SSL چیست؟ ضرورت استفاده از گواهینامه SSL

urlfa.com

‌SSL مخفف Secure Socket Layer به معنی «لایه اتصال امن» و پروتکلی (مجموعه ای از قوانین) جهت برقراری ارتباطات ایمن میان سرویس دهنده و سرویس گیرنده در اینترنت است.امروزه اینترنت به یکی از ارکان ارتباطی بین افراد و سازمان ها تبدیل شده است. بسیاری از ما روزانه اطلاعاتی از این طریق می‌گیریم یا می‌فرستیم. این اطلاعات از نظر اهمیت با هم تفاوت زیادی دارند. برخی از این اطلاعات مانند اخبار یک سایت اهمیت امنیتی چندانی ندارند، اما در طرف دیگر اسناد شخصی مثل ایمیل‌ها، رمز حساب های بانکی و … قرار دارند که دوست نداریم به دست دیگران بیافتند.
اطلاعاتی که در حالت عادی بین کاربران و دنیای اینترنت رد و بدل می‌شوند، به گونه ای هستند که یک هکر یا خراب کار حرفه ای می‌تواند آنها را ببیند و برای اهداف خود مورد سواستفاده قرار دهد. مثلا در یک خرید اینترنتی، زمانی که قصد دارید برای پرداخت به حساب بانکی خود وارد شوید، سایت از شما رمزعبور می‌خواهد. حال اگر سایت مورد نظر فاقد برنامه های امنیتی لازم باشد، ممکن است اطلاعات شما در میانه راه بدون آنکه متوجه شوید، دزدیده شوند و اگر بد شانس باشید چند روز بعد که به حساب تان سر می‌زنید آن را خالی شده می‌یابید.

اما احتمال این اتفاق بسیار اندک است، زیرا اکثر حساب های بانکی و سایت هایی از این قبیل که با اطلاعات حساس و مهم در ارتباط اند، معمولا از روش هایی برای رمزگذاری (Encrypt) اطلاعات استفاده می‌کنند. در این حالت اگر اطلاعات در میان راه دزدیده شوند جای نگرانی نخواهد بود، زیرا شکستن رمز آنها تقریبا غیرممکن است.

اطلاعات معمولاً کی و کجا دزدیده می شوند؟

زمانی که آدرس یک سایت را در مرورگر وارد می‌کنیم اطلاعات بین کامپیوتر ما و کامپیوتری که سایت روی آن قرار دارد (سرور) در حال رد و بدل هستند. پس اگر بتوانیم به طریقی ارتباط بین کامپیوتر خود و کامپیوتر سرور را امن کنیم اطلاعات ما دزدیده نخواهند شد.

اطلاعات در اینترنت چگونه جابجا می شوند؟

اطلاعات در اینترنت – درست مثل فرستادن یک نامه- به صورت فایل های متنی جابجا می شوند. همان طور که یک نامه از زمانی که در صندوق پست گذاشته می‌شود تا زمانی که به صاحبش می‌رسد در دست افراد مختلفی قرار می‌گیرد، به همان صورت نیز اطلاعات ما توسط سیستم های زیادی دست به دست می‌شود تا به سایت یا شخص مورد نظر می‌رسد. اگر اطلاعات به صورت عادی فرستاده شوند، هر کدام از سیستم های بین راه می‌توانند آنها را ببینند. پس برای جلوگیری از خوانده شدن و سرقت احتمالی، باید آنها را رمزگذاری کرد. با یک مثال مسئله را روشن تر می‌کنم. فرض کنید می‌خواهید برای نامزد خود یک نامه بنویسید. اما دوست ندارید افراد خانواده او بتوانند آن نامه را بخوانند. یکی از راه ها این است که نوشته ها را به رمز بنویسید، رمزی که فقط نامزدتان از آن سر در بیاورد! در اینترنت هم برای اینکه هکرها نتوانند اطلاعات را بفهمند، آنها را به رمز در می‌آورند. یکی از بهترین و متداول ترین روش‌های رمز گذاری اینترنتی، استفاده از پروتکل اس ال ال است.

