Certyfikat SSL co to jest i na co to komu ?

Codziennie przeglądamy strony internetowe i nawet nie zwracamy uwagi na jedną małą, niepozorną kłódkę, która pojawia się po załadowaniu witryny.

Za to gdy nagle wyskoczy komunikat:

„Przejście na tę stronę może być niebezpieczne”

zaczyna się telefon:

— Marcin, ratuj! Putin wgrał mi wirusa i właśnie przejmuje moje konto w Words with Friends!

Dziś postaram się wyjaśnić, co to za zwierz, ta cała kłódka, i z czym właściwie się ją je.

Jasna i ciemna strona internetu

Od zarania internetów istnieje jego jasna i ciemna strona. Jedna próbuje chronić użytkowników, druga nieustannie kombinuje, jak podejrzeć ich dane, ukraść hasła albo przejąć konta.

Posłużę się prostą analogią.

Czy ktoś z Was stanąłby przy bankomacie i wykrzyczał na głos:

• numer PESEL,
• numer karty,
• imię i nazwisko,
• oraz te trzy słodkie cyferki znajdujące się na odwrocie karty?

Zakładając, że mam do czynienia z ludźmi rozsądnymi — raczej nikt.

Dokładnie tak samo jest z wysyłaniem danych przez stronę internetową bez szyfrowania.

Kiedy połączenie nie jest zabezpieczone, dane mogą zostać przechwycone w czytelnej formie. Gdy szyfrowanie działa prawidłowo, osoba podsłuchująca transmisję zamiast danych takich jak:

Marcin Mroziewicz

zobaczy jedynie niezrozumiały ciąg zaszyfrowanych informacji, przypominający na przykład:

7f9c2a6b18d4e031af6c8b2d5e91c744

To oczywiście uproszczony przykład. Nie chodzi o to, że imię zostaje na stałe zamienione w taki właśnie ciąg. Szyfrowanie TLS działa znacznie bardziej skomplikowanie i wykorzystuje klucze kryptograficzne ustalane podczas połączenia.

Najważniejszy sens jest jednak prosty:

osoba stojąca przy naszym internetowym bankomacie usłyszy jedynie bełkot, który doprowadzi ją do płaczu i ogólnego pogorszenia samopoczucia.

„Panie, 200 zł za jakąś kłódkę?”

Od kilkunastu lat zajmuję się projektowaniem stron internetowych i regularnie spotykam się z tym samym podejściem:

— Panie, 200 zł za jakąś kłódkę? Daj pan spokój, na co to komu?

Potem przeglądarka zaczyna wyświetlać komunikat „Niezabezpieczona”, użytkownicy boją się wejść na stronę, a Google daje do zrozumienia:

— Hej, ta witryna nie wygląda najlepiej. Nie będę jej zbytnio promować.

Strona zaczyna dryfować gdzieś w odmętach internetu.

Po pewnym czasie odbieram telefon:

— Panie Marcinie, to może ten certyfikat byśmy jednak wzięli. Albo nawet dwa.

Parafrazując Kobietę Pracującą z serialu Czterdziestolatek:

Nie zastanawiacie się, czy tego chcecie. Wyboru dokonała za Was przyszłość.

Tyle że tym razem nie chodzi o metalową taśmę do uszczelniania okien, lecz o standard współczesnego internetu.

Co właściwie daje certyfikat SSL?

Certyfikat SSL — technicznie dziś częściej mówi się o TLS — pełni kilka ważnych funkcji.

Przede wszystkim szyfruje dane przesyłane pomiędzy przeglądarką użytkownika a serwerem strony.

Chroni więc między innymi:

• hasła,
• dane logowania,
• dane formularzy,
• numery kart,
• dane osobowe,
• informacje przesyłane podczas zakupów.

Drugą ważną funkcją jest potwierdzenie, że użytkownik łączy się z właściwą domeną.

