Az SSL és a TLS rövid története

SSL és TLS - mi a különbség és mit kell figyelembe venni?
Az SSL-t eredetileg a Netscape fejlesztette ki, és 1995-ben indult az SSL 2.0-val

Windows Server

Szerző: GMO GlobalSign

Az internetbiztonság időnként úgy olvas, mint a levesek levelei - SSL, TLS, ECC, SHA -, a listát tovább lehet folytatni. Ezek a rövidítések mindazonáltal zavart okozhatnak, amikor megpróbálják kitalálni, mire van valójában szüksége. Talán az egyik leggyakoribb kérdés: Mi a különbség az SSL (Secure Socket Layer) és a TLS (Transport Layer Security) között? Tudják, hogy meg akarja védeni a webhelyét (vagy a kommunikáció más formáját). De ehhez SSL kell? TLS? Mindkét?

Az SSL és a TLS egyaránt titkosítási protokoll, amely hitelesítést és adat titkosítást biztosít a szerverek, számítógépek és a hálózaton működő alkalmazások (például egy webkiszolgálóhoz csatlakozó kliens) között. Az SSL az előfutára a TLS-nek. Az évek során a protokollok új verziói jelentek meg a biztonsági rések megszüntetése, valamint az erősebb, biztonságosabb titkosító csomagok és algoritmusok támogatása érdekében.

Az SSL-t eredetileg a Netscape fejlesztette ki, és 1995-ben indult SSL 2.0-val (az 1.0-t soha nem adták ki a nyilvánosság számára). A 2.0-s verziót 1996-ban gyorsan lecserélte az SSL 3.0, miután számos biztonsági rést találtak. Megjegyzés: A 2.0 és 3.0 verziókat néha SSLv2 és SSLv3 néven írják.

A TLS-t 1999-ben vezették be az SSL új verziójaként, és az SSL 3.0-n alapult:

A protokoll és az SSL 3.0 közötti különbségek nem drámai, de elég nagyok ahhoz, hogy a TLS 1.0 és az SSL 3.0 ne működjenek együtt. "A TLS jelenleg az 1.2-es, az TLS-1.3-as verzió pedig a tervezési fázisban van.

Használjon SSL-t vagy TLS-t?
Az IETF elutasította az SSL 2.0-t és a 3.0-t is (2011, illetve 2015). Az évek során biztonsági réseket fedeztek fel és fedeznek fel a már eldobott SSL protokollok (pl. POODLE, DROWN). A legtöbb modern böngésző a webszervereket régi protokollokkal jelöli meg a felhasználó számára, például áthúzott biztonsági zárral vagy https-sel az URL-sorban vagy más biztonsági figyelmeztetésekkel. Ezen okok miatt tiltsa le az SSL 2.0 és 3.0 szerver konfigurációját, és csak a TLS protokollokat hagyja engedélyezve.

A tanúsítványok nem azonosak a protokollokkal
Mielőtt bárki aggódni kezdene a meglévő SSL-tanúsítványok TLS-tanúsítványokkal való cseréje miatt, fontos megjegyezni, hogy a tanúsítványok nem támaszkodnak protokollokra. Ez azt jelenti, hogy nem kell TLS-tanúsítványt használnia SSL-tanúsítvány helyett. Bár sok gyártó hajlamos az "SSL/TLS tanúsítvány" kifejezést használni, egy kicsit pontosabb hivatkozni az "SSL és TLS tanúsítványok használatára" kifejezésre. A protokollokat és nem magukat a tanúsítványokat az adott kiszolgáló konfigurációja határozza meg.

Valószínűleg továbbra is látni fogja az SSL-tanúsítványoknak nevezett tanúsítványokat, mivel ez az a kifejezés, amelyet több ember egyszerűen ismer most. A TLS kifejezés azonban az iparágban egyre inkább elterjedt. Az SSL/TLS a jelenlegi kompromisszum.

Az SSL 2.0 és 3.0 letiltása
Ha nem biztos abban, hogy a szerverei továbbra is támogatják-e az SSL protokollokat, akkor ezt könnyen ellenőrizheti egy ehhez hasonló SSL szerverteszthez hasonló tesztelővel. A GlobalSign Server Test eredményei megjelölik az összes engedélyezett protokollt, de nem szabad.

Az SSL 2.0 és 3.0 kikapcsolására vonatkozó utasítások olyan általános szervertípusokon, mint az Apache, az NGINX és a Tomcat, megtalálhatók dedikált támogatási cikkünkben.

