Securizează-ți site-ul web cu Let's Encrypt!

Publicat: 2016-11-22

Let's Encrypt este o inițiativă care oferă o modalitate gratuită și automată de a securiza traficul HTTP al site-ului dvs. web. Configurarea HTTPS securizat a fost întotdeauna un proces implicat și suntem bucuroși să sprijinim orice efort care face întregul proces mai simplu și mai simplu pentru oameni.

În general, pentru a activa HTTPS pe site-ul dvs., trebuie să obțineți un certificat de securitate de la o Autoritate de Certificare (CA). O autoritate de certificare este considerată o terță parte de încredere care poate verifica identitatea unui site web pentru vizitatorii dvs. Certificatul de securitate (numit și certificat SSL) este instalat pe serverul web și oferă două funcții: a) criptează tot traficul HTTP dintre site-ul dvs. și vizitatorii dvs. b) autentifică identitatea site-ului dvs., astfel încât vizitatorii dvs. să știe că sunt nu vizitând unul fals.

Securizarea identității site-ului dvs. și a traficului de vizitatori este avantajul evident aici, dar mai sunt și câteva care necesită explicații suplimentare.

Înainte de Let's Encrypt, trebuia să alegeți tipul de certificat dorit, un proces care era puțin confuz pentru utilizatorii care nu erau familiarizați cu sistemele de chei publice, apoi trebuia să vă generați cheile, să semnați o Cerere de generare a certificatului și, în final, să cheltuiți o sumă considerabilă de bani pentru a cumpăra unul.

Stai, dar ce este SSL?

Secure Sockets Layer sau SSL este un protocol criptografic care securizează comunicarea unei rețele. Acesta asigură confidențialitatea comunicării, ceea ce înseamnă că datele schimbate între două părți sunt criptate și nu pot fi ascultate de o terță parte. De asemenea, autentifică identitatea părților care comunică, de obicei serverul, prin utilizarea certificatului SSL pe care l-am menționat mai devreme.

Cum poți spune dacă un site web este sigur?

Site-urile web care sunt securizate prin SSL sunt ușor de identificat prin câteva lucruri:

Există o pictogramă de lacăt verde lângă adresa URL (în funcție de browserul pe care îl utilizați)
Adresa URL începe cu https în loc de http.

Cu toate acestea, certificatele SSL au și o dată de expirare. Când această dată a trecut, comunicarea nu mai este sigură, iar certificatul trebuie reînnoit. Puteți verifica cu ușurință dacă certificatul SSL al site-ului dvs. web este expirat sau nu făcând mai întâi clic pe pictograma lacăt și, în funcție de browserul pe care îl utilizați, faceți următoarele:

În Firefox, faceți clic pe butonul săgeată din dreapta, apoi pe linkul Mai multe informații . În cele din urmă, faceți clic pe butonul Vizualizare certificat de sub fila Securitate pentru a vedea detaliile certificatului.

Dacă utilizați Chrome, faceți clic pe linkul Detalii , apoi pe butonul Vizualizare certificat din fila Prezentare generală a securității .

În secțiunea Perioada de valabilitate , există două date legate de certificat. Eliberat pe și expiră pe . Prima este data la care certificatul a fost activat, în timp ce a doua este data expirării acestuia. Dacă data expiră a trecut, certificatul trebuie reînnoit și comunicarea nu mai este sigură!

De ce să-ți pese de SSL?

Ei bine, există o serie de motive! Securizarea comunicației dintre site-ul dvs. și vizitatorii dvs., autentificarea identității site-ului dvs., asigurarea integrității datelor între browser și serverul web și chiar obținerea unui rang SEO mai ridicat.

Comunicarea securizată și identitatea autentificată sună a lucruri frumoase, dar de ce vă protejează site-ul? Conceptul ar putea părea nebulos pentru unii. În realitate, cei doi lucrează împreună în lupta împotriva uneia dintre cele mai clasice metode de atac documentate în securitatea computerelor. Atacul „om-in-the-middle” (sau prescurtat, MitM).

Să presupunem că avem un site web operat de Alice, care este vizitat de Bob (atacul funcționează și pe diferite servicii, nu doar pe site-uri web). Până acum, bine. Apoi, există acest tip rău numit Charles (băieții răi din securitatea computerelor sunt de obicei numiți Charles dintr-un anumit motiv. Vin în minte martini uscate și ascunzători secrete.)

Charles, folosind o serie de tehnici diferite, care sunt prea complexe pentru a fi abordate în acest articol, preia controlul canalului de comunicare dintre Alice și Bob. El stă liniștit și invizibil, între ei.

