SSL-сертификат — что это и как установить

Про SSL кратко

SSL-сертификат — это цифровой сертификат, который удостоверяет подлинность веб-сайта и позволяет использовать зашифрованное соединение. Он был создан для безопасного обмена конфиденциальной информацией — персональными данными, адресами, номерами кредитных карт. Наличие этого сертификата означает, что обмен между браузером и сервером происходит в зашифрованном виде и что сайт — точно тот, за кого себя выдаёт.

На использование SSL-сертификата указывает буква s в сокращении HTTPS и значок замка в адресной строке браузера.

Зачем нужен сертификат

Протокол HTTP (HyperText Transfer Protocol, протокол передачи гипертекста) — это список правил, по которым компьютер получает данные от сервера. HTTP умеет передавать видео, аудио и текст, но только в открытом, незашифрованном виде. А значит, в случае доступа к трафику кто-то другой, например интернет-провайдер, может прочитать страницу, которую вам передаёт сервер, и то, что вы ему отправляете обратно.

Ещё в 2000 году компания Netscape предложила использовать для передачи чувствительной информации протокол шифрования данных SSL (Secure Socket Layer, защищённый сокетный слой) и выпустила расширение протокола HTTP — HTTPS (HyperText Transfer Protocol Secure). Для того чтобы сайт мог работать по протоколу HTTPS, на домен выпускают и устанавливают SSL-сертификат. Сервер проверяет подлинность этого сертификата, а потом передаёт информацию в зашифрованном виде. Её можно расшифровать только с помощью специального ключа, который входит в сертификат. Так работает защита от несанкционированного доступа к трафику.

Сейчас используют переименованную версию протокола — TLS. Однако аббревиатура SSL прижилась, поэтому новая версия часто называется старым именем.

Сертификат SSL гарантирует пользователю, что при переходе на сайт конфиденциальность данных сохраняется и что платформа подлинная.

Как работает SSL

1. Пользователь отправляет запрос на подключение к сайту, защищённому протоколом. Например, переходит по ссылке или вводит адрес в адресной строке браузера.
2. Браузер пользователя по протоколу HTTPS спрашивает у сервера сайта, подлинный ли он.
3. Сервер в ответ пересылает копию своего сертификата SSL и публичный ключ.
   
4. Браузер пользователя сверяет полученный сертификат с пунктами выдачи сертификатов, удостоверяется в его подлинности и отправляет серверу подтверждение, которое зашифровывает публичным ключом.
   
5. Сервер создаёт защищённый сеанс: отправляет браузеру подтверждение с уникальной цифровой подписью, которая зашифрована протоколом SSL.
   
6. Защищённое соединение установлено: данные передаются по браузер-серверному соединению.
   

Весь этот длинный список действий система проходит за несколько миллисекунд.

Любой желающий может просмотреть сведения об SSL-сертификате в своём браузере. Для этого надо щёлкнуть на значок замка, расположенный в адресной строке. В открывшемся окне можно будет увидеть доменное имя и организацию, для которых выпущен сертификат, центр сертификации, дату выдачи, срок действия сертификата и другую информацию.

Виды сертификатов

Сертификаты SSL бывают самоподписанные (сервером компании) и подписанные в удостоверяющих центрах. Первые может сделать любой пользователь, поэтому браузер, получив такой сертификат, будет предупреждать о незащищённом соединении. А второй тип браузер рассматривает как достоверный, потому что в браузеры вшита информация об основных удостоверяющих центрах.

Основных типов сертификатов SSL три — DV, OV и EV:

• DV (Domain Validation) — самого низкого уровня. Он подтверждает домен сайта, но не его владельца. Показывает, что подключение защищено, клиент обменивается зашифрованной информацией с сервером. Этот тип сертификатов самый дешёвый, он подходит для личных блогов, сайтов-визиток, где нет сбора чувствительной информации.
• OV (Organization Validation) подтверждает не только домен, но и его владельца. Этот сертификат могут получить как физические, так и юридические лица. OV часто используется в социальных сетях, форумах и даже интернет-магазинах или других ресурсах с приёмом платежей.
  
• EV (Extended Validation) — сертификат самого высокого уровня, он подтверждает домен, его владельца и регистрационные данные владельца. Его могут приобрести только юридические лица. Обычно такой тип сертификата используют финансовые организации, страховые компании, корпоративные сайты и другой крупный бизнес. Проверка данных при выдаче этого сертификата может занимать несколько недель.
  

