Med så mange store databrud i nyhederne for nylig, undrer du dig måske over, hvordan dine data er beskyttet, når du er online. Når du går ind på en hjemmeside for at shoppe og indtaster dit kreditkortnummer, kommer der forhåbentlig en pakke til din dør om et par dage. Men i det øjeblik, før du trykker på Bestil, undrer du dig over, hvordan onlinesikkerhed fungerer?
Det grundlæggende i onlinesikkerhed
I sin grundlæggende form udføres onlinesikkerhed - den sikkerhed, der finder sted mellem en computer og et websted - gennem en række spørgsmål og svar. Du indtaster en webadresse i en browser, og derefter beder browseren det pågældende websted om at bekræfte dets ægthed. Siden svarer med de relevante oplysninger, og når begge er enige, åbnes siden i webbrowseren.
Blandt de stillede spørgsmål og de udvekslede oplysninger er data om den type kryptering, der videregiver browseroplysninger, computeroplysninger og personlige oplysninger mellem browseren og webstedet. Disse spørgsmål og svar kaldes et håndtryk. Hvis det håndtryk ikke finder sted, anses webstedet, du forsøger at besøge, for usikkert.
HTTP vs
- Åbent for alle at se undervejs.
- Nemmere at konfigurere og køre.
- Ingen sikkerhed for adgangskoder og indsendte data.
-
Fuldt krypteret for at skjule oplysninger.
- Kræver yderligere serverkonfiguration.
- Beskytter overførte oplysninger, herunder adgangskoder.
En ting, du måske bemærker, når du besøger websteder på nettet, er, at nogle har en adresse, der starter med http, og nogle starter med https. HTTP betyder Hypertext Transfer Protocol; det er en protokol eller et sæt retningslinjer, der angiver sikker kommunikation over internettet.
Nogle websteder, især websteder, hvor du bliver bedt om at angive følsomme eller personligt identificerende oplysninger, kan vise https enten i grønt eller i rødt med en streg igennem. HTTPS betyder Hypertext Transfer Protocol Secure, og grøn betyder, at webstedet har et verificerbart sikkerhedscertifikat. Rød med en streg igennem betyder, at webstedet ikke har et sikkerhedscertifikat, eller at certifikatet er unøjagtigt eller udløbet.
Her bliver tingene lidt forvirrende. HTTP betyder ikke, at data, der overføres mellem en computer og et websted, er krypteret. Det betyder kun, at den hjemmeside, der kommunikerer med browseren, har et aktivt sikkerhedscertifikat. Kun når et S (som i S) er inkluderet, er de data, der overføres sikre, og der er en anden teknologi i brug, der gør den sikre betegnelse muligt.
SSL vs. TLS
- Oprindeligt udviklet i 1995.
- Tidligere niveau af webkryptering.
- Lakket bagefter det hastigt voksende internet.
- Startet som den tredje version af SSL.
- Transport Layer Security.
- Fortsatte med at forbedre krypteringen, der bruges i SSL.
- Tilføjede sikkerhedsrettelser til nye typer angreb og sikkerhedshuller.
SSL var den originale sikkerhedsprotokol for at sikre, at websteder og de data, der sendes mellem webstederne, var sikre. Ifølge GlobalSign blev SSL introduceret i 1995 som version 2.0. Den første version (1.0) gjorde det aldrig til det offentlige domæne. Version 2.0 blev erstattet af version 3.0 inden for et år for at løse sårbarheder i protokollen.
I 1999 blev en anden version af SSL, kaldet Transport Layer Security (TLS), introduceret for at forbedre hastigheden af samtalen og sikkerheden ved håndtrykket. TLS er den version, der i øjeblikket er i brug, selvom den ofte omtales som SSL for enkelhedens skyld.
Forstå SSL-protokollen
- Skjuler oplysninger indstillet mellem en computer og et websted.
- Beskytter loginoplysninger.
- Sikker onlinekøb.
- Beskytter ikke mod alle trusler.
