Certyfikat SSL/TLS - bezpieczna transmisja danych na stronie

Co naprawdę zapewnia certyfikat SSL/TLS

Nazwa SSL pozostała w powszechnym użyciu, lecz współczesne połączenia realizuje protokół TLS. Certyfikat wiąże klucz publiczny z nazwą domeny i pozwala zestawić HTTPS, które chroni poufność oraz integralność danych w transmisji. Nie potwierdza, że sama aplikacja jest wolna od podatności.

DV, OV i EV - jaki certyfikat wybrać

Typ walidacji należy dopasować do celu, procesu zakupowego i wymagań kontrahenta. Każdy publicznie zaufany certyfikat może zapewnić szyfrowane połączenie, jeśli serwer jest poprawnie skonfigurowany. Różnica dotyczy przede wszystkim zakresu weryfikacji wnioskodawcy, a nie siły algorytmu szyfrującego.

• DV potwierdza kontrolę nad domeną i zwykle wystarcza dla wielu serwisów informacyjnych oraz automatycznego odnowienia.
• OV zawiera w procesie wydania weryfikację organizacji i bywa wymagany przez politykę dostawcy lub klienta enterprise.
• EV stosuje rozszerzoną weryfikację organizacji, ale nie należy opierać zaufania użytkownika wyłącznie na oznaczeniu w przeglądarce.
• Certyfikat wildcard upraszcza obsługę subdomen, lecz zwiększa znaczenie ochrony klucza prywatnego i kontroli wydawania.
• Dla wielu nazw domen użyj odpowiednich wpisów SAN w certyfikacie, automatyzacji odnowień przez ACME oraz wskazanej osoby odpowiedzialnej za cały proces.

Konfiguracja TLS ważniejsza niż sama obecność certyfikatu

Poprawny certyfikat nie pomoże, gdy serwer dopuszcza słabe protokoły, wysyła niepełny łańcuch albo część zasobów ładuje przez HTTP. Konfigurację trzeba oceniać jako całość i powtarzać test po zmianie reverse proxy, CDN, load balancera lub hostingu.

• Ustaw jedno bezpośrednie przekierowanie z HTTP na docelowy adres HTTPS i usuń zasoby ładowane przez HTTP na stronach HTTPS (mixed content).
• Pozostaw TLS 1.2 i TLS 1.3 z bezpiecznymi zestawami szyfrów oraz poprawną kolejnością certyfikatów pośrednich.
• Włącz HSTS dopiero po sprawdzeniu wszystkich subdomen i zaplanowaniu skutków długiego czasu max-age.
• Zabezpiecz klucz prywatny, ogranicz dostęp administracyjny i zaplanuj jego wymianę po podejrzeniu kompromitacji.
• Sprawdź mechanizm statusu unieważnienia stosowany przez wystawcę, np. CRL lub OCSP, oraz Certificate Transparency, datę wygaśnięcia i zgodność nazwy hosta.

HTTPS nie zastępuje ochrony aplikacji WWW

TLS chroni kanał transmisji, ale nie blokuje podatnej wtyczki, przejętego konta administratora, SQL injection, błędnej autoryzacji ani złośliwego kodu na serwerze. Strona potrzebuje kontroli warstwowych oraz procesu utrzymania, który wykrywa zmianę zanim wpłynie na klientów i reputację firmy.

Monitoring certyfikatu i dowody odbioru

Proces nie kończy się na wydaniu certyfikatu. Firma powinna wiedzieć, kto odpowiada za domenę, DNS, serwer, klucz i odnowienie. Alert musi pojawić się z wyprzedzeniem, a test po odnowieniu powinien objąć wszystkie publiczne nazwy oraz ścieżki krytyczne.

• Inwentaryzacja domen, subdomen, certyfikatów, wystawców, terminów ważności i właścicieli.
• Alerty o wygaśnięciu, błędzie łańcucha, zmianie wystawcy oraz nieoczekiwanym wpisie w logach CT.
• Test formularza, logowania, płatności, API i zasobów zewnętrznych po zmianie certyfikatu.
• Raport z wersji TLS, HSTS, nagłówków bezpieczeństwa, redirectów i błędów mixed content.
• Procedura awaryjnej wymiany certyfikatu i klucza bez długiego przestoju serwisu.

Powiązane obszary bezpieczeństwa strony

Certyfikat jest jednym elementem eksploatacji serwisu. Najlepszy efekt daje połączenie bezpiecznej konfiguracji serwera, testów aplikacji, ochrony ruchu i monitoringu dostępności.