چه تفاوتی بین انواع SSL گواهی نامه های دیجیتال است؟

ارتباط امن، یک ارتباط رمزگذاری شده و محافظت شده توسط گواهینامه ها است. اما این گواهینامه ها از کجا می آیند و چه تفاوت بین گواهینامه SSL و TLS است؟ یک گواهینامه دیجیتال چه ویژگی هایی برای برقرای امنیت باید داشته باشد؟ در این مطلب قصد داریم برخی از این موارد را پاسخ دهیم. اما اجازه دهید برای شروع نگاهی به HTTP و HTTPS در آدرس بار مرورگر شما کنیم.

HTTP و HTTPS برای انتقال اطلاعات

وقتی که یک بازدیدکننده اطلاعاتی را در یک وبسایت می خواند این اطلاعات بین کامپیوتر و سروری که سایت در آن میزبانی می شود، مبادله می شود. این فرآیند توسط یک پروتکل انتقال اطلاعات با نام HTTP مخفف Hyper Text Transfer Protocol اداره می شود. نسخه امن مبادله اطلاعات بین کاربر و سرور به صورت رمزنگاری شده انتقال می یابد که HTTPS مخفف Hyper Text Transfer Protocol Secure نام دارد. اطلاعات مبادله شده بین کاربر و سرور تنها برای آن ها قابل دسترس است و نه شخص سوم. برای مثال صاحب Wifi یا ادمین شبکه بلکه اطلاعات ارسالی از طرف کاربر به سرور در این پرتکل رمزگذای می شود.

اولین پروتکل مورد استفاده برای این منظور SSL مخفف Secure Sockets Layer نام دارد. پروتکل SSL شامل چندین نسخه است که همه آن ها یک مشکل امنیتی مشترک داشتند. در نسخه بروز شده مشکل فوق برطرف شد و اکنون با نام TLS مخفف Transport Layer Security در حال استفاده است. با وجود ارائه این نسخه جدید ،اما هنوز این پروتکل با نام SSL شناخته و استفاده می شود.

چگونه گواهینامه SSL دریافت کنیم؟

دو راه برای دریافت گواهینامه SSL وجود دارد. روش اول یک وبسمتر می تواند گواهینامه و کلید رمزگذاری تولید کند که به چنین گواهینامه هایی Self Signed گفته می شود. که با این حساب هنگام باز کردن سایت برای کاربر پیغام هشدار گواهی نامه Untrusted نمایش داده می شود. در این صورت در آدرس بار یک قفل متقاطع نمایش داده می شود که رنگ آن به جای سبز، قرمز است.

اما روش دوم و بهترین راه که خرید یک گواهینامه توسط یک مرجع معتبر CA است. CA اسناد مالک سایت و دامنه را بررسی می کند. بعد از آن می تواند اطلاعاتی در مورد موقعیت شرکت ثبت شده را نمایش دهد. اگر چه تعداد CA های معتبر محدود است اما می توانید شرکت هایی را که در بازار بورس وضعیف مناسبی دارند را کشف کرده و از آن ها استفاده کنید. شهرت CA تعیین کننده میزان اعتماد توسعه دهندگان مرورگر را نشان می دهد. قیمت یک گواهینامه به نوع آن، مدت زمان اعتبار و همچنین شهرت CA آن بستگی دارد.

انواع گواهینامه ها

گواهینامه های تایید شده توسط CA ها بر اساس قابل اعتماد بودن، دریافت کننده و قیمت آن متغیر است.

گواهی های اعتبار دامنه

برای دریافت گواهی اعتبارسنجی دامنه، یک شخصی حقوقی یا قانونی باید ثابت کند که دامنه فوق مربوط به آن ها است و سایت خود را بر روی آن مدیریت می کنند. این گواهی امکان برقراری ارتباط امن را فراهم می‌کند اما حاوی اطلاعاتی درباره سازمان که متعلق به آن  نیست. برای ثبت این گواهینامه هیچ سندی لازم نیست و دریافت آن کم‌تر از چند دقیقه طول می‌کشد.

گواهی های اعتبار سازمان

نسخه‌ بالاتر به عنوان گواهی اعتبار سنجی سازمانی شناخته می‌شوند که نه تنها این ارتباط را تایید می‌کنند، بلکه تایید می کند که این دامنه متعلق به سازمان است که در گواهی‌نامه مشخص شده‌ است.  بررسی همه مستندات و سپس صدور گواهی می‌تواند چندین روز طول می کشد. اگر یک سایت دارای گواهی DV یا OV باشد، مرورگر یک قفل سبز یا با کلمه Secure و حروف HTTPS را در آدرس بار نمایش می‌دهد.

گواهی های اعتبار گسترده

در نهایت، گواهی‌های سطح بالا همانند نوع OV، تنها سازمان های قانونی که تمام اسناد لازم را فراهم کرده می‌توانند این گواهی را به دست آورند. در کنار آدرس بار یک قفل سبز و در کنار آن نام و مکان گواهی نمایش داده می‌شود. گواهی های EV بالاترین درجه اعتبار بین مرورگرها را دارند و البته گرانترین نیز هستند. بسته به مرورگر، اطلاعات گواهی شامل صادر کننده و زمان اعتبار آن را می توان با کلیک بر نام سازمان یا کلمه Secure مشاهده کرد.

مشکلات گواهی ها

برقراری امنیت آنلاین و حفاظت از اطلاعات کاربران اصول کلیدی سازندگان مرورگرهایی چون Mozilla و Chrome هستند. برای مثال در پاییز ۲۰۱۷ گوگل اعلام کرد که از این پس همه صفحات که از ارتباط HTTP استفاده می کنند نا امن Not Secure علامت‌گذاری می شوند. تا مانع دسترسی کاربران به چنین صفحاتی شده و ضرورت استفاده از SSL روشن شود. این حرکت گوگل به طور موثر سایت‌های HTTP را وادار به خرید یک گواهی قابل‌اعتماد کرد. بر این اساس، تقاضا برای خدمات ثبت گواهی بالا گرفته شد و بسیاری از مقامات را وادار به سرعت بخشیدن در مراحل بازبینی کرد که تاثیر منفی بر کنترل کیفیت داشت. نتیجه آن بر این شد که امروزه گواهی‌نامه‌های قابل‌ اعتماد ممکن است برای وبسایت‌هایی صادر شود که کاملا قابل‌ اعتماد نیستند. یک مطالعه گوگل نشان داد که یکی از بزرگ‌ترین و معتبرترین CA ها، بیش از ۳۰۰۰۰ گواهی‌نامه را بدون بررسی انجام داده‌است. همچنین موزیلا قصد دارد تایید گواهی ها را در مرورگرهای خود سختگیرانه تر کند.