Πώς η περιήγηση στο Web γίνεται ακόμη πιο ασφαλής

Διαφήμιση

Ο πλούτος των προσωπικών πληροφοριών που κοινοποιούμε στο διαδίκτυο έχει αυξηθεί εκθετικά από το 1994, με την έναρξη του Πρωτοκόλλου Secure Sockets Layer (SSL).

Το Διαδίκτυο είναι πλημμυρίζει με φράσεις πρόσβασης Γιατί οι φράσεις πρόσβασης είναι ακόμα καλύτερες από τους κωδικούς πρόσβασης και τα δακτυλικά αποτυπώματαΘυμάστε όταν οι κωδικοί πρόσβασης δεν έπρεπε να είναι περίπλοκοι; Πότε ήταν εύκολο να θυμάστε τα PIN; Εκείνες οι μέρες έχουν περάσει και οι κίνδυνοι εγκλήματος στον κυβερνοχώρο σημαίνουν ότι οι σαρωτές δακτυλικών αποτυπωμάτων είναι άχρηστοι. Ήρθε η ώρα να αρχίσετε να χρησιμοποιείτε κωδικούς πρόσβασης ... Διαβάστε περισσότερα , στοιχεία πιστωτικής κάρτας και διαδικτυακά τραπεζικά δεδομένα 6 λόγοι κοινής λογικής για τους οποίους πρέπει να κάνετε τραπεζικές συναλλαγές στο Διαδίκτυο εάν δεν είστε ήδη [Γνώμη]Πώς κάνετε συνήθως την τραπεζική σας; Οδηγείτε στην τράπεζά σας; Περιμένετε σε μεγάλες γραμμές, για να καταθέσετε μόνο μια επιταγή; Λαμβάνετε μηνιαίες δηλώσεις; Καταγράφετε αυτά τα ... Διαβάστε περισσότερα

. Έχουμε πιστοποιητικά SSL για να σας ευχαριστήσουμε για την ασφάλεια και το απόρρητό μας. Αλλά έχετε πιθανώς ακούσει για πρόσφατα ελαττώματα που έχουν επηρεάσει την εμπιστοσύνη σας στο κρυπτογραφικό πρωτόκολλο.

Ευτυχώς, το SSL προσαρμόζεται, αναβαθμίζεται και αντικαθίσταται για να σας προσφέρει καλύτερη ηρεμία. Δείτε πώς.

Τι είναι το SSL ούτως ή άλλως;

Ας ξεκινήσουμε με ακριβώς τι είναι το SSL Τι είναι ένα πιστοποιητικό SSL και χρειάζεστε ένα;Η περιήγηση στο Διαδίκτυο μπορεί να είναι τρομακτική όταν εμπλέκονται προσωπικές πληροφορίες. Διαβάστε περισσότερα .

Τα πιστοποιητικά SSL είναι έγγραφα ψηφιακής εξουσιοδότησης που μπορούν να ληφθούν από έναν οργανισμό ή άτομο που εκτελεί έναν ιστότοπο που ασχολείται με ευαίσθητες πληροφορίες. Διασφαλίζει ότι τα δεδομένα μπορούν να μεταφερθούν με ασφάλεια μεταξύ διακομιστή ιστού και προγράμματος περιήγησης, ότι αυτές οι πληροφορίες δεν έχουν υποκλαπεί και οι πηγές τους είναι αυθεντικές.

Ρίξτε μια ματιά στο Amazon, για παράδειγμα. Κοιτάξτε τη διεύθυνση URL και αντί για μια τυπική διεύθυνση HyperText Transfer Protocol (HTTP), θα πρέπει να είστε ανακατευθύνθηκε σε ένα HTTPS Τι είναι το HTTPS και πώς να ενεργοποιήσετε τις ασφαλείς συνδέσεις ανά προεπιλογήΟι ανησυχίες για την ασφάλεια διαδίδονται πολύ μακριά και έχουν φτάσει στην πρώτη γραμμή του μυαλού των περισσότερων. Όροι όπως το antivirus ή το τείχος προστασίας δεν είναι πλέον περίεργο λεξιλόγιο και δεν είναι μόνο κατανοητοί, αλλά χρησιμοποιούνται επίσης από ... Διαβάστε περισσότερα - αυτό το πρόσθετο "S" σημαίνει ότι είναι ένας ασφαλής σύνδεσμος HTTPS παντού: Χρησιμοποιήστε HTTPS αντί HTTP όταν είναι δυνατόν Διαβάστε περισσότερα και είστε ασφαλείς να πληρώνετε για αντικείμενα μέσω του ιστότοπου. Το Hotmail, το WordPress, ακόμη και το Tumblr χρησιμοποιούν πιστοποιητικά SSL.