اس اس ال چیست؟

از این پروتکل برای امن کردن پروتکل های غیرامن نظیرHTTP ،LDAP ، IMAP و … استفاده می‌شود. بر این اساس یکسری الگوریتم های رمزنگاری بر روی داده های خام که قرار است از یک کانال ارتباطی غیرامن مثل اینترنت عبور کنند، اعمال میشود و محرمانه ماندن داده‌ها را در طول انتقال تضمین می‌کند.

به بیان دیگر شرکتی که صلاحیت صدور و اعطاء گواهی های دیجیتال اس اس ال را دارد، برای هر کدام از دو طرفی که قرار است ارتباطات میان شبکه‌ای امن داشته باشند، گواهی‌های مخصوص سرویس دهنده و سرویس گیرنده را صادر می‌کند و با مکانیزم های احراز هویت خاص خود، هویت هر کدام از طرفین را برای طرف مقابل تأیید می‌کند. البته علاوه بر این تضمین می‌کند، اگر اطلاعات حین انتقال به سرقت رفت، برای رباینده قابل درک و استفاده نباشد که این کار را به کمک الگوریتم های رمزنگاری و کلیدهای رمزنگاری نامتقارن و متقارن انجام می‌دهد.

ملزومات ارتباط بر پایه اس اس ال

برای داشتن ارتباطات امن مبتنی بر اس اس ال عموماً به دو نوع گواهی دیجیتال اس اس ال، یکی برای سرویس دهنده و دیگری برای سرویس گیرنده و یک مرکز صدور و اعطای گواهینامه دیجیتال (Certificate authorities) نیاز است. وظیفه CA این است که هویت طرفین ارتباط، نشانی ها، حساب های بانکی و تاریخ انقضای گواهینامه را بداند و براساس آن ها هویت ها را تعیین نماید. رمزنگاری
رمزنگاری (Cryptography) علم به رمز در آوردن (encryption) اطلاعات است. توضیح روش های بسیار پیچیده ای که امروزه برای رمزنگاری استفاده می‌‌شود از حوصله این مطلب خارج است، اما برای رفع ابهام، در زیر به یکی از ساده ترین روش های رمزنگاری می‌پردازیم:
می‌دانیم که هر حرف در الفبا جایگاهی دارد. مثلا حرف «الف قبل از ب» و «حرف م قبل از ن» قرار دارد.
حال، اگر بخواهید یک جمله را به رمز در آورید. در ساده ترین شکل ممکن، هر حرف را با حرف بعدی خود در الفبا جایگزین می‌کنید.
یعنی به جای «الف» حرف «ب»، به جای «ب» حرف «پ»، … ، به جای «ه» حرف «ی» و به جای حرف «ی» حرف «الف» را می‌گذارید.
با این کار می توان جمله «بابا آب داد» را به جمله بی معنی «پبپب بپ ذبذ» تبدیل کرد که اگر فردی کلید رمز را نداشته باشد، به هیچ وجه از آن سر در نمی آورد.

اس اس ال چگونه کار می کند؟

اس اس ال در واقع پروتکلی است که در آن ارتباطات بوسیله یک کلید، رمزگذاری (Encryption) می‌شوند. زمانی که قرار است یکسری اطلاعات را به صورت اس اس ال به یک سایت که سرور (server) اش گواهی نامه اس اس ال را دارد (در آدرس سایت https است) ارسال شود. ابتدا باید از یک کلید به عنوان قالبی برای به رمز در آوردن اطلاعات بین خدمات گیرنده (کاربر) و خدمات دهنده (سرور) استفاده شود. برای ساخت این کلید نیاز به چند مرحله هماهنگی به شرح زیر است.

