Secure socket Layer  يا SSL پرتكلي است كه بوسيله Netscape براي انتقال پرونده هاي خصوصي روي اينترنت بوجود آمده است. SSL توسط يك كليد شخصي كار مي كند، تا اطلاعات انتقالي در اينترنت را براي شما پنهان كند. هر دو مرورگر اينترنت اكسپلورر و  فایرفاکس از  SSL پشتيباني مي كنند. و بسياري از سايتهاي از اين پروتكل استفاده مي كنند، تا از اطلاعات محرمانه كاربران (مانند اطلاعات كارت اعتباري) نگهداري كنند.

آدرس سايتهايي كه نياز به SSL دارند بايد به صورت https به جاي http باشد. يك پرتكل ديگر براي انتقال مطمئن اطلاعات روي شبكه جهاني وب secure http يا s-http است. به طوريكه SSL يك ارتباط مطمئن بين يك كاربر و سرور ايجاد مي كند. و هر اطلاعاتي را مي توان با آن منتقل كرد. ولي s-http طراحي شده است تا پيام هاي شخصي را به طور ايمن انتقال دهد. بنابراين SSL و s-http را مي توان به عنوان مكمل يكديگر در نظر گرفت، تا رقيب يكديگر. هر دو پرتكل بوسيله IETF (كه مخفف Internet Engineering Task Force است) به عنوان استاندارد تصويب شده است.

SSL چیست؟

(SSL یا Secure Socket Layer) راه‌حلی جهت برقراری ارتباطات ایمن میان یك سرویس‌دهنده و یك سرویس‌گیرنده است كه توسط شركت Netscape ارایه شده است. در واقع SSL پروتكلی است كه پایین‌تر از لایه كاربرد (لایه 4 از مدل TCP/IP) و بالاتر از لایه انتقال (لایه سوم از مدل TCP/IP) قرار می‌گیرد. (شكل 1)

 

       

الگوریتم‌های رمزنگاری پشتیبانی شده درSSL

در استانداردSSL ،  از اغلب الگورتیم‌های عمومی رمزنگاری و مبادلات كلید (Key Exchcenge Algorithm) نظیر DES ،DSA ،KEA ، MD5، RC2،RC4، RSA و RSA Key Exchauge ،SHA-1 ،Skipjack و 3DES پشتیبانی می‌شود و بسته به این‌كه نرم‌افزارهای سمت سرویس‌دهنده و سرویس‌دهنده نیز از موارد مذكور پشتیبانی نمایید، ارتباطاتSSL  می‌تواند براساس هر كدام این از الگوریتم‌ها صورت ‌پذیرد. البته بسته به طول كلید مورد استفاده در الگوریتم و قدرت ذاتی الگوریتم می‌توان آن‌ها را در رده‌های مختلفی قرار دارد كه توصیه می‌شود با توجه به سناریوهای موردنظر، از الگوریتم‌های قوی‌تر نظیر 3DES با طول كلید 168 بیت برای رمزنگاری داده‌ها و همچنین الگوریتم 1-SHA برای مكانیزم‌های تأیید پیغام 5 MD استفاده شود و یا این‌كه اگر امنیت در این حد موردنیاز نبود، می‌توان در مواردی خاص از الگوریتم رمزنگاری 4 RC با طول كلید 40 بیت و الگوریتم تأیید پیغام 5 MD استفاده نمود. (شكل 2 )