Είναι υπέροχο για τον καταναλωτή (ποιος γνωρίζει ότι τα δεδομένα του αντιμετωπίζονται υπεύθυνα) και για τον πωλητή (ο οποίος όχι μόνο επωφελείται από την εμπιστοσύνη των αγοραστών, αλλά και κατατάσσεται υψηλότερος από την Google).

Ωστόσο, τίποτα δεν είναι αλάνθαστο και μερικά ελαττώματα SSL που εκτέθηκαν μόλις τον τελευταίο χρόνο το επιβεβαιώνουν. Ευτυχώς, η περιήγηση στον ιστό γίνεται πιο ασφαλής ξανά ...

Αναβαθμίσεις TLS

Ίσως έχετε δει SSL και Transport Layer Security (TLS) να χρησιμοποιούνται εναλλακτικά και ενώ οι διαφορές είναι ίσως λεπτές, παραμένουν αξιοσημείωτες.

Και οι δύο χρησιμοποιούν το ίδιο σύστημα κρυπτογράφησης δεδομένων και συνομιλούν με την αρχή έκδοσης πιστοποιητικών (CA) πριν πραγματοποιήσουν αυτήν τη σύνδεση. Η TLS, ωστόσο, είναι ο διάδοχος της SSL, οπότε είναι λογικό ότι η TLS θα ήταν ασφαλής. Πράγματι, οι τρεις ενσαρκώσεις του - TLS 1.0, 1.1 και 1.2 - εξαλείφουν ορισμένες από τις ευπάθειες που βρέθηκαν στη μέθοδο SSL.

Το TLS 1.3 υπάρχει από το 2008, αλλά όπως θεωρήθηκαν τα ελαττώματα στις προηγούμενες εκδόσεις μικροσκοπικά δεν θα επηρέαζαν τις καταστάσεις «πραγματικού κόσμου», χρειάζονται πολύ πρόσφατα για τη μάζα του εκτέλεση. Στην πραγματικότητα, το 2013, φάνηκε ότι ακόμη και η Εθνική Υπηρεσία Ασφαλείας (NSA) δεν στοχεύει τομείς που εκτελούν πρωτόκολλα TLS επειδή τόσο λίγοι το χρησιμοποίησαν πραγματικά. Τώρα, όμως, μια εντολή από το Συμβούλιο Ασφαλείας PCI ανάγκασε κάθε ιστότοπο που μεταδίδει ή επεξεργάζεται πληροφορίες κατόχου κάρτας σε αναβάθμιση.

Επιπλέον, όλα τα μεγάλα προγράμματα περιήγησης - Google Chrome, Microsoft Edge, Safari, Firefox και Opera - υποστηρίζουν το TLS 1.2 από προεπιλογή, έτσι ώστε το επίπεδο κρυπτογράφησης να διασφαλίζεται και από τα δύο μέρη. Σημειώστε, ωστόσο, ότι η εντολή φαίνεται να ισχύει αποκλειστικά για λεπτομέρειες πληρωμής και όχι για στοιχεία σύνδεσης.

Κρυπτογράφηση παντού

Η αναβάθμιση των πιστοποιητικών είναι χρήσιμη μόνο εάν εγκριθεί ευρέως και αυτό δεν ισχύει. Όλοι οι ιστότοποι ηλεκτρονικού εμπορίου χρειάζονται πρακτικές ασφαλείας και η πλειονότητα πρέπει να έχει SSL ή TLS. Πολλοί βασίζονται στην προστασία των επεξεργαστών πληρωμών τρίτων, όπως το PayPal (αυτό φαίνεται να είναι ένα κενό την εντολή του Συμβουλίου Ασφαλείας PCI), αλλά εάν ένας ιστότοπος αποδέχεται προσωπικές πληροφορίες, θα πρέπει να χρησιμοποιεί ένα ασφαλές επίπεδο.