1. وقتی سروری بخواهد پروتکل اس اس ال را فعال کند. ابتدا یک کلید عمومی (Public Key) می‌سازد.
2. سپس کلید عمومی را همراه با یک درخواست گواهی نامه اس اس ال به یکی از صادرکنندگان این گواهی نامه ها مثل وریساین (Verisign) می‌فرستد.
3. وریساین نیز ابتدا مشخصات و میزان قابل اعتماد بودن و امنیت سرور را ارزیابی کرده و کلید عمومی را دوباره رمزگذاری می‌کند و برای سرور می‌فرستد تا در انتقال اطلاعات خود از آن استفاده کند. به کلید جدید کلید امنیتی (private key) می‌گویند.
4. حال هر زمان که کاربر بخواهد از طریق پروتکل اس اس ال به این سایت دست یابد، ابتدا کامپیوتر کاربر یک کلید عمومی برای سرور می‌فرستد (هر کامپیوتری کلید مخصوص به خود را دارد).
5. سرور نیز این کلید عمومی را با کلید امنیتی خود مخلوط کرده و از آن کلید جدیدی می‌سازد. سپس آن را به کامپیوتر کاربر میفرستد.
6. از این به بعد تمامی اطلاعاتی که بین کاربر و سرور جابجا می‌شوند با این کلید جدید رمز گذاری می‌شوند.

واضح است که نیازی به دانستن تمام این جزییات نیست و ما جهت رفع کنجکاوی آنها را آورده ایم. فقط این را بدانید که با استفاده از این سرویس اطلاعات کاملا رمزنگاری و باز کردن آنها تقریبا غیر ممکن است. تنها وظیفه شما به عنوان کاربر این است که از این امکانات استفاده کنید و پروتکل اس اس ال را در مرورگر، ایمیل و دیگر حساب های خود که سرور آن به شما این امکان را می‌دهد، فعال کنید.

اگر هم یک مدیر سرور هستید، سعی کنید گواهی نامه پروتکل اس اس ال را از صادرکنندگان آن مثل Verisign و Thawte خریداری و در اختیار بازدیدکنندگان خود بگذارید.

چگونه می توان مطمئن شد، یک سایت از اس اس ال استفاده می کند؟

این بخش بسیار ساده اما مهم و حیاتی است. برای این کار ابتدا وارد آن سایت شوید. زمانی که صفحه به طور کامل بارگذاری (load) شد، به ابتدای آدرس آن نگاه کنید. می‌بایست به جای http حروف https نوشته شده باشد (منظور از حرف s در پایان http عبارت secure است). البته در این حالت یک علامت قفل هم در مرورگر دیده می‌شود. جای این قفل در مرورگرهای مختلف متفاوت است. در فایرفاکس و اینترنت اکسپلورر در پایین و سمت راست صفحه، در نوار وضعیت (status bar) و در مرورگرهای سافاری، کروم و اپرا در سمت راست آدرس دیده می‌شود.

نکته جالب در خصوص این قفل کوچک این است که با دو بار کلیک کردن بر روی آن، می‌توانید مشخصات کامل گواهی اس اس ال سایت مورد نظر را ببینید. مهم‌ترین نکته در خصوص این اطلاعات تاریخ خرید و انقضای این گواهینامه است که باید به آن توجه داشته باشید.
حتی اگر اطلاعات چندان مهمی را رد و بدل نمی‌کنید، پیشنهاد می‌کنیم که از اس اس ال استفاده کنید. وقتی سرویسی با امنیت بالا و رایگان در اختیارتان قرار می‌گیرد، چرا از آن بهره نبرید؟ در زیر چند نمونه از روش های استفاده از این پروتکل را می‌توانید مطالعه کنید.

مرورگر

در فایرفاکس 3 پروتکل اس اس ال به صورت پیش فرض فعال است. البته برای فعال و غیر فعال کردن این امکان می‌توانید به روش زیر اقدام کنید:

از منوی Tools فایرفاکس، گزینه Options را انتخاب کنید. در پنجره باز شده از سربرگ Advanced بخش Encryption را باز کنید. می‌بینید که به صورت پیش فرض Use SSL 3.0 تیک خورده است.