نحوه عملكرد داخلی پروتكلSSL 

همان‌طور كه می‌دانید SSL می‌تواند از تركیب رمزنگاری متقارن و نامتقارن استفاده كند. رمزنگاری كلید متقارن سریع‌تر از رمزنگاری كلیدعمومی است و از طرف دیگر رمزنگاری كلید عمومی تكنیك‌های احراز هویت قوی‌تری را ارایه می‌كند. یك جلسه SSL Session) SSL) با یك تبادل پیغام ساده تحت عنوان SSL Handshake شروع می‌شود. این پیغام اولیه به سرویس‌دهنده این امكان را می‌دهد تا خودش را به سرویس‌دهنده دارای كلید عمومی معرفی نماید و سپس به سرویس‌گیرنده و سرویس‌دهنده این اجازه را می‌دهد كه یك كلید متقارن را ایجاد نمایند كه برای رمزنگاری‌ها و رمزگشایی‌ سریع‌تر در جریان ادامه مبادلات مورد استفاده قرار می‌گیرد. گام‌هایی كه قبل از برگزاری این جلسه انجام می‌شوند براساس الگوریتم RSA Key Exchange عبارتند از:
1- سرویس‌گیرنده، نسخه SSL مورد استفاده خود، تنظیمات اولیه درباره نحوه رمزگذاری و یك داده تصادفی را برای شروع درخواست یك ارتباط امن مبتنی بر SSL به سمت سرویس‌دهنده ارسال می‌كند.
2- سرویس‌دهنده نیز در پاسخ نسخه SSL مورد استفاده خود، تنظیمات رمزگذاری و داده تصادفی تولید شده توسط خود را به سرویس‌گیرنده می‌فرستد و همچنین سرویس‌دهنده گواهینامه خود را نیز برای سرویس‌گیرنده ارسال می‌كند و اگر سرویس‌گیرنده از سرویس‌دهنده، درخواستی داشت كه نیازمند احراز هویت سرویس‌گیرنده بود، آن را نیز از سرویس‌گیرنده درخواست می‌كند.
3- سپس سرویس‌گیرنده با استفاده از اطلا‌عاتی كه از سرویس‌دهنده مجاز در خود دارد، داده‌ها را بررسی می‌كند و اگر سرویس‌دهنده مذكور تأیید هویت شد، وارد مرحله بعدی می‌شود و در غیراین‌صورت با پیغام هشداری به كاربر، ادامه عملیات قطع می‌گردد.
4- سرویس‌گیرنده یك مقدار به نام Premaster Secret را برای شروع جلسه ایجاد می‌كند و آن را با استفاده از كلید عمومی (كه اطلاعات آن معمولاً در سرویس‌دهنده موجود است) رمزنگاری می‌كند و این مقدار رمز شده را به سرویس‌دهنده ارسال می‌كند.
5- اگر سرویس‌دهنده به گواهینامه سرویس‌گیرنده نیاز داشت می‌بایست در این گام برای سرویس‌دهنده ارسال شود و اگر سرویس‌گیرنده نتواند هویت خود را به سرویس‌دهنده اثبات كند، ارتباط در همین‌جا قطع می‌شود.
6- به محض این‌كه هویت سرویس‌گیرنده برای سرویس‌دهنده احراز شد، سرویس‌دهنده با استفاده از كلید اختصاصی خودش مقدار Premaster Secret را رمزگشایی می‌كند و سپس اقدام به تهیه مقداری به نام Master Secret می‌نماید.
7- هم سرویس‌دهنده و هم سرویس‌گیرنده با استفاده از مقدار master Secret كلید جلسه (Session Key) را تولید می‌كنند كه در واقع كلید متقارن مورد استفاده در عمل رمزنگاری و رمزگشایی داد‌ه‌ها حین انتقال اطلاعات است و در این مرحله به نوعی جامعیت داد‌ها بررسی می‌شود.
8- سرویس‌گیرنده پیغامی را به سرویس‌دهنده می‌فرستد تا به او اطلاع دهد، داده بعدی كه توسط سرویس‌گیرنده ارسال می‌شود به وسیله كلید جلسه رمزنگاری خواهد شد و در ادامه، پیغام رمز شده نیز ارسال می‌شود تا سرویس‌دهنده از پایان یافتن Handshake  سمت سرویس‌گیرنده مطلع شود.
9- سرویس‌دهنده پیغامی را به سرویس‌گیرنده ارسال می‌كند تا او را از پایان Handshake سمت سرویس‌دهنده آگاه نماید و همچنین این‌كه داده بعدی كه ارسال خواهد شد توسط كلید جلسه رمز می‌شود.
10- در این مرحله SSL Handshake تمام می‌شود و از این به بعد جلسه SSL شروع می‌شود و هر دو عضو سرویس‌دهنده و گیرنده شروع به رمزنگاری و رمزگشایی و ارسال داده‌ها می‌كنند.  (همانند شكل 2)

حملا‌ت تأثیرگذار برSSL

SSL نیز از حملا‌ت و نفوذهای مختلف در امان نیست. بعضی از حملا‌ت متداولی كه براین پروتكل واقع می‌شود عبارتند ازTraffic Analysis : یا تحلیل ترافیك، حملا‌تCut ِ Paste بلووین، حملا‌ت Certification Injection و حملا‌ت از نوع Man in the middle.
   