Εάν η σύνδεσή σας δεν είναι ιδιωτική, μπορούν να ληφθούν από hackers δεδομένα που περιλαμβάνουν διεύθυνση email και κωδικό πρόσβασης κατά τη σύνδεση. Και επειδή οι περισσότεροι άνθρωποι τείνουν χρησιμοποιήστε τους ίδιους κωδικούς πρόσβασης Οι 7 πιο κοινές τακτικές που χρησιμοποιούνται για την παραβίαση κωδικών πρόσβασηςΌταν ακούτε "παραβίαση ασφαλείας", τι θυμίζει; Ένας κακόβουλος χάκερ; Κάποιο παιδί στο υπόγειο; Η πραγματικότητα είναι ότι το μόνο που χρειάζεται είναι ένας κωδικός πρόσβασης και οι χάκερ έχουν 7 τρόπους για να αποκτήσουν το δικό σας. Διαβάστε περισσότερα σε πολλούς ιστότοπους (παρά όλες τις προειδοποιήσεις 7 λάθη κωδικού πρόσβασης που πιθανότατα θα σας παραβιάσουνΟι χειρότεροι κωδικοί πρόσβασης του 2015 έχουν κυκλοφορήσει και είναι αρκετά ανησυχητικοί. Ωστόσο, δείχνουν ότι είναι απολύτως σημαντικό να ενισχύσετε τους αδύναμους κωδικούς πρόσβασής σας, με λίγα απλά τσιμπήματα. Διαβάστε περισσότερα , αυτό θα μπορούσε να είναι ζωτικής σημασίας πληροφορίες.

Ωστόσο, πολλοί ιστότοποι δεν υιοθετούν πρωτόκολλα SSL επειδή μπορεί να είναι δαπανηρό και μπορεί να είναι περίπλοκο. Εκεί μπαίνει το πρόγραμμα Encantption Everywhere της Symantec.

Η αμερικανική εταιρεία ασφαλείας προσφέρει μια υπηρεσία freemium, σύμφωνα με την οποία το πιστοποιητικό λαμβάνεται εντελώς δωρεάν, με αναβαθμίσεις (όπως σάρωση κακόβουλου λογισμικού) διαθέσιμες με κόστος. Οι συνεργασίες με εταιρείες φιλοξενίας απομακρύνουν τις πολυπλοκότητες από τους διαχειριστές του ιστότοπου, ενώ οι αυτόματες ενημερώσεις βελτιστοποιούν τη διαδικασία αντιμετώπισης τυχόν περαιτέρω τρωτών σημείων.

Πρόκειται για μια προσπάθεια χρήσης του επιπέδου ασφαλείας 100% έως το 2018, οπότε αναμένουμε να εγκριθεί πολύ σύντομα από την πλειονότητα των ιστότοπων.

Ας κρυπτογραφήσουμε

Αλλά περίμενε! Η Symantec δεν είναι η μόνη που προσπαθεί για κρυπτογράφηση SSL / TLS σε ολόκληρο τον ιστό.

Ας κρυπτογραφήσουμε φαίνεται να οδηγεί το κύμα των πιο πρόσφατων ελαττωμάτων? κυκλοφόρησε στο κοινό τον Δεκέμβριο του 2015, το έργο έχει ήδη πολλούς μεγάλους διεθνείς χορηγούς, όπως το Google Chrome, το Mozilla, το Facebook, το Shopify, το YunPian και το Akamai. Το Let’s Encrypt, που διοικείται από την Ομάδα Έρευνας για την Ασφάλεια Διαδικτύου (ISRG), έχει εκδώσει, αυτόν τον μήνα, περισσότερα από 5 εκατομμύρια πιστοποιητικά και προβάλλει 50% φορτώσεις σελίδων HTTPS έως το τέλος του τρέχοντος έτους.