Nie oznacza to jednak, że każda strona z kłódką jest uczciwa. Oszust również może posiadać poprawny certyfikat. Kłódka mówi przede wszystkim:

„Połączenie z tą domeną jest szyfrowane”.

Nie mówi natomiast:

„Właściciel tej strony jest porządnym człowiekiem i na pewno nie sprzeda Ci cegły zamiast telefonu”.

Rodzaje certyfikatów

Certyfikatów jest kilka rodzajów.

DV — Domain Validation

Najprostszy i najczęściej stosowany typ certyfikatu.

Weryfikowane jest przede wszystkim to, czy osoba zamawiająca certyfikat kontroluje daną domenę.

Taki certyfikat zapewnia szyfrowanie, ale nie potwierdza szczegółowo tożsamości firmy.

OV — Organization Validation

W tym przypadku weryfikowana jest nie tylko domena, lecz także organizacja, która za nią stoi.

Czyli nasz przykładowy januszex.pl może potwierdzić, że faktycznie należy do firmy Januszex z siedzibą w Shire.

EV — Extended Validation

To certyfikat wymagający bardziej szczegółowej weryfikacji organizacji.

Był kiedyś szczególnie mocno eksponowany w przeglądarkach i kojarzył się głównie z bankami oraz dużymi instytucjami. Dziś przeglądarki nie pokazują go już tak wyraźnie, a samo szyfrowanie nie jest przez to silniejsze niż w przypadku poprawnie skonfigurowanego certyfikatu DV.

Różnica dotyczy przede wszystkim zakresu weryfikacji właściciela.

Panie, ile i dlaczego tak drogo?

Przechodzimy do jednego z ważniejszych punktów dla właścicieli stron:

Ile kosztuje certyfikat SSL?

Odpowiedź brzmi:

od zera złotych wzwyż.

Bezpłatny certyfikat można uzyskać między innymi dzięki organizacji Let’s Encrypt.

Taki certyfikat jest ważny przez określony czas, ale przy poprawnie skonfigurowanym serwerze odnawia się automatycznie. Właściciel strony nie musi więc co kilka miesięcy ręcznie instalować nowego certyfikatu.

Certyfikat można również kupić u dostawcy hostingu.

Często wygląda to mniej więcej tak:

• pierwszy rok: atrakcyjna cena,
• drugi rok: trochę drożej,
• trzeci rok: cena zaczyna przypominać ratę za mały samochód.

Można oczywiście co roku szukać promocji u innego dostawcy, ale wtedy trzeba pamiętać o instalacji, konfiguracji i odnowieniu certyfikatu.

Drogie certyfikaty i gwarancje

Niektóre komercyjne certyfikaty są sprzedawane z dodatkowymi gwarancjami wystawcy.

Nie należy jednak mylić tego z pełnym ubezpieczeniem sklepu internetowego od włamania, wycieku danych czy ataku hakerskiego.

Zakres takich gwarancji jest zwykle dokładnie określony i najczęściej dotyczy błędów związanych z procesem wydania certyfikatu.

Krótko mówiąc:

jeżeli ktoś włamie się do sklepu przez dziurawą wtyczkę WordPressa, sam certyfikat raczej nie przyjedzie na białym koniu i nie pokryje wszystkich strat.

Czy warto mieć certyfikat SSL?

Dziś pytanie nie brzmi już:

„Czy warto mieć SSL?”

Tylko:

„Dlaczego ta strona jeszcze go nie ma?”

Certyfikat SSL:

• szyfruje dane,
• zwiększa zaufanie użytkowników,
• chroni formularze i logowanie,
• usuwa komunikaty o niezabezpieczonej stronie,
• jest standardem technicznym,
• pomaga budować wiarygodność witryny,
• ma znaczenie dla SEO i odbioru strony przez Google.

Kłódka w pasku adresu jest mała i niepozorna.

Ale jej brak potrafi narobić naprawdę dużego bałaganu.