مزایای گواهینامه SSL  چیست؟

امروزه مرورگرها از تکنیکی به نام SSL (Secure Socket Layer) استفاده می کنند تا اطلاعاتی را که بین مرورگر شما و وب سرور مبادله می شود، رمزنگاری کنند. هنگامی که علامت#قفل# در گوشه پایین مرورگر نمایش داده می شود، به این معنی است که مرورگر ارتباط رمزشده امن با سرور برقرار کرده است و لذا ارسال دیتای حساس مانند شماره کارت اعتباری امن است. اما آیا واقعا این سیستم امن است و می توان از این طریق با اطمینان تراکنشهای حساس مالی را رد و بدل کرد؟

Secure Socket Layer یا همان SSL یک تکنولوژی استاندارد و به ثبت رسیده برای تامین ارتباطی امن مابین یک وب سرور و یک مرورگر اینترنت است. این ارتباط امن از تمامی اطلاعاتی که ما بین وب سرور و مرورگر اینترنت ( کاربر) انتقال میابد , محافظت میکند تا در این انتقال به صورت محرمانه و دست نخورده باقی بماند

SSL یک استاندارد صنعتی است و توسط ملیونها وب سایت در سراسر جهان برای برقراری امنتیت انتقال اطلاعات استفاده میشود. برای اینکه یک وب سایت بتواند ارتباطی امن از نوع SSL را داشته باشد نیاز به یک گواهینامه SSL دارد. 

Secure Socket Layer یا همان SSL یک تکنولوژی استاندارد و به ثبت رسیده برای تامین ارتباطی امن مابین یک وب سرور و یک مرورگر اینترنت است. این ارتباط امن از تمامی اطلاعاتی که ما بین وب سرور و مرورگر اینترنت ( کاربر) انتقال میابد , محافظت میکند تا در این انتقال به صورت محرمانه و دست نخورده باقی بماند

. SSL یک استاندارد صنعتی است و توسط ملیونها وب سایت در سراسر جهان برای برقراری امنتیت انتقال اطلاعات استفاده میشود. برای اینکه یک وب سایت بتواند ارتباطی امن از نوع SSL را داشته باشد نیاز به یک گواهینامه SSL دارد.

عملیات اینترنتی خود را امن کنید

امروزه مرورگرها از تکنیکی به نام SSL (Secure Socket Layer) استفاده می کنند تا اطلاعاتی را که بین مرورگر شما و وب سرور مبادله می شود، رمزنگاری کنند. هنگامی که علامت #قفل# در گوشه پایین مرورگر نمایش داده می شود، به این معنی است که مرورگر ارتباط رمزشده امن با سرور برقرار کرده است و لذا ارسال دیتای حساس مانند شماره کارت اعتباری امن است. اما آیا واقعا این سیستم امن است و می توان از این طریق با اطمینان تراکنشهای حساس مالی را رد و بدل کرد؟

پاسخ این است که SSL فقط ارتباط بین مرورگر شما و وب سرور را امن می کند و برای محافظت از اطلاعات شما در آن سرور کاری انجام نمی دهد. در شرکت های بزرگ که می توانند سرورها و خطوط ارتباطی با ظرفیت های بالا را اختصاصی و برای ارتباط مستقیم تهیه کنند، تا جایی که شما بتوانید به شرکت اعتماد کنید، مشکلی ایجاد نخواهد شد. اما بسیاری از شرکت های کوچک تر توانایی تهیه سرور اختصاصی را ندارند. آنها از #میزبانی شخص ثالث# استفاده می کنند و این جایی است که عدم امنیت بوجود می آید.

 شما مجبورید به میزبانی که هیچ شناختی از آن ندارید، اطمینان کنید و به ایمن بودن نحوه دریافت اطلاعاتتان از آن میزبان توسط شرکت مورد نظرتان اعتماد کنید. اما تضمینی برای ایمن بودن این ارتباط نیست!

نمایش قفل امنیت SSL

پیچیده گیهای یک پروتکل SSL برای کاربران شما پوشیده است لیکن مرورگر اینترنت آنها در صورت برقراری ارتباط امن , وجود این ارتباط را توسط نمایش یک قفل کوچک در پایین صفحه متذکر میشود.

و در هنگامی كه شما روی قفل كوچك زرد رنگی كه در پایین صفحه IE نمایش داده میشود دوبار كلیك میكنید باعث نمایش گواهینامه شما به همراه سایر جزئیات می شود.

گواهینامه های SSL تنها برای شرکتها و اشخاص حقیقی معتبر صادر میشوند. به طور مثال یک گواهینامه SSL شامل اطلاعاتی در مورد دامین , شرکت , آدرس , شهر , استان , کشور و تاریخ ابطال گواهینامه و همینطور اطلاعاتی در مورد مرکز صدور گواهینامه که مسؤول صدور گواهینامه میباشد.

زمانیکه یک مرورگر اینترنت به یک سایت از طریق ارتباط امن متصل میشود , علاوه بر دریافت گواهینامه SSL (کلید عمومی) , پارامترهایی را نظیر تاریخ ابطال گواهینامه , معتبر بودن صادرکننده گواهینامه و مجاز بودن سایت به استفاده از این گواهینامه نیز بررسی میکند و هرکدام از موارد که مورد تایید نباشد به صورت یک پیغام اخطار به کاربر اعلام میدارد.