Γιατί αποδεικνύεται δημοφιλές το Let’s Encrypt; Απλώς καθώς είναι δωρεάν και αυτοματοποιημένο, που σημαίνει ότι είναι εξαιρετικά εύκολο για τους ιστότοπους να λαμβάνουν πιστοποιητικά και αναβαθμίσεις.

Η πρωτοβουλία ξεκινά με ένα νέο ζεύγος ιδιωτικών κλειδιών και απόδειξη του ιδιοκτήτη τομέα στην ΑΠ. Μόλις επαληθευτεί χρησιμοποιώντας το πρωτόκολλο Automated Certificate Management Environment (ACME), το λογισμικό του ιστότοπου μπορεί να υπογράψει μηνύματα διαχείρισης πιστοποιητικών με το κλειδί για να ανανεώσετε και να ανακαλέσετε πιστοποιητικά ή να δημιουργήσετε νέα για το ίδιο τομέα.

Μόλις εκδώσαμε το 5ο εκατομμύριο πιστοποιητικό μας!

- Ας κρυπτογραφήσουμε (@letsencrypt) 17 Ιουνίου 2016

Το Let’s Encrypt είναι αναμφισβήτητα το πιο γνωστό έργο που προσφέρει δωρεάν πιστοποιητικά και μεταξύ αυτών των μεγάλων προγραμμάτων, φαίνεται σίγουρα να είναι μια αξιόπιστη αιτία.

Σύγκλιση

Ωστόσο, ενδέχεται να απογοητευτείτε με τα πιστοποιητικά SSL.

Η φήμη τους έχει υποστεί ζημιά τα τελευταία χρόνια: οι περισσότεροι έχουν τουλάχιστον άκουσε για Heartbleed Heartbleed - Τι μπορείτε να κάνετε για να παραμείνετε ασφαλείς; Διαβάστε περισσότερα , μια ευπάθεια στη βιβλιοθήκη κρυπτογραφίας ανοιχτού κώδικα, OpenSSL, η οποία επιτρέπει στους χάκερ να διαβάζουν μη κρυπτογραφημένες πληροφορίες. Το Heartbleed επηρέασε πολλές υπηρεσίες Ανακαλύπτοντας τη διαφημιστική εκστρατεία: Έχει βλάψει κανέναν πραγματικά το Heartbleed; Διαβάστε περισσότερα , αλλά αυτό ήταν πριν δύο χρόνια Πέντε παραβιάσεις του απορρήτου σας το 2014 που ίσως χάσατεΠολλές δημοσιεύσεις αποκαλύφθηκαν στην ιδιωτική ζωή των διασημοτήτων το 2014, μια χρονιά που το προσκήνιο έριξε επίσης φως στο ευρύ κοινό. Μπορούμε να μάθουμε κάτι από αυτές τις παραβιάσεις; Διαβάστε περισσότερα και μια επιδιόρθωση είναι διαθέσιμη. Αλλά πέρυσι, υπήρχε Superfish Προσοχή στους ιδιοκτήτες φορητών υπολογιστών της Lenovo: Η συσκευή σας ενδέχεται να έχει προεγκαταστήσει κακόβουλο λογισμικόΗ κινεζική κατασκευαστής υπολογιστών Lenovo παραδέχθηκε ότι οι φορητοί υπολογιστές που στάλθηκαν σε καταστήματα και οι καταναλωτές στα τέλη του 2014 είχαν προεγκατεστημένο κακόβουλο λογισμικό. Διαβάστε περισσότερα , κακόβουλο λογισμικό που απέδωσε HTTPS. αυτό επίσης, έχει επιδιορθωθεί Το Superfish δεν έχει πιάσει ακόμα: Εξηγήθηκε η παραβίαση SSLΤο κακόβουλο λογισμικό Superfish της Lenovo προκάλεσε αναταραχή, αλλά η ιστορία δεν τελείωσε. Ακόμα κι αν αφαιρέσατε το adware από τον υπολογιστή σας, το ίδιο ευπάθεια υπάρχει και σε άλλες διαδικτυακές εφαρμογές. Διαβάστε περισσότερα .