Сертификаты всех типов обеспечивают шифрование трафика между сайтом и браузером, так что можно выбрать тот, которого будет достаточно для решения ваших задач.

Удостоверяющие центры

Долгое время владельцы сайтов, которые не хотели платить за сертификат SSL, вынуждены были выпускать самоподписанные сертификаты. Но появились некоммерческие организации, которые предлагают бесплатные SSL-сертификаты для повышения уровня безопасности сети. Одна из таких организаций — Let’s Encrypt. У бесплатного сертификата есть ограничение: он действует всего три месяца, затем его нужно продлить. Платный — до двух лет.

Основные удостоверяющие центры, которые выдают SSL-сертификаты, — Sectigo (бывший Comodo), GeoTrust, GoDaddy, GlobalSign, Symantec. Но многие зарубежные центры, например Symantec и Sectigo, перестали работать с сайтами из России. Пока ещё можно получить сертификат от GlobalSign на сайте reg.ru, причём бесплатно, если купить здесь домен. Но и этот удостоверяющий центр может закрыть доступ для российских пользователей.

Как получить SSL-сертификат в России. В марте 2022 года Минцифры организовало выдачу российских сертификатов через портал госуслуг. Такой сертификат выдают бесплатно вместо иностранного сертификата безопасности в случае его отзыва или окончания срока действия. Но его могут получить только юридические лица.

Как установить SSL-сертификат на сайт

Приобретённый сертификат SSL будет включать в себя файл сертификата, его цепочку и ключ. Дальше нужно установить его на сайт. Если вы используете, например, панель управления веб-хостингом ISPmanager, авторизуйтесь под учётной записью пользователя, на которого приобретён сертификат, перейдите в раздел «SSL-сертификаты», нажмите кнопку «Добавить сертификат» и заполните нужные поля. После установки весь трафик от сайта к вам и в обратном направлении будет зашифрован.

Как быть с российскими сертификатами

Браузер, через который вы заходите на сайт, должен признавать достоверным и доверенным центр, который выдал SSL-сертификат. Но уже больше года зарубежные браузеры — Google Chrome, Edge, Safari, Opera — не признают российский УЦ. А это значит, что при переходе на сайт, подписанный таким сертификатом, браузер будет сообщать о проблемах. И не исключено, что пользователь не сможет зайти, например, на портал госуслуг.

Решить эту проблему можно двумя способами:

1. Пользуйтесь российскими браузерами — Яндекс Браузером или Атомом. Они признают российские сертификаты.
2. Установите корневой сертификат в свою операционную систему. Тогда каждый браузер будет признавать российские сертификаты достоверными.
   

«Яндекс» получил международный сертификат на обработку персональных данных

«Яндекс» получил в Австрии сертификат на обработку персональных данных граждан ЕС / Максим Стулов / Ведомости

Yandex Cloud получила сертификат соответствия международному стандарту ISO 27701, что позволит провайдеру выполнять требования по защите персональных данных (ПД), в том числе прописанные в едином европейском регламенте GDPR. Сертификат был выдан 9 декабря на три года венским органом сертификации TÜV Austria CERT GmbH на два юрлица – ООО «Яндекс.Облако» и ООО «Яндекс.Технологии» для трех центров обработки данных (ЦОД) во Владимире, подмосковных Мытищах и Сасове (Рязанская обл.). Это следует из документа, с которым ознакомились «Ведомости». Подлинность сертификата подтвердил представитель «Яндекса».

Под сертификацию по стандарту ISO 27701 попали самые востребованные облачные сервисы, следует из сообщения «Яндекса»: инфраструктурные, платформа данных, контейнеризация приложений и бессерверные вычисления. С какой целью компании инициировала процедуру международной аттестации, ее представитель отказался объяснять, ограничившись формулировкой «регулярного подтверждения соответствия российским и международным стандартам безопасности для защиты данных клиентов».

«Ведомости» направили запрос в орган сертификации.

Вероятнее всего, «Яндекс» будет размещать в сертифицированных по европейским стандартам ЦОДах данные, обрабатываемые нидерландской частью компании, допускают два опрошенных «Ведомостями» источника, близких к разным компаниям на рынке ЦОДов. Сейчас компания рассматривает процесс как переходный период при разделении компании, а потом зарубежное облако переедет из России, полагают они.