Când Bob vizitează site-ul lui Alice, el crede că trimite și primește date de la Alice. În realitate, datele pe care le trimite trec prin Charles, care, la rândul său, le transmite lui Alice (asigurându-vă înainte de a face asta fie pentru a le stoca, fie pentru a le modifica într-o manieră răutăcioasă). Când site-ul lui Alice răspunde, datele trec din nou de la Charles la Bob. Este exact ca și cum ai avea o interceptare puternică. Pe lângă faptul că poate stoca date sensibile, cum ar fi e-mail-uri, parole și cărți de credit, Charles poate chiar să uzurpe identitatea unor porțiuni din site-ul lui Alice sau din sesiunea de navigare a lui Bob.

Deci aici vedem unde vin în ajutor cei doi aliați SSL, identitatea autentificată și comunicarea sigură!

Când site-ul dvs. este protejat de SSL, atacurile Man-in-the-middle devin mult mai dificil de realizat. Când Bob se conectează la site-ul lui Alice, el primește certificatul serverului și îl validează în raport cu CA. După ce certificatul este validat, serverul și clientul fac schimb de informații suplimentare și apoi începe comunicarea datelor (cum ar fi ce tip de cifru vor folosi, proces numit handshaking). Dacă Charles ar încerca să se umble pe Alice trimițându-i lui Bob propria sa cheie publică, nu ar merge prea departe. În interiorul certificatului, există un șir de date numit semnătură digitală, care asigură integritatea fișierului. Dacă se modifică vreo parte a certificatului, semnătura se schimbă și.
Deci, dacă Charles ar încerca să schimbe cheia publică, CA ar respinge certificatul și îl va notifica pe Bob (deoarece semnătura digitală calculată de CA nu s-ar potrivi cu cea actuală de pe certificat). Deoarece Charles nu are cheia privată a lui Alice, nu poate decripta comunicarea. Singura modalitate prin care Charles poate face orice este să încerce să compromită și serverele CA.

Dar, pe lângă faptul că te protejează de băieții răi care beau martini, îți îmbunătățește și clasarea SEO! Potrivit unei postări pe blogul Google Webmasters de Zineb Ait Bahajji și Gary Illyes, HTTPS este folosit ca semnal de clasare:

„ Am văzut rezultate pozitive, așa că începem să folosim HTTPS ca semnal de clasare. Deocamdată este doar un semnal foarte ușor. Dar, în timp, este posibil să decidem să-l consolidăm, deoarece am dori să încurajăm toți proprietarii de site-uri web să treacă de la HTTP la HTTPS pentru a menține toată lumea în siguranță pe web. „

În plus, din septembrie, blogul Google Security a anunțat că browserul Chrome va începe să eticheteze în mod explicit site-urile web drept „Nesigure”. Acest lucru se face într-un efort de a „trece către un web mai sigur” și de a crește gradul de conștientizare a utilizatorilor.

Cum funcționează totul?

Până acum am vorbit despre certificatele SSL și despre cât de importante sunt acestea în furnizarea de securitate și autentificare a identității. În această secțiune ne vom sufleca mânecile și vom intra în chestiile esențiale!

SSL funcționează folosind un sistem numit infrastructură de cheie publică (sau PKI, pentru sortare).
PKI este un sistem de securitate computerizat utilizat pentru a rezolva problema modului de comunicare în siguranță printr-o rețea nesigură. Mai simplu spus, dacă Alice și Bob doresc să comunice în siguranță prin Internet, trebuie să schimbe o cheie de criptare de vreun fel. Dar dacă fac asta și cineva care se află între ei și deține un computer primește cheia respectivă, va putea citi toate comunicările viitoare! (s-ar putea să nu fie o persoană de tip Charles; administratorii de sistem, datorită naturii muncii lor, au acces și la toate datele text simplu care trec prin serverele lor).

Aceasta poate părea o problemă paradoxală, dar se rezolvă prin utilizarea nu numai a uneia, ci a unei perechi de chei. Un public și unul privat:

Alice și Bob își schimbă cheile publice . Deoarece acestea sunt publice, pot fi trimise printr-o rețea nesigură fără nicio grijă. De fapt, postarea lor în public este destinația lor!
Apoi, Alice criptează mesajul pe care dorește să-l trimită lui Bob folosind cheia ei privată cu cheia publică a lui Bob .
Bob primește mesajul și îl decriptează folosind cheia sa privată cu cheia publică a lui Alice .

Cheile private sunt de obicei stocate local pe computerul dvs. (sau pe unitatea USB, sau undeva unde știți că sunt în siguranță). Indiferent cine vă citește e-mailul sau comunicarea în rețea, ei vor primi doar un text cu aspect deformat fără cheia dvs. privată.

Un alt aspect util al criptării cu chei publice este noțiunea de semnătură digitală. Am menționat-o mai devreme, când Charles încerca să modifice certificatul.
Când Alice îi trimite un mesaj lui Bob, îl poate semna digital folosind cheia ei privată. Acest lucru asigură că mesajul este într-adevăr trimis de Alice și nu de altcineva. Semnătura digitală este în realitate un șir lung de numere hexazecimale care se calculează folosind informațiile certificatului. Chiar dacă un octet se modifică în certificat, semnătura digitală se va schimba și ea, iar CA o va respinge.