Και δεν περιορίζεται στον υπολογιστή σας: το δικό σας επηρεάζονται οι εφαρμογές smartphone 1.000 εφαρμογές iOS έχουν ανάπηρο σφάλμα SSL: Πώς να ελέγξετε εάν επηρεάζεστεΤο σφάλμα AFNetworking δημιουργεί προβλήματα στους χρήστες iPhone και iPad, με 1000s εφαρμογές να έχουν ευπάθεια Τα πιστοποιητικά SSL δεν ελέγχονται σωστά, διευκολύνοντας ενδεχομένως την κλοπή ταυτότητας μέσω του man-in-the-middle επιθέσεις. Διαβάστε περισσότερα από ελαττώματα SSL επίσης.

Η σύγκλιση, λοιπόν, είναι ένα πρόσθετο προγράμματος περιήγησης που πολλοί συγχέουν με ένα σύστημα που αντικαθιστά τα πιστοποιητικά SSL. περισσότερο από οτιδήποτε άλλο, ωστόσο, είναι το επόμενο στάδιο για τις ΑΠ. Ουσιαστικά, αντί να εμπιστεύεται ένα CA που βεβαιώνει την αυθεντικότητα ενός ιστότοπου, η σύγκλιση στρέφεται συμβολαιογραφικές υπηρεσίες για να βεβαιώσετε την ασφάλεια του ιστότοπου.

Επισκεφτείτε μια διεύθυνση HTTPS. Υπάρχουν τρία κύρια αποτελέσματα: όλοι οι συμβολαιογράφοι συμφωνούν ότι είναι ασφαλές, οπότε χρησιμοποιείτε τον ιστότοπο. δεν συμφωνούν όλοι, αλλά μπορείτε να πάτε με την πλειοψηφία ή να απορρίψετε τον ιστότοπο επειδή δεν εμπιστεύεστε τους συμβολαιογράφους ότι κάνω εγγυηθείτε για αυτό? ή σε ακραίες περιπτώσεις, οι περισσότεροι ή όλοι οι συμβολαιογράφοι συμφωνούν ότι δεν είναι αξιόπιστο. Με αυτόν τον τρόπο, δεν υπάρχει ούτε ένα σημείο αποτυχίας.

Σκεφτείτε το με αυτόν τον τρόπο: είναι μια σύγκλιση απόψεων σχετικά με το εάν ένας χρήστης μπορεί να εμπιστευτεί το HTTPS.

Πώς γίνεται το Διαδίκτυο ασφαλές;

Γιατί εξακολουθούμε να τα αποκαλούμε πιστοποιητικά SSL; Σίγουρα πρέπει να είναι πιστοποιητικά TLS; #ssl#tls#MostBrowsersDontDoSSLAnymore

- Chris Pont (@chrispont) 7 Ιουνίου 2016

Σε ένα κέλυφος: τα πιστοποιητικά SSL που πιστοποιούν τον έλεγχο ταυτότητας ιστότοπων αναβαθμίζονται σε TLS, κυρίως σε τομείς όπως το PayPal που ασχολούνται με πληροφορίες πληρωμής. Αυτά ξεκινούν μαζικά, με στόχο 100% χρήση HTTPS τα επόμενα χρόνια. Επίσης, αξιολογούνται εκ νέου οι ΑΠ και το πρόσθετο Σύγκλιση εμφανίζεται ένα σταθερό στάδιο στην επαλήθευση του πόσο αξιόπιστος είναι ένας ιστότοπος, βασισμένος σε συμβολαιογράφους για να συμφωνήσουν.

Αυτά τα μέτρα σας δίνουν πίστη στο SSL ξανά; Εσυ αφή ασφαλή εισαγωγή στοιχείων πληρωμής στο διαδίκτυο; Ποια περαιτέρω πρωτόκολλα ασφαλείας θα θέλατε να δείτε ευρέως εφαρμοσμένα;

Πιστώσεις εικόνας: HTTPS (WeTransfer) από τον Christiaan Colen; και https από τον Sean MacEntee.