Firefox > Tools > Options > Advanced > Encryption

چگونه اس اس ال ایمیل را فعال کنیم؟

اگر خواهان ارتباط ایمیلی امنی هستید، توصیه می‌کنیم از ایمیل شرکت گوگل که به اختصار جیمیل نامیده می‌شود، استفاده کنید. در پایین اطلاعات لازم برای فعال کردن پروتکل اس اس ال در جیمیل آورده شده است.

به جیمیل خود وارد شوید و در کادر بالا در سمت راست دکمه Setting را پیدا کنید (در سمت چپ کلمه Setting، نام جیمیل شما و در سمت راست آن کلمه Help نوشته شده است.). روی Setting کلیک کنید.

حساب های بانکی

در ایران همه بانک های ارائه دهنده خدمات بانکداری الکترونیک، از پروتکل اس اس ال استفاده می‌کنند. گفتیم که برای اطمینان از این موضوع کافی است در صفحات خدمات اینترنتی بانک خود که اطلاعات مهم (مثل حساب کاربری یا رمز ورود) را درج و ارسال می‌کنید، به آدرس نگاه کنید. باید https در ابتدای آدرس وجود داشته باشد. علاوه براین توصیه می‌شود با مراجعه به بانک تان، نحوه استفاده امن از خدمات اینترنتی شان را سؤال کنید.

در اینجا نگاهی اجمالی به وضعیت پروتکل اس اس ال در بانک ها ایران می‌اندازیم.

بانک های صادرات، ملی، ملت، تجارت، اقتصاد نوین، سامان، پارسیان، کشاورزی، صنعت و معدن، توسعه صادرات، پاسارگاد، سرمایه و پست بانک در سیستم خدمات اینترنتی خود از پروتکل اس اس ال استفاده می‌کنند.

البته بانکداری الکترونیک در ایران چندان هم امن نیست، برای مثال هنگام تألیف این مطلب ما در استفاده از سیستم بانک داری الکترونیک بانک های سپه و مسکن با SSL های منقضی شده روبرو شدیم.

لازم به ذکر است که هدف ما از بردن نام بانک ها فقط کمک به اگاهی و افزایش امنیت خوانندگان گرامی است. تا توجه بیشتری به امنیت ارتباطات خود داشته باشند.

به طور خلاصه همیشه به این موضوع توجه داشته باشید که ارتباطات شما در اینترنت توسط هکرها و کلاهبرداران قابل خواندن و سرقت است. مگر اینکه به صورت امن و رمزنگاری شده منتقل شوند.

بسیار مهم و حیاتی است که هنگام اتصال به سرویس های مهم مانند حساب‌های بانکی، ایمیل و اکانت های مهم تان از SSL استفاده کنید. بنابرای همیشه به ابتدای آدرس این سایت‌ها نگاه کنید و دقت کنید که روی حالتhttps باشند. در غیر این صورت شما نمیتوانید از امنیت ارتباطات خود اطمینان داشته باشید.

کروم Chrome و SSL

امنیت برای گوگل به‌عنوان یک غول جستجو و شرکتی که برای بقای خود به‌شدت به اینترنت وابسته است اهمیت فراوانی دارد؛ در نتیجه، این شرکت از نسخه 62 مرورگر خود موسوم به «کروم» برای همه وب‌سایت‌هایی که بدون داشتن گواهینامه SSL از هر نوعی از فرم‌های ثبت اطلاعات استفاده می‌کنند، هشداری را مبنی بر ناامن بودن آن‌ها برای کاربر نمایش می‌دهد. توجه داشته باشید که بر طبق نتایج یک تحقیق، 85 درصد از کاربران به بازدید از وب‌سایتی که امن نیست ادامه نمی‌دهند. بنابراین باید دقت کنید که اگر در وب‌سایتتان از هر نوعی از فرم استفاده می‌کنید، حتی فرم ثبت ایمیل یا فرم جستجو، باید گواهی SSL معتبر داشته باشید تا مرورگر کروم وب‌سایت شما را بدون مشکل برای کاربر نمایش بدهد. نکته دیگری که باید به آن توجه داشته باشید این است که اگر بخشی از محتوای وب‌سایتتان، مثلاً تصاویر یا ویدئوهای آن را در آدرس یا پلتفرم دیگری بارگذاری کرده‌اید، آن منبع نیز باید گواهی SSL داشته باشد و گواهی وب‌سایت شما قابل تسری به آن نیست. به‌طورکلی، فارغ از اینکه در کدام صفحه یا صفحات وب‌سایت شما فرم وجود دارد، بهتر است که گواهی SSL را برای کل سایتتان فعال کنید؛ چرا که وجود این اعتبارنامه می‌تواند برای سئوی شما نیز مزایایی داشته باشد که در قسمت بعد به شرح آن می‌پردازیم.