Tehát mi a különbség az SSL és a TLS között? Őszintén szólva nem különösebben nagy. A kiszolgáló konfigurációjában a különbség a sérülékenységekben, az elavult titkosító csomagokban és a böngésző biztonsági figyelmeztetéseiben rejlik. Ha a szervereiről van szó, akkor csak a TLS protokollokat kell engedélyeznie. (GMO GlobalSign: ra)

regisztrált: 16.07.17
Kezdőlap és hírlevél futása: 16.08.16

GMO GlobalSign: elérhetőség és profil

Az információszolgáltató rendelkezik kapcsolattartója sajnos még nincs aktiválva.

Üzenetek: Tippek és tippek

Az egyre növekvő megfelelési követelmények és az európai irányelvek, például a GDPR vagy a kritikus infrastruktúrákra vonatkozó NIS-irányelv már jelentősen előremozdították a kiberbiztonsági intézkedések végrehajtását a vállalatoknál. A vállalatok azonban gyakran csak a minimumkövetelményeket teljesítik - míg a támadóknak széleskörű és kifinomult lehetőségei vannak a vállalati hálózatokhoz való hozzáféréshez. A hackerek középpontjában a közepes méretű vállalatok állnak, például a feldolgozóiparban vagy az egészségügyi szektorban: A ransomware támadásokkal a kiberaktorok megbéníthatják az egész gyártósort, vagy offline állapotba hozhatják a kórházakat. Különösen ezekben az ágazatokban a támadás utáni kár különösen nagy, mivel óriási gazdasági következményekkel jár, és sok embert érint. A hackerek számára különösen érdekesek azok a közepes méretű vállalatok, amelyek gazdaságilag sikeresek, ugyanakkor nem rendelkeznek ugyanazokkal az átfogó biztonsági intézkedésekkel, mint a nagy, tőzsdén jegyzett társaságok.

A számítástechnikai bűnözők hamis számlákkal támadják egyre inkább a németországi gyártó cégeket. Erre jött rá a Proofpoint. A támadók hamis számlákat küldenek, amelyeket csaliként használnak, vagy az e-mail tartalmaz egy linket egy webhelyre, ahol a hamis dokumentum letölthető. A dokumentumokat a távoli hozzáférésű trójai NanoCore fertőzte meg. A Proofpoint szerint a mellékletek tömörített futtatható fájlt tartalmaznak (".Z" kiterjesztéssel), míg a rosszindulatú linkek arra késztetik a címzettet, hogy töltse le az onedrive.live.com webhelyen tárolt rosszindulatú programot.

A Guardicore biztonsági ajánlásokat fogalmaz meg a Windows Server R2, a Windows Server 2008 és a Windows 7 támogatásának befejezéséről. 2020. január 14-től a Microsoft operációs rendszereinek felhasználói már nem kapnak ingyenes biztonsági frissítéseket és online frissítéseket. A biztonság szempontjából fontos frissítések nélkül az érintett informatikai rendszerek már nincsenek védve az újonnan felfedezett gyenge pontok ellen. Az említett operációs rendszerek egy része már több mint egy évtizedes, de a becslések szerint a Windows Server 2008/2008 R2 önmagában még mindig szinte minden harmadik szerveren működik világszerte. Sok szervezet nem tud frissíteni az operációs rendszer legújabb verzióira, mert bonyolult jogi és tanúsítási követelmények vonatkoznak rájuk, vagy egyszerűen nincs meg a szükséges költségvetés. Áthidaló megoldásokra van tehát szükség - az időigényes migrációs folyamatok kísérésének érdekében is.

Az e-mail az első számú kommunikációs eszköz. A vállalatoknak kötelességük foglalkozni az e-mail biztonságával, mivel mind belső, mind külsőleg kommunikálnak. Szinte minden nap hallhatók az adatsértések és az adatlopások: az idegenek hozzáférnek a vállalati belső rendszerhez - sajnos bizonyos esetekben nagyon könnyen -, és hozzáférnek vagy manipulálják az adatokat. Az egyszerű, titkosítatlan e-mailek tehát alapvető kockázatot jelentenek: hasonlóak egy képeslaphoz, amelynek tartalmát bárki elolvashatja. "Mivel ha az e-maileket sem digitálisan nem írják alá, sem titkosítják, akkor a tartalmat nemcsak kémkedni lehet, hanem manipulálni is. Mivel az ilyen típusú támadások általában nem láthatók vagy nem észlelhetők, az e-mail biztonság sajnos csökken Mint korábban, gyakran elhanyagolták. Milyen gyakran és ki olvassa az e-maileket, senki sem láthatja "- figyelmeztet Patrycja Tulinska, a PSW Group ügyvezető igazgatója.

Látogasson el a SaaS-Magazin.de oldalra

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>

Ingyenes hírlevél

Minden munkanap tájékoztat az IT SecCity.de, a Compliance-Magazin.de és a SaaS-Magazin.de oldalakról. Hozzáférés három online folyóirathoz egy hírlevéllel. Itt Rendeljen

Műszaki cikk

Az e-mailes támadásokra adott válaszok hatékonysága évente dollármilliárdokba kerül. Számos szervezet számára az e-mail fenyegetések felkutatása, azonosítása és eltávolítása lassú, kézi és erőforrásigényes folyamat. Ennek eredményeként a támadásoknak gyakran van ideje elterjedni az egész szervezetben, és további károkat okozhatnak. A Verizon szerint a legtöbb adathalász kampány csak 16 percet vesz igénybe, amíg valaki rosszindulatú linkre kattint. Ha azonban egy eseményre kézzel reagálunk, a vállalatoknak körülbelül három és fél órába telik a válaszadás. Sok esetben ekkorra már elterjedt a támadás, amely további vizsgálatot és ellenintézkedéseket igényel.

Az eredeti aláírás évszázadokig hasonlított a de facto szabványra a legkülönfélébb szerződéses dokumentumok és különféle megállapodások legális aláírására. Több mint egy évtizeddel ezelőtt egyre több üzleti tevékenységet és ezzel együtt a kapcsolódó folyamatokat helyezték át az internetre. Lehet, hogy eltartott egy ideig, de a digitális átalakulás korával a papír alapú dokumentumok kézírásos aláírásai eltűnni kezdenek, és a digitális aláírások világszerte egyre elfogadottabbá válnak.

Függetlenül attól, hogy induló vagy vállalat: Az együttműködési eszközök a német vállalatoknál is rendkívül népszerűek. Különösen könnyen integrálhatók az egyes munkafolyamatokba, és különböző végberendezéseken használhatók. A Slack jelenleg az egyik legelterjedtebb együttműködési eszköz világszerte. A felhőalkalmazás azonban olyan kihívást jelent az adatbiztonság szempontjából, amelyet csak speciális felhőbiztonsági megoldásokkal lehet megbízhatóan elsajátítani. Néhány év alatt a Slack egy viszonylag ismeretlen felhőalkalmazásból a világ egyik legnépszerűbb csapat-együttműködési megoldásává nőtte ki magát. Diadaluk a legtöbb vállalatnál gyakran egy árnyék alkalmazással kezdődik, amelyet kezdetben csak az egyes vállalat-belső munkacsoportok használnak. Innentől kezdve ez gyorsan a legnépszerűbb együttműködési eszközzé válik a szervezet egészében.

A közelmúltban az automatizált adathalász támadások hirtelen jelentősen megnőttek. A mesterséges intelligenciának (AI), a gépi tanulásnak és a big data-nak köszönhetően a tartalom sokkal meggyőzőbb és a támadás módszertana rendkívül pontos. Ezeknek a támadásoknak nincs sok közös vonása a hagyományos adathalász támadásokkal. Míg az informatikai vezetők az AI segítségével a biztonságot egy újabb szintre emelik, magabiztosan el lehet gondolkodni azon, mi történik, ha ez a technológia rossz kezekbe kerül, a rossz fiúk? Az Internet fejlődése és a számítástechnika fejlődése lehetővé tette számunkra, hogy komplex problémákra is pontos megoldásokat találjunk. Az asztrofizikától a biológiai rendszereken át az automatizálásig és a pontosságig. Mindezek a rendszerek azonban eredendően kiszolgáltatottak a számítógépes fenyegetéseknek. Különösen a rohanó világunkban, ahol az innovációk jönnek és mennek, a kiberbiztonságnak továbbra is a középpontban kell lennie. Különösen, ha a tárgyak internete (IoT) által generált adatáradatról van szó. A rosszindulatú programok azonosítása nagyban támaszkodott bizonyos fájl-aláírások felismerésére. Vagy szabályalapú rendszerek, amelyek feltárják a hálózati anomáliákat.