Co to jest TLS?

Z pewnością spotkałeś się już ze skrótami SSL i TLS, często łączonymi w SSL/TLS. Są one szczególnie istotne, gdy chcesz ręcznie skonfigurować klienta poczty e-mail lub hostować witrynę internetową.  TLS to ulepszona wersja protokołu SSL. Działa podobnie jak SSL, używając szyfrowania, które chroni przesyłanie danych i informacji. Te dwa terminy są często używane zamiennie w branży, chociaż termin SSL jest nadal terminem większościowym. 

Z tego artykułu dowiesz się:

• SSL i TLS - informacje podstawowe
• Co to jest TLS?
• Jak jest różnica między TLS i SSL?
• SSL czy TLS, którego mam użyć?
• Jak działa TLS?
• Rodzaje protokołów SSL i TLS

TLS to jeden z podstawowych mechanizmów szyfrowania, który wpływa na bezpieczeństwo połączenia z pocztą i stroną internetową. Jeśli chcesz wdrożyć takie rozwiązania w praktyce, sprawdź hosting z obsługą TLS i SSL oraz domenę do bezpiecznej komunikacji online. Przy konfiguracji strony przyda Ci się także instrukcja, jak zainstalować certyfikat SSL w DirectAdmin.

SSL i TLS - informacje podstawowe

SSL oznacza „Secure Socket Layer”, a TLS oznacza „Transport Layer Security”. Oba są protokołami szyfrowania dla warstwy transportowej Internetu. Ich zadaniem jest szyfrowanie przepływu danych między klientem a serwerem.

Ponieważ TLS jest następcą SSL, ale pojęcie SSL jest bardziej znane i częściej używane, jako alternatywę dla nazwy TLS podaje się SSL/TLS, co możesz zauważyć w programach pocztowych podczas konfigurowania adresów serwerów poczty przychodzącej i wychodzącej.

W obsłudze usługi hostingowej, np. poruszając się po panelu DirectAdmin, spotkasz się z funkcjami obsługi certyfikatów SSL. 

Kiedy będziesz poszukiwał dodatkowych informacji o certyfikatach SSL, ich działaniu, wpływie SSL na SEO strony internetowej, itp., także spotkasz się z pojęciem SSL, nie TLS.  

Warto więc rozdzielić język techniczny od języka używanego potocznie. Użytkownicy, administratorzy i panele hostingowe nadal często mówią o certyfikacie SSL, ale w praktyce bezpieczne połączenie jest dziś obsługiwane przez protokół TLS. Jeśli interesuje Cię ten temat od strony podstawowej, przeczytaj także, co to jest SSL i dlaczego nadal używa się tej nazwy.

• Problem z certyfikatem SSL w obsłudze programów pocztowych 

Co to jest TLS?

Transport Layer Security (TLS) to protokół, którego zadaniem jest zabezpieczenie połączenia między serwerem WWW a aplikacją internetową poprzez szyfrowanie przekazywanych danych. Dotyczy to wszystkich danych wymienianych w sieci, w tym wiadomości e-mail, sesji przeglądania stron internetowych i transferów plików. Efektem jego działania jest to, że hakerzy nie mogą uzyskać dostępu do poufnych danych użytkownika, takich jak dane logowania i numery kart kredytowych.

SSL/TLS jest używany podczas przesyłania poufnych informacji, takich jak nazwy użytkowników i hasła lub informacje o procesie płatności.

Celem SSL/TLS jest zapewnienie, aby tylko jedna osoba (osoba lub organizacja wskazana przez użytkownika) miała dostęp do przesyłanych danych. Jest to szczególnie ważne, gdy myślisz o tym, ile urządzeń i serwerów przesyła informacje, zanim dotrą do miejsca docelowego.

TLS ma znaczenie nie tylko przy samym wyświetlaniu strony przez HTTPS. Ten sam kierunek zabezpieczeń pojawia się przy obsłudze poczty e-mail, logowaniu do paneli administracyjnych, korzystaniu z formularzy kontaktowych czy przesyłaniu danych między aplikacją a serwerem. Dlatego bezpieczeństwo połączenia warto traktować jako element całej konfiguracji usługi, a nie wyłącznie jako ikonę kłódki widoczną w przeglądarce.

Podstawowe i najczęściej spotykane funkcje tego typu certyfikatu to:

• Jeśli potrzebujesz uwierzytelnienia: udowodnij tożsamość swojego serwera, aby ludzie wiedzieli, że naprawdę jesteś tym, za kogo się podajesz.
• Aby zbudować zaufanie: na przykład, gdy sprzedajesz przez Internet i musisz zweryfikować klientowi, że masz bezpieczną stronę internetową.
• Aby spełnić standardy branżowe.

Jaka jest różnica między TLS a SSL?

TLS to nowsza wersja SSL. Naprawia niektóre luki w zabezpieczeniach starszych protokołów SSL. SSL został wprowadzony w 1995 roku. Po wykryciu wielu poważnych luk w zabezpieczeniach wydano ulepszoną wersję 2.0, a rok później wersję 3.0. TLS został uruchomiony w 1999 roku, jak powiedzieliśmy wcześniej, jest następcą SSL. Ta zmiana była niewielka, poprawiając bezpieczeństwo szyfrowania i interoperacyjność aplikacji, ale nie pozwoliła na kompatybilność tych dwóch protokołów. Od tego czasu pojawiły się jeszcze trzy wersje TLS, z których najnowsza to TLS 1.3 z sierpnia 2018 r.

