TLS (Transport Layer Security) A TLS protokoll egyszerűen elmagyarázta - IONOS

Az Internet kezdeteiben az adatbiztonsági kérdések nem voltak olyan fontosak, mint manapság. Minden kommunikációt nyílt és titkosítatlan módon továbbítottak az egyik számítógépről a másikra. Úgy gondolhat rá, mint egy képeslapra: bármelyik postás el tudja olvasni.

A TLS protokoll - más néven SSL/TLS - bevezette a Az átvitt tartalom titkosítása a. Az említett összehasonlításhoz ragaszkodva ez a titkosítás egy lezárt borítéknak felel meg, amelyet csak a jogos címzett nyithat meg.

1. Mi a TLS?
2. Hogyan működik a TLS?
3. A TLS előnyei és hátrányai
4. A TLS alkalmazási területei
5. A TLS megvalósításai
6. Ismert TLS támadások

Mi a TLS?

A TLS rövidítés jelentése Transport Layer Security, ami fordításban "Szállítási réteg biztonsága". Ez a megnevezés a TCP/IP modell "szállítási rétegére" utal. A TLS a Az internetes adatfolyamokat titkosító folyamat, hogy csak az arra jogosult címzettek olvashassák el őket. A korábbi név SSL (Secure Socket Layer) volt; mivel ezt a rövidítést még mindig jobban ismerik TLS néven, a TLS-re gyakran kettős névvel "SSL/TLS" hivatkoznak.

Hogyan működik a TLS?

A TLS titkosítja az összes TCP-n keresztül feldolgozott adatforgalmat szimmetrikus titkosítási módszerrel.

Ami a gyakorlatban egyszerűnek hangzik, a valóságban bonyolultabb. Az alapvető probléma az, hogy a szervernek meg kell adnia az ügyfélnek a kulcsot - mielőtt a kommunikáció TLS-sel biztosított volna. Aki titkosított levélmellékleteket küld, tudja ezt a problémát: Titkosít egy fájlt, és meg kell adnia a címzettnek a titkos jelszót, pl. B. telefonon.

A TLS protokoll a következő eljárást használja a probléma megoldására:

1. Amikor az ügyfél - például egy webböngésző - kapcsolatba lép a webszerverrel, először elküldi neki a tanúsítványát. Ez az SSL-tanúsítvány bizonyítja, hogy a szerver hiteles, és nem úgy tesz, mintha hamis identitás lenne.
   
2. Az ügyfél ellenőrzi a tanúsítvány érvényességét, és véletlenszerű számot küld a szervernek, titkosítva a nyilvános kulcs (Nyilvános kulcs).
   
3. A kiszolgáló ebből a véletlenszerű számból állítja elő Munkamenet kulcsa (Session Key), amellyel a kommunikációt titkosítani kell. Mivel a véletlenszerű szám az ügyféltől származik, az utóbbi biztos lehet abban, hogy a munkamenetkulcs valóban a címzett szervertől származik.
   
4. A szerver elküldi a munkamenet kulcsát az ügyfélnek, nevezetesen titkosított formában. Ezt a titkosítást a Diffie-Hellmann kulcscserével hajtják végre.
   
5. Most mindkét fél biztonságosan elküldheti adatait a session kulccsal.

Az ok, amiért az aszimmetrikus titkosítást csak a munkamenetkulcs átvitelére használják (de nem maguk az adatfolyamok titkosítására), a sebesség előnye; az aszimmetrikus titkosítás viszonylag lassú, és késleltetné az adatkommunikációt.

A TLS előnyei és hátrányai

A TLS elegáns megoldás a webes forgalom biztonságosabbá tételéhez. Mert nem követeli meg a két féltől a tartalom benyújtását - pl. B. Formanyomtatvány - titkosítsa magát. Ehelyett elegendő, ha a forgalmat a TLS protokollon keresztül irányítják, függetlenül az érintettek operációs rendszerétől és szoftveralkalmazásaitól. Ezután az összes adatfolyam automatikusan titkosításra kerül az átvitel során.

A biztonság ára valamivel lassabb kapcsolatot létesít, mivel a fent leírt folyamatlépések - tanúsítvány, véletlenszám, kulcscsere - számításigényesek.

A TLS alkalmazási területei

Mint említettük, a TLS univerzálisan használható, mivel független az alkalmazásoktól és az operációs rendszerektől. Ennek megfelelően létezik egy TLS-védett verzió sok alkalmazásprotokollhoz. A névadási séma nagyon egyszerű: Az "S" betűt a protokoll neve után kell elhelyezni, ha a protokoll TLS használatával kommunikál.

A TLS legfontosabb alkalmazási területe a világháló, pontosabban a HTTP protokoll. Titkosított változatát ún HTTPS.

Ezenkívül meg kell említeni a következő gyakran előforduló felhasználási eseteket:

• POP3S: E-mailek lekérése a szerverről a POP3 protokoll használatával
• IMAPS: A bejövő levelek szinkronizálása a szerverrel az IMAP protokoll használatával
• SMTPS: Emaileket küld
• FTPS: Fájlátvitel FTP protokollon keresztül
• SIPS: Voice-over-IP telefonálás SIP protokoll használatával
• IRCS: Titkosított csevegések

Az OpenVPN, a virtuális magánhálózat (VPN) beállítására szolgáló ingyenes szoftver, szintén a TLS protokollt használja.

A TLS megvalósításai

A TLS fontos megvalósításai:

• OpenSSL - messze a legtöbb HTTPS-webhelynél alkalmazott megvalósítás
• GnuTLS (Free Software Foundation)
• LibreSSL (OpenBSD)
• (Hálózati biztonsági szolgáltatások)
• UnalmasSSL (Google)
• Cryptlib (Peter Gutmann)
• Felajánlott (BSD licenc, Jack Lloyd)
• JSSE (Java Secure Socket kiterjesztés, Oracle)
• S2n (Amazon)

Ez a lista nem teljes. Az angol nyelvű Wikipédia részletes információkat nyújt a TLS megvalósításáról .

Ismert TLS támadások

A TLS szintén nem biztonságos a támadásoktól és a szivárgásoktól. A támadás ismert pontjai a következők:

• Programozási hiba: A Heartbleed Bug, az OpenSSL korábbi verzióinak végzetes hibája híressé vált. 2014-ben javították.
• Gyenge titkosítás: Az Egyesült Államok rejtjelezési exportkorlátozásainak eredményeként olyan "exportálható" verziókat fejlesztettek ki, amelyeket könnyebb feltörni, mint az eredetieket.
• Tömörítési támadások: Ha a TLS-tömörítés helyett HTTP-tömörítést használnak, akkor a hackerek bizonyos módszerekkel kitalálhatják a TLS-titkosított tartalmat.
• A BEAST támadás a TLS 1.0 verzióra vonatkozott, és már 2014-ben leírták. A jelenlegi TLS verziók ettől biztonságban vannak.
• A Padding Oracle támadás 2002-ben fedezték fel, és az SSL 3.0 verzióig volt lehetséges. A jelenlegi TLS 1.3-as verziót ez nem érinti.

Ezen kívül törekedtek a teljesen biztonságos TLS titkosítás megakadályozására, hogy a hatóságok megtekinthessék a titkosított kommunikációt, pl. B. pénzügyi tranzakciókkal és bűncselekményekkel kapcsolatban. Az egyik olyan szervezet, amely megpróbált ilyen "előre meghatározott töréspontot" létrehozni a TLS számára, az ETSI (European Telecommunications Standards Institute) volt.

---