- Kan ikke sikre dig på websteder, der ikke bruger SSL.
- Kan ikke skjule, hvilke websteder du besøger.
Når du overvejer at dele et håndtryk med nogen, betyder det, at der er en anden part involveret. Online sikkerhed er meget på samme måde. For at håndtrykket, der sikrer sikkerhed online, kan finde sted, skal der være en anden part involveret. Hvis HTTPS er den protokol, som webbrowseren bruger til at sikre, at der er sikkerhed, så er den anden halvdel af det håndtryk den protokol, der sikrer kryptering.
Kryptering er den teknologi, der bruges til at skjule data, der overføres mellem to enheder på et netværk. Det opnås ved at omdanne genkendelige tegn til uigenkendeligt volapyk, der kan returneres til sin oprindelige tilstand ved hjælp af en krypteringsnøgle. Dette blev oprindeligt opnået gennem en teknologi kaldet Secure Socket Layer (SSL)-sikkerhed.
SSL var teknologien, der forvandlede alle data, der flyttede mellem et websted og en browser, til vrøvl og derefter tilbage til data igen. Sådan fungerer det:
- Du åbner en browser og skriver adressen til din bank.
- Webbrowseren banker på bankens dør og introducerer dig.
- Dørmanden bekræfter, at du er den, du siger, du er, og accepterer at lukke dig ind under en række betingelser.
- Webbrowseren accepterer disse betingelser, og så får du adgang til bankens hjemmeside.
Processen gentages, når du indtaster dit brugernavn og din adgangskode, med nogle yderligere trin.
- Du indtaster dit brugernavn og din adgangskode for at få adgang til din konto.
- Din webbrowser fortæller bankens kontoadministrator, at du gerne vil have adgang til din konto.
- De samtaler og er enige om, at hvis du kan give de korrekte legitimationsoplysninger, så vil du få adgang. Disse legitimationsoplysninger skal dog præsenteres på et særligt sprog.
- Webbrowseren og bankens kontoadministrator er enige om det sprog, der vil blive brugt.
- Webbrowseren konverterer dit brugernavn og din adgangskode til det specielle sprog og videregiver det til bankens kontoadministrator.
- Kontoadministratoren modtager dataene, afkoder dem og sammenligner dem med deres registreringer.
- Hvis dine legitimationsoplysninger matcher, får du adgang til din konto.
Processen foregår på nanosekunder, så du bemærker ikke den tid, det tager for samtalen og håndtrykket at finde sted mellem webbrowseren og hjemmesiden.
TLS-kryptering
- Sikker kryptering.
- Skjuler data mellem en computer og websteder.
- Bedre håndtryksproces ved forhandling af krypteret kommunikation.
- Ingen kryptering er perfekt.
- Sikker DNS ikke automatisk.
- Ikke fuldt ud kompatibel med ældre versioner.
TLS-kryptering blev introduceret for at forbedre datasikkerheden. Mens SSL var en god teknologi, ændrer sikkerheden sig i et hurtigt tempo, og det førte til behovet for bedre og mere opdateret sikkerhed. TLS blev bygget på rammerne af SSL med forbedringer af de algoritmer, der styrer kommunikations- og håndtrykprocessen.
Hvilken TLS-version er den mest aktuelle?
Som med SSL er TLS-kryptering fortsat blevet forbedret. Den nuværende TLS-version er 1.2, men TLSv1.3 er udarbejdet, og nogle virksomheder og browsere har brugt sikkerheden i korte perioder. I de fleste tilfælde vender de tilbage til TLSv1.2, fordi version 1.3 stadig er ved at blive perfektioneret.
Når den er færdig, vil TLSv1.3 bringe adskillige sikkerhedsforbedringer, herunder forbedret understøttelse af mere aktuelle typer kryptering. TLSv1.3 vil dog også droppe understøttelse af ældre versioner af SSL-protokoller og andre sikkerhedsteknologier, der ikke længere er robuste nok til at sikre korrekt sikkerhed og kryptering af personlige data.