Un certificat SSL este pur și simplu un fișier de date care este instalat pe un sistem (de obicei pe un server web) și funcționează în același mod. Criptează comunicarea și asigură identitatea unei entități (în cazul nostru, un site web). Acesta conține informații precum:

numele proprietarului certificatului
Adresa de e-mail
durata de valabilitate
numele de domeniu complet calificat al serverului web
cheia publică a proprietarului
o semnătură digitală care garantează că certificatul nu a fost modificat în niciun fel.

Folosește toate aceste informații pentru a asocia eficient o entitate/organizație cu acel sistem.

Există două moduri de a elibera un certificat. Primul este să îl semnați singur (autosemnat), în timp ce al doilea este să îl achiziționați printr-o Autoritate de Certificare (de încredere).

Care este diferența dintre un certificat autosemnat și un certificat de încredere?

Un certificat autosemnat oferă același nivel de criptare ca unul de încredere, dar nu garantează identitatea proprietarului. Este folosit mai ales pentru testare sau într-o infrastructură de rețea locală unde nu este nevoie urgentă de a avea un proprietar legat de un sistem.

Pe de altă parte, un certificat de încredere oferă atât criptarea, cât și autentificarea identității. Certificatul este emis de o terță parte (CA) care verifică identitatea proprietarului certificatului folosind o serie de verificări ale antecedentelor.

Deci, aceasta înseamnă că trebuie să aveți încredere în CA. Ce se întâmplă dacă este una necinstită și de unde se poate ști?

Acest lucru se poate întâmpla cu siguranță și s-a întâmplat în trecut de multe ori. Deoarece aceasta este într-adevăr o chestiune de încredere, singura soluție este să vă asigurați că CA pe care o utilizați este o organizație cunoscută și stabilită, respectabilă. CA-urile percepe bani pentru emiterea certificării (de obicei, de la 10 USD la sume de trei cifre), dar nu ar trebui să cadă în capcana de a crede că un CA scump înseamnă mai multă încredere și siguranță!

Cum să vă securizați SSL site-ul folosind Let's Encrypt

Există multe modalități de a genera un certificat Let's Encrypt și de a-l instala pe serverul dvs. web. Procesul depinde de dacă veți lucra sau nu dintr-un shell Unix, de ce tip de server web rulați etc. Îndreptați browserul către pagina de început a Let's Encrypt pentru a afla mai multe informații.

Dacă sunteți un client existent al Pressidium, lucrurile nu ar putea fi mai ușoare!
Mai întâi, conectați-vă la contul dvs. Pressidium Portal:

Faceți clic pe fila Certificate SSL .
Faceți clic pe butonul Generați un certificat gratuit Let's Encrypt .
Selectați site-ul web pe care doriți să fie instalat certificatul alegându-l din meniul derulant Instalați Let's Encrypt .
În cele din urmă, faceți clic pe butonul Creați și instalați certificat SSL și ați terminat!

Pentru a testa dacă SSL este activat pe site-ul dvs., deschideți browserul și vizitați adresa URL a site-ului dvs. utilizând https în adresă. Dacă browserul dvs. afișează semnul familiar de lacăt securizat, înseamnă că sunteți în afaceri!

Noul dvs. certificat Let's Encrypt are un interval de timp de 90 de zile, dar se va reînnoi automat. De asemenea, puteți gestiona și instala propriile certificate achiziționate de pe Portal. Citiți această postare din baza de cunoștințe pentru a afla totul despre asta!

Securitatea este un proces, nu o soluție la cheie

Adevărul greu este că nu poți pur și simplu să cumperi ceva sau să instalezi un software și să uiți de el și să crezi că ai rezolvat cu succes toate problemele de securitate. Securitatea computerelor este un puzzle uriaș care implică mecanisme tehnice, politici, computere și, mai ales, oameni și psihologie umană! Trebuie să obțineți corect toate piesele puzzle-ului și să vă ocupați continuu de el. Este un proces și nu o soluție la cheie.

Factorul uman este ceva care a fost exploatat din nou și din nou de utilizatori răuvoitori. Susținem 100% orice inițiativă care urmărește să informeze, să furnizeze instrumente și să sensibilizeze publicul cu privire la problemele de securitate pe internet. În postările viitoare vom aborda aspectele de securitate WordPress mai profund și mai amănunțit. WordPress este folosit de oameni și corporații pentru a oferi valoare și mâncare pe masă pentru mulți. Incidentele de securitate nu mai sunt legate de deteriorarea site-urilor web și graffiti cibernetic, dar afectează în mod tangibil viața altora. Și acesta este ceva pe care îl luăm foarte în serios.