Najkrócej mówiąc: SSL to starsza rodzina protokołów, a TLS to jej bezpieczniejszy następca. W praktyce, gdy widzisz w panelu hostingowym, przeglądarce lub instrukcji określenie „certyfikat SSL”, najczęściej chodzi o certyfikat używany do zestawienia bezpiecznego połączenia HTTPS z wykorzystaniem TLS.

SSL czy TLS, którego mam użyć?

Obecnie należy używać TLS, a najlepszą wersją do użycia jest najnowsza wersja, ponieważ starsze wersje są wyłączone.

W praktyce najbezpieczniejszym wyborem jest konfiguracja oparta o TLS 1.2 lub TLS 1.3. Starsze wersje SSL oraz TLS 1.0 i TLS 1.1 są traktowane jako przestarzałe i nie powinny być wykorzystywane w nowych konfiguracjach. Dla właściciela strony oznacza to, że samo posiadanie certyfikatu nie wystarczy — znaczenie ma również poprawne wymuszenie HTTPS i aktualna konfiguracja serwera.

Jak działa TLS?

Ten typ certyfikatów musi być zainstalowany na serwerze. Kiedy użytkownik uzyska dostęp do strony hostowanej na tym serwerze, jego przeglądarka wyświetli komunikat wskazujący, że witryna jest rzeczywiście bezpieczna i zaszyfrowana. Będzie widoczna informacja o nawiązaniu połączenia przy pomocy HTTPS, a jeśli użytkownik kliknie ikonę kłódki, będzie mógł również uzyskać dostęp do informacji o tym certyfikacie.

Serwer wyśle ​​kopię klucza publicznego do przeglądarki. Ze swojej strony przeglądarka utworzy symetryczny klucz sesji i zaszyfruje go tym asymetrycznym kluczem publicznym z serwera. Następnie wysyła go z powrotem na serwer.

Serwer jest odpowiedzialny za odszyfrowanie klucza sesji, który otrzymał za pośrednictwem swojego asymetrycznego klucza prywatnego, i uzyskuje symetryczny klucz sesji. Od tego momentu wszystko, co zostanie wysłane, będzie szyfrowane. Komunikacja między przeglądarką a serwerem będzie szyfrowana i nikt nie będzie mógł odczytać tego, co jest wysyłane.

Należy wziąć pod uwagę, że ten klucz sesyjny jest tworzony w momencie, gdy wchodzimy na stronę internetową. Nie ma znaczenia, czy wrócimy później, ponieważ stworzy to kolejny. Proces ten jest całkowicie automatyczny i jest to czas, którego użytkownicy nie zauważą, gdy wejdą na jakąkolwiek stronę internetową.

Po wdrożeniu certyfikatu warto sprawdzić, czy strona faktycznie korzysta z HTTPS, a ruch z wersji HTTP jest kierowany na wersję szyfrowaną. Więcej informacji znajdziesz w instrukcji, jak wymusić przekierowanie HTTP na HTTPS w DirectAdmin. Ma to znaczenie zarówno dla użytkownika, jak i dla spójności adresów strony widocznych w wyszukiwarce.

Szyfrowane połączenie chroni transmisję danych, ale nie zastępuje innych zasad bezpieczeństwa. Jeśli aplikacja korzysta z bazy danych, ważne są również silne hasła, ograniczony dostęp administracyjny, aktualne wersje oprogramowania oraz kopie zapasowe. Przy pracy z bazą danych pomocna może być instrukcja, jak zalogować się do phpMyAdmin, ponieważ dostęp do bazy powinien być traktowany tak samo ostrożnie jak dostęp do panelu strony.

Rodzaje protokołów SSL i TLS

Nie wszystkie protokoły są takie same, ponieważ istnieją różne wersje. W rzeczywistości SSL można powiedzieć, że stał się przestarzały. Obecnie to TLS, chociaż ogólnie nadal nazywa się to certyfikatem SSL. Istnieje również kilka wersji certyfikatów TLS, a niektóre z nich są nieaktualne.

Istnieją trzy rodzaje wersji SSL: 1.0, 2.0 i 3.0. Pierwszy nie był używany, a kolejne wersje były używane do 2011 i 2015 roku. 

Jeśli chodzi o certyfikaty TLS, istnieją również różne wersje: TLS 1.0, 1.1, 1.2 i 1.3. Dwa ostatnie są tymi, które są nadal aktualne. Oba są uważane za bezpieczne i doskonale funkcjonalne.

Dlatego, jeśli zamierzasz zainstalować certyfikat SSL/TLS na swojej stronie, koniecznie zainstaluj protokół TLS w wersji 1.2 lub 1.3. Tylko wtedy naprawdę będziesz chronić stronę, a przeglądarki uznają ją za bezpieczną. W przeciwnym razie Twoja witryna byłaby podatna na ataki, co stanowiłoby problem dla Google i prestiżu samej witryny.

Warto zapamiętać prostą zasadę: certyfikat SSL/TLS to jeden element, a konfiguracja serwera to drugi. Strona może mieć aktywny certyfikat, ale nadal wymagać poprawnego przekierowania, aktualnych protokołów i uporządkowanej konfiguracji domeny. Jeśli chcesz przejść przez wdrożenie od strony panelu hostingowego, zobacz poradnik, jak zainstalować certyfikat SSL w DirectAdmin.

Przeczytaj także:

• Jak uzyskać darmowy certyfikat SSL Let's Encrypt?
• Jak wymusić przekierowanie http na https w DirectAdmin?
• Co to jest SSL i kiedy pojawia się przy konfiguracji strony internetowej?