود که اطلاعات مهم (مثل حساب کاربری یا رمز ورود) را درج و ارسال می کنید، به آدرس نگاه کنید. باید https در ابتدای آدرس وجود داشته باشد. علاوه براین توصیه می شود با مراجعه به بانک تان، نحوه استفاده امن از خدمات اینترنتی شان را سؤال کنید.

در اینجا نگاهی اجمالی به وضعیت پروتکل اس اس ال در بانک ها ایران می اندازیم.

بانک های صادرات، ملی، ملت، تجارت، اقتصاد نوین، سامان، پارسیان، کشاورزی، صنعت و معدن، توسعه صادرات، پاسارگاد، سرمایه و پست بانک در سیستم خدمات اینترنتی خود از پروتکل اس اس ال استفاده می کنند.

البته بانکداری الکترونیک در ایران چندان هم امن نیست، برای مثال هنگام تألیف این مطلب ما در استفاده از سیستم بانک داری الکترونیک بانک های سپه و مسکن با SSL های منقضی شده روبرو شدیم.

لازم به ذکر است که هدف ما از بردن نام بانک ها فقط کمک به اگاهی و افزایش امنیت خوانندگان گرامی است. تا توجه بیشتری به امنیت ارتباطات خود داشته باشند.

به طور خلاصه همیشه به این موضوع توجه داشته باشید که ارتباطات شما در اینترنت توسط هکرها و کلاهبرداران قابل خواندن و سرقت است. مگر اینکه به صورت امن و رمزنگاری شده منتقل شوند.

بسیار مهم و حیاتی است که هنگام اتصال به سرویس های مهم مانند حساب‌های بانکی، ایمیل و اکانت های مهم تان از SSL استفاده کنید. بنابرای همیشه به ابتدای آدرس این سایت‌ها نگاه کنید و دقت کنید که روی حالتhttps باشند. در غیر این صورت شما نمی‌توانید از امنیت ارتباطات خود اطمینان داشته باشید.

منبع: عصر ایران