Hur webbläsning blir ännu säkrare

Annons

Mängden personlig information som vi delar på nätet har vuxit exponentiellt sedan 1994, inledningen av SSL-protokollet (Secure Sockets Layer).

Internet är fylld med lösenfraser Varför lösenfraser är fortfarande bättre än lösenord och fingeravtryckKommer du ihåg när lösenord inte behövde vara komplicerade? När PIN-koder var lätt att komma ihåg? De dagarna är borta och cyberbrottsrisker innebär att fingeravtrycksskannrar är nästan värdelösa. Det är dags att börja använda lösenord ... Läs mer , kreditkortsuppgifter och onlinebankuppgifter 6 vanliga skäl till varför du ska banka online om du inte redan är [yttrande]Hur brukar du göra din bank? Kör du till din bank? Väntar du i långa rader bara för att sätta in en check? Mottar du månadsvis pappersuppgifter? Arkiverar du bort dem ... Läs mer . Vi har SSL-certifikat att tacka för vår säkerhet och integritet. Men du har antagligen hört talas om de senaste bristerna som har gjort ett förtroende för kryptografiskt protokoll.

Lyckligtvis anpassar sig SSL, uppgraderas och byts ut för att ge dig bättre sinnesfrid. Här är hur.

Vad är SSL ändå?

Låt oss börja med exakt vad SSL är Vad är ett SSL-certifikat och behöver du ett?Att surfa på internet kan vara skrämmande när personlig information är inblandad. Läs mer .

SSL-certifikat är digitala godkännandedokument som kan erhållas av en organisation eller enskild person som driver en webbplats som behandlar känslig information. Det säkerställer att data kan transporteras säkert mellan webbservern och webbläsaren, att denna information inte har fångats upp och dess källor är äkta.

Kolla till exempel Amazon. Titta på URL: n, och i stället för en typisk HTTP-adress (HyperText Transfer Protocol), borde du vara det omdirigeras till en HTTPS Vad är HTTPS och hur man aktiverar säkra anslutningar per standardSäkerhetsproblem sprider sig vida och vida och har nått framstegen i de flesta allas sinne. Termer som antivirus eller brandvägg är inte längre konstigt ordförråd och förstås inte bara, utan används också av ... Läs mer - det extra "S" betyder att det är en säker länk HTTPS överallt: Använd HTTPS istället för HTTP när det är möjligt Läs mer , och du är säker på att betala för varor via webbplatsen. Hotmail, WordPress och till och med Tumblr använder SSL-certifikat.

Det är bra för konsumenten (som vet att deras data behandlas på ett ansvarsfullt sätt) och för säljaren (som inte bara drar nytta av köparnas förtroende, utan också blir högre rankade av Google).

Ingenting är emellertid ofelbar, och några få SSL-brister som blivit utsatta inom bara det senaste året vittnar om det. Tack och lov blir webbläsning säkrare igen ...

TLS-uppgraderingar

Du kanske har sett SSL och Transport Layer Security (TLS) användas omväxlande, och även om skillnaderna kanske är subtila förblir de anmärkningsvärda.

Båda använder samma system för kryptering av data, och konfererar med certifikatutfärdaren (CA) innan de ansluter. TLS är dock SSL: s efterträdare, så det är anfört att TLS skulle vara säkrare. Faktum är att dess tre inkarnationer - TLS 1.0, 1.1 och 1.2 - stryker ut några av de sårbarheter som finns i SSL-metoden.

TLS 1.3 har funnits sedan 2008, men eftersom bristerna i de tidigare versionerna ansågs så miniscule de skulle inte påverka "verkliga världen" situationer, det har tagits tills mycket nyligen för sin massa genomförande. Faktiskt, tillbaka 2013, verkade det som att även National Security Agency (NSA) inte riktade domäner som kör TLS-protokoll eftersom så få faktiskt använde det. Men nu har ett mandat från PCI Security Council tvingat en webbplats som överför eller bearbetar korthållarinformation till uppgradering.

Dessutom stöder alla större webbläsare - Google Chrome, Microsoft Edge, Safari, Firefox och Opera - TLS 1.2 som standard, så att krypteringsnivån säkerställs av båda parter. Observera dock att mandatet verkar enbart gälla för betalningsinformation, inte inloggningsinformation.

Kryptering överallt

Att uppgradera certifikat är bara användbart om det är allmänt antaget, och det är inte fallet. Alla e-handelssajter behöver säkerhetspraxis, och majoriteten borde verkligen ha SSL eller TLS. Många förlitar sig på skyddet av betalningsprocessorer från tredje part, som PayPal (det verkar vara ett kryphål i PCI Security Council-mandatet), men om en webbplats accepterar privat information bör den använda ett säkert lager.

Om din anslutning inte är privat kan data inklusive e-postadress och lösenord vid inloggning förvärvas av hackare. Och eftersom de flesta människor tenderar att använda samma lösenord De 7 vanligaste taktik som används för att hacka lösenordVad hör till dig när du hör "säkerhetsbrott"? En ondskapsfull hackare? Något källarboende barn? Verkligheten är att allt som behövs är ett lösenord och hackare har 7 sätt att få ditt. Läs mer på flera webbplatser (trots alla varningar 7 lösenordsfel som sannolikt kommer att bli hackadDe värsta lösenorden för 2015 har släppts och de är ganska oroande. Men de visar att det är absolut viktigt att stärka dina svaga lösenord, med bara några enkla justeringar. Läs mer ), det kan vara viktig information.

Ändå använder många webbplatser inte SSL-protokoll eftersom det kan vara kostsamt och det kan vara komplicerat. Det är där Symantecs Encryption Everywhere-program kommer in.

Det amerikanska säkerhetsföretaget erbjuder en freemium-tjänst, varigenom certifikatet erhålls helt kostnadsfritt, med uppgraderingar (som skadlig programskanning) tillgängliga till en kostnad. Partnerskap med värdföretag tar komplexiteten ur webbplatsadministratörernas händer, medan automatiserade uppdateringar effektiviserar processen för att hantera eventuella ytterligare sårbarheter.

Detta är i försök att få 100% säkerhetslager användning till 2018, så vi förväntar oss att det kommer att antas av de flesta webbplatser mycket snart.

Låt oss kryptera

Men vänta! Symantec är inte den enda som strävar efter SSL / TLS-kryptering på webben.

Låt oss kryptera verkar köra vågen av nyare brister; lanserades för allmänheten i december 2015, och projektet har redan många stora internationella sponsorer inklusive Google Chrome, Mozilla, Facebook, Shopify, YunPian och Akamai. Drivs av Internet Security Research Group (ISRG), Let's Encrypt har den här månaden utfärdat mer än 5 miