هر آنچه که باید درباره TLS و SSL بدانید

 

حوزه امنیت سایبری دارای واژگان و اصطلاحات بسیار زیادی است. در این مقاله می خواهیم درباره SSL و TLS صحبت کنیم. احتمالاً در هنگام استفاده از VPN به این دو اصطلاح برخورد کرده اید.به خاطر استفاده TLS است که درهنگام استفاده از برنامه های اینترنت بانک، هکرها نمی‌توانند اطلاعات کارت بانکی شما را به سرقت ببرند.در این مقاله نحوه کار کرد TLS و SSL را بررسی خواهیم کرد.

 تعریف SSL و TLS

SSL و TLS هردو پروتکلهای رمزنگاری داده ها هستند که وظیفه آنها رمزنگاری و تایید هویت داده ها به هنگام ارسال از یک اپلیکیشن یا دستگاه به سرور و یا بالعکس می باشد.

SSL در واقع جد بزرگ TLS است. SSL به صورت عمومی در سال ۱۹۹۵ معرفی شد ولی به دلیل اینکه دارای آسیب پذیری های امنیتی زیادی بود یک سال بعد توسط SSL  نسخه ۳ جایگزین شد. البته این نسخه نیز چندان بی نقص نبود و بنابراین TLS در سال ۱۹۹۹ معرفی شد. اکثر دستگاه‌ها و مرورگرها در حال حاضر از TLS نسخه 1.2 استفاده می کنند. گرچه اکثر کاربران چنان به واژه SSL عادت کردند که همچنان از SSL برای TLS استفاده می کنند.

چرا وبسایت ها به TLS یا SSL نیاز دارند.

TLS یا همان SSL سابق، در کنار پروتکل HTTP فعالیت و امنیت را به این پروتکل اضافه می‌کند که حاصل آن پروتکل HTTPS  است که احتمالاً در ابتدای آدرس اینترنتی سایت ها آن را دیده اید. HTTP پروتکلی برای انتقال داده از مرورگر به سرور است. ولی ارتباطات توسط HTTP به خودی خود ایمن نیستند و با ارسال داده توسط این پروتکل اطلاعات شما در معرض دید همه خواهد بود.

دقیقاً به همین دلیل است که HTTPS معرفی شد. این پروتکل ترکیبی ازHTTP که انتقال اطلاعات را بر عهده دارد و TLS/SSL  که وظیفه آن رمزنگاری داده ها است، می باشد. با استفاده از رمزنگاری TLS/SSL داده های شما بسیار ایمن تر خواهد شد اطلاعات رد و بدل شده باشد فقط دیتای درهم و بی معنی مشاهده خواهد کرد.امروزه تقریباً تمام وب سایت ها از HTTPS استفاده می کنند.

البته استفاده از پروتکل های TLS/SSL فقط مختص استفاده سرور و وب سایت نیست و بسیاری از VPN ها نیز از این پروتکل برای رمزنگاری ارتباط کاربر استفاده می کنند.

SSL چگونه کار میکند

رمزنگاری توسط SSL به دو بخش توافق و لایه ضبط تقسیم می شود.

 توافق SSL  چیست 

توافق TSL/SSL در واقع یک نوع از ارتباط بین سرور و کلاینت است که دو طرف تصمیم میگیرند از کدام نسخه پروتکل برای ارتباطات  پیش رو استفاده کنند. نحوه اجرای یک توافق TSL به این صورت است.

1.  کلاینت یک درخواست شروع به سروری که می‌خواهد با آن ارتباط برقرار کند ارسال می کند. این درخواست شامل نوع الگوریتم رمزنگاری پشتیبانی شده توسط کلاینت است.

2.  سرور تاییدیه درخواست را به همراه گواهی SSL و کلید عمومی به کلاینت ارسال می کند. در اینجا سرور و کلاینت از رمزنگاری نا متقارن برای تبادل پیغام های ایمن استفاده می کنند. این موضوع به این معنی است که کلاینت برای رمزگشایی پیام به کلید عمومی احتیاج دارد و سرور نیز به دو کلید عمومی و خصوصی برای رمز گشایی نیاز دارد. هر کس که در حال رصد ترافیک می باشد قادر به رمزگشایی پیام نخواهد بود.

3. کلاینت با استفاده از کلید عمومی یک کلید محرمانه به سرور ارسال می کند که از آن برای ایجاد کلید جلسه و ارتقاء رمزنگاری نامتقارن استفاده می شود.در این مرحله هم سرور و هم کلاینت فقط از کلید خصوصی استفاده می کنند. استفاده از رمزنگاری متقارن، سرعت ارتباط را به شدت افزایش داده و نیاز به استفاده از منابع سخت افزاری را کاهش می دهد. 

4. سرور کلید محرمانه را رمز گشایی می کند و از آن برای ایجاد کلید متقارن و تبادل آن با کلاینت استفاده می کند. بعد از برقراری رمزنگاری متقارن سرور و کلاینت می‌توانند داده ها را به صورت رمزنگاری شده منتقل کنند. در این مرحله ترافیک وب سایت کاملا ایمن است.

لایه رکورد SSL/TLS

اینجا جاییست که رمزنگاری اتفاق می افتد. دیتا از طریق اپلیکیشن کاربر و به صورت رمزنگاری ارسال می شود. بسته به پروتکل رمزنگاری، ممکن است داده ها فشرده نیز بشوند. سپس داده ها به لایه انتقال شبکه که تعیین می کند چگونه داده به مقصد ارسال شود، فرستاده می شوند.

 گواهی ‏SSL چیست و چرا مورد نیاز است.

وب سرور هایی که از TLS استفاده می کنند دارای، گواهی SSL/TLS هستند.این گواهی برای مرحله توافق SSL/TLS ضروری بوده تا تایید کند که ارتباط قطعاً ایمن است. 

ولی توجه داشته باشید که پروتکل و گواهی از هم متفاوت هستند. این که در حین ارتباط از چه پروتکلی استفاده شود توسط پیکربندی مرورگر و سرور مشخص میشود نه گواهی SSL وب سایت. شما می توانید به یک وب سایت که از HTTPS استفاده می کند متصل شوید و در عین حال این وب سایت از پروتکل قدیمی SSL نسخه 3.0 استفاده کند.

 چنین ارتباطی دارای آسیب پذیری است. اکثر مرورگرهای جدید این مورد را در آدرس بار با علامت ضربدر روی قفل نشان می‌دهند.