مزایای SSL

امروزه وجود SSL برای هر وب‌سایت و وبلاگ و به‌خصوص وب‌سایت‌های شرکتی از حالت گزینه درآمده و به یک ضرورت تبدیل شده است؛ چرا که مزایای غیرقابل انکاری دارد که اهمیت آن‌ها بر کسی پوشیده نیست، از جمله:

1. SSL از اطلاعات محافظت می‌کند

کار اصلی گواهی SSL حفاظت از اطلاعاتی است که در ارتباط بین کاربر با سرور رد و بدل می‌شود. با نصب SSL هر بیت از داده‌ها رمزگذاری خواهد شد؛ به زبان ساده، اطلاعات قفل می‌شوند و کلید بازگشایی این قفل فقط در اختیار دریافت کننده مورد نظر قرار دارد.SSL علاوه بر محافظت از اطلاعات حساسی مانند رمزهای عبور و اطلاعات کارت‌های بانکی، در مقابله با لشکر هکرها و خرابکاران اینترنتی نیز به شما کمک می‌کند. ازآنجایی‌که داده‌ها توسط SSL به یک فرمت غیرقابل خواندن تبدیل می‌شوند، مهارت‌های هکرها در برابر فناوری رمزگذاری بی‌همتای SSL به یک شمشیر بی لبه می‌ماند.

2. SSL هویت شما را تأیید می‌کند

دومین وظیفه اصلی گواهی SSL، تأیید اعتبار وب‌سایت است. تردیدی وجود ندارد که حجم تقلب و کلاه‌برداری در اینترنت به‌طور روزافزونی در حال افزایش است و بسیاری از مردم چه از نظر مالی و چه در ابعاد دیگر، با استفاده کردن از وب‌سایت‌های تقلبی متحمل خسارت‌های جبران‌ناپذیری شده و می‌شوند. هنگامی‌که می‌خواهید گواهی SSL نصب کنید باید وارد یک فرآیند اعتبارسنجی شوید که طی آن، بسته به نوع گواهینامه، هویت شما و سازمان متبوعتان سنجیده می‌شود. پس از تأیید اعتبار، وب‌سایت شما گواهینامه‌ای دریافت می‌کند که کاربر با توجه به آن می‌تواند مطمئن باشد که با همان کسی در تعامل است که باید باشد. البته توجه داشته باشید که همان‌طور که ذکر شد، هویت سنجی بسته به نوع گواهینامه‌ای که به دنبال دریافت آن هستید متفاوت خواهد بود؛ به‌عنوان مثال، برخی از صادرکنندگان گواهینامه‌های SSL، از جمله وب‌سایت‌های رایگانی مانند Let’s Encrypt زیاد در این رابطه مته به خشخاش نمی‌گذارند. لذا به ‌عنوان صاحب یک کسب‌وکار معتبر پیشنهاد می‌شود که از گواهینامه‌های معتبرتری استفاده کنید که هویت شما را نیز تأیید می‌کنند.

3. SSL پیش‌نیاز اصلی دریافت نماد اعتماد دوستاره است

یکی از روش‌های شناخته‌شده برای تأیید اعتبار صاحبان کسب‌وکارها و محل کارشان داشتن نماد اعتماد است. در واقع، امروزه اگر وب‌سایت کسب‌وکار شما نماد اعتماد نداشته باشد هیچ‌کس به آن اعتماد نخواهد کرد. در حال حاضر، نماد اعتماد در دو سطح یک ستاره و دوستاره اعطا می‌شود که تفاوت عمده این دو در ضرورت وجود یک گواهی SSL معتبر یک‌ساله برای دریافت نماد دوستاره است. دقت داشته باشید که با گواهی‌های رایگان نمی‌توانید نماد دوستاره دریافت کنید.