Такой сертификат нужен «Яндексу» для обслуживания европейских клиентов, объясняют опрошенные «Ведомостями» эксперты. Сертификация по стандарту ISO 27701 скорее репутационный ход, считает руководитель отдела аналитики «Серчинформа» Алексей Парфентьев. Если сертификата нет, это не обязательно значит, что компания плохо защищает данные. Поэтому, когда иностранные компании выбирают российские сервисы или другие услуги российских ЦОДов, это говорит только об их функциональных предпочтениях, говорит он.

«При прохождении сертификации по этому стандарту компании подтверждают реализацию требований по GDPR и внедрение необходимых мер контроля. Наличие такого документа позволяет компаниям оказывать соответствующие услуги на территории ЕС», – поясняет заместитель руководителя отдела комплаенс и аттестации центра «Solar интеграция» компании «РТК-Солар» Андрей Семенов.

Схожей позиции придерживается директор по развитию сервисов «КРОК облачные сервисы» Сергей Зинкевич. Вероятнее всего, указанный стандарт нужен для тех, кто работает с клиентами из стран, подпадающих под действие GDPR, и обусловлен бизнес-необходимостью, считает он. По словам бизнес-консультанта по информационной безопасности Positive Technologies Алексея Лукацкого, действия «Яндекса» можно назвать «правилом хорошего тона» и демонстрацией своим нынешним и будущим клиентам, что новая стратегия развития компании учитывает такой важный аспект, как защита ПД.

Ничто не мешает работать с международными компаниями без каких-либо сертификатов: важны договорные обязательства, замечает источник «Ведомостей» в одном из крупных облачных провайдеров. «Сертификаты лишь упрощают участие в конкурсах компаний, у которых – опять же для простоты процедуры – есть требования по этим сертификатам. Им (компаниям) не нужно разбираться с каждым потенциальным подрядчиком, они доверяют подтверждениям третьей стороны», – говорит он.

Европейские компании, скорее всего, не будут торопиться размещать свои ресурсы в сертифицированных ЦОДах Yandex Cloud, добавляет IТ-директор 3data Валентин Соколов. «Возможным зарубежным клиентам нужно время на то, чтобы присмотреться и оценить преимущества предлагаемых услуг, а также внедрить эти новые требования в политику информационной безопасности», – говорит он.

Представитель пресс-службы компании Cloud утверждает, что сертификаты соответствия стандарту ISO 27701 российские компании уже получали. У Cloud он есть, уверяет он. Также он имеется у «Онланты», сообщил «Ведомостям» представитель этой компании.

МТС, «Ростелеком-ЦОД» и Selectel отказались от комментариев.

Новости СМИ2

Отвлекает реклама?  С подпиской  вы не увидите её на сайте

Россия создает собственный центр сертификации TLS для обхода санкций

Россия создала собственный доверенный центр сертификации TLS (ЦС) для решения проблем с доступом к веб-сайтам, накопившихся после того, как санкции препятствуют обновлению сертификатов.

Санкции, введенные западными компаниями и правительствами, не позволяют российским сайтам обновлять существующие сертификаты TLS, в результате чего браузеры блокируют доступ к сайтам с просроченными сертификатами.

Сертификаты TLS помогают веб-браузеру подтвердить, что домен принадлежит проверенному объекту и что обмен информацией между пользователем и сервером зашифрован.

Как работают сертификаты TLS (Digicert)

Подписывающие органы стран, которые ввели санкции против России, больше не могут принимать платежи за свои услуги, в результате чего многие сайты не имеют практических средств для продления сертификатов с истекающим сроком действия.

После истечения срока действия сертификата веб-браузеры, такие как Google Chrome, Safari, Microsoft Edge и Mozilla Firefox, будут отображать на всю страницу предупреждения о том, что страницы небезопасны, что может оттолкнуть многих пользователей от сайта.

Внутренний орган

Российское государство предусмотрело решение в национальном центре сертификации для независимой выдачи и обновления сертификатов TLS.

«Он заменит иностранный сертификат безопасности, если он будет отозван или срок его действия истечет. Минцифры бесплатно предоставит отечественный аналог. Услуга предоставляется юридическим лицам — владельцам сайтов по запросу в течение 5 рабочих дней», — поясняет российский портал госуслуг «Госуслуги».

Объявление о наличии отечественных сертификатов (Госуслуги)

Однако для того, чтобы веб-браузеры доверяли новым центрам сертификации (ЦС), их сначала нужно было проверить различными компаниями, что может занять много времени.

В настоящее время единственными веб-браузерами, которые признают новый российский ЦС заслуживающим доверия, являются российский браузер Яндекс и продукты Atom, поэтому российским пользователям рекомендуется использовать их вместо Chrome, Firefox, Edge и т. д.

Сайты, которые уже получили и в настоящее время используют эти государственные сертификаты, включая Сбербанк, ВТБ и Центральный банк России.

Уведомление отправлено владельцам соответствующих веб-сайтов

Российские СМИ также распространили список из 198 доменов, которые, как сообщается, получили уведомление об использовании внутреннего сертификата TLS, но на данный момент его использование не стало обязательным.

Проблемное предложение

Пользователи других браузеров, таких как Chrome или Firefox, могут вручную добавить новый российский корневой сертификат, чтобы продолжить использовать российские сайты, на которых есть государственный сертификат.

Однако это вызывает опасения, что Россия может злоупотреблять своим корневым сертификатом CA для перехвата трафика HTTPS и атак типа «человек посередине».

Это злоупотребление в конечном итоге приведет к добавлению нового корневого сертификата в список отзыва сертификатов (CRL).

Российский доверенный корневой сертификат ЦС
Источник: BleepingComputer

Это сделает эти внутренние сертификаты недействительными, а Chrome, Edge и Firefox заблокируют доступ к любым веб-сайтам, использующим их.

Центры сертификации должны пользоваться всеобщим доверием. Однако, поскольку Россия в настоящее время не пользуется каким-либо уровнем доверия, маловероятно, что основные поставщики браузеров добавят их в свои корневые хранилища сертификатов.

Россия приняла некоторые решительные меры, чтобы уменьшить влияние западных санкций на свою экономику. Многие предположили, что пришло время оборвать связи с глобальным интернетом и подтолкнуть его пользователей сети к «Рунету».

В ответ на эти слухи Министерство цифровых технологий России категорически опровергло план отключения интернета изнутри в заявлении, переданном местным новостным агентствам.

LetsEncrypt и Яндекс.Почта для домена — Помощь

ТрансКот

14 февраля 2017 г., 23:28 1

В настоящее время у меня есть веб-сайт, работающий на DigitalOcean для bergenmakers.no. Настройка сертификатов работала хорошо.
Имеется субдомен mail.bergenmakers.no, который обслуживается yandex.com через их домен Яндекс.Почты для.
После добавления сертификатов я больше не могу связаться с mail. bergenmakers.no. Chrome, Safari и Firefox говорят, что мое соединение не является частным.
Все они указывают, что домен использует HSTS, но это не помогло мне найти ответ на мою проблему.

У кого-нибудь была такая проблема? может быть, с приложениями GSuit/Google для домена?

лидер

14 февраля 2017 г., 23:52 2

mail.domain на Яндексе на самом деле не должен быть доступен через HTTPS напрямую. Он просто перенаправляет вас на https://mail.yandex.tld/parameters, у которого есть соответствующие сертификаты Яндекса. Таким образом, попытка доступа к https://mail.domain выдаст вам ошибку (обслуживаемый сертификат будет содержать имена Яндекса, но не ваш домен). Я не думаю, что где-то было бы по-другому, если бы какая-то другая служба не позволяла вам загружать свой собственный сертификат на сервер, который предоставляет такую ​​размещенную почтовую службу. Я полагаю, что если вы обслуживаете заголовок HSTS, включая поддомены, это может вызвать проблему. В этом случае вы можете удалить из него поддомены, чтобы решить эту проблему.

1 Нравится

ТрансКот 14 февраля 2017 г., 23:56 3

Спасибо за ответ. Это моя текущая настройка:

 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers включен;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH";
ssl_ecdh_curve secp384r1;
ssl_session_cache общий: SSL: 10 м;
ssl_session_tickets выключен;
ssl_stapling включен;
ssl_stapling_verify включен;
преобразователь 8.8.8.8 8.8.4.4 действительный=300 с;
резолвер_тайм-аут 5 с;
# Отключите предварительную загрузку HSTS на данный момент. Вы можете использовать закомментированную строку заголовка, которая включает
# директиву "preload", если вы понимаете последствия.