4. SSL باعث تقویت حس اعتماد مشتری می‌شود

امروزه مشتریانی که حتی اندکی از دنیای وب و مخاطرات آن آگاهند ابداً به وب‌سایت‌هایی که گواهی SSL ندارند اعتماد نمی‌کنند؛ چرا که علاوه بر مشکلات مرتبط با سرقت و افشای اطلاعات شخصی و بانکی که پتانسیل روی دادن آن‌ها برای این‌گونه وب‌سایت‌ها وجود دارد، نداشتن گواهی SSL به نوعی به معنای بی‌مبالاتی صاحب وب‌سایت و کسب‌وکار مربوطه نیز خواهد بود. طبیعتاً با توجه به رقابتی که امروزه در دنیای کسب‌وکار موج می‌زند، کسی از فروشنده‌ای که برای امنیت کسب‌وکار و مشتریان خود اهمیتی قائل نیست خرید نخواهد کرد.

5. SSL باعث بهبود رتبه شما در نتایج موتورهای جستجو می‌شود

آیا SSL برای سئو نیز مفید است؟ پاسخ به این سؤال مثبت است. علیرغم اینکه هدف از SSL ایمن‌سازی تبادل اطلاعات بین بازدیدکننده و وب‌سایت است، اما وجود گواهی SSL به‌عنوان یک امتیاز در مبحث سئو نیز محسوب می‌شود. بر طبق نتایج بررسی‌های تجربی انجام‌گرفته، یکی از مؤلفه‌های تأثیرگذار در الگوریتم رتبه‌بندی گوگل، وجود SSL است.علاوه بر این، گوگل نیز رسماً اعلام کرده است که اگر دو وب‌سایت از همه نظر با هم برابر باشند، اما یکی از آن‌ها گواهی SSL داشته باشد، احتمالاً در نتایج جستجو برای آن نسبت به دیگری اولویت قائل خواهد شد. در نتیجه، فعال‌سازی SSL در وب‌سایت و برای تمامی محتواهای داخل و خارج از آن به نفع سئوی سایت خواهد بود.

وردپرس WordPress و SSL: معرفی افزونه‌هایی برای نصب و مدیریت SSL در وردپرس

اگر برای مدیریت محتوای وب‌سایت خود از سیستم مدیریت محتوای وردپرس استفاده می‌کنید، افزونه‌های رایگان زیر می‌توانند در نصب و مدیریت SSL به شما کمک کنند:• Really Simple SSL: این افزونه نصب گواهی SSL خریداری شده را آسان می‌کند. Insecure Content Fixer: معمولاً کار شما پس از خریداری و نصب گواهی SSL کاملاً تمام نمی‌شود. اگر وب‌سایتتان حاوی ارجاعاتی به آدرس‌های http باشد که از طریق کدهای استاتیک ایجاد شده‌اند، هیچ بعید نیست که برخی از فایل‌ها همچنان از طریق آدرس http در صفحه بارگذاری شوند. در اینصورت پس از بارگذاری صفحه در کنار آدرس آن یک علامت هشدار درج خواهد شد. این افزونه در پیدا کردن و رفع چنین مشکلاتی به شما کمک می‌کند.• WP Force SSL: پس از آنکه گواهی را خریداری و نصب و مشکلات احتمالی را رفع و رجوع کردید، باید کاری کنید که کاربرانی که از لینک‌های حاوی http استفاده می‌کنند نیز به آدرس https انتقال داده شوند. این افزونه کل ترافیکی که به سمت وب‌سایت شما می‌آید را به آدرس https آن ارجاع می‌دهد تا همه کاربران فقط از حالت امن وب‌سایت استفاده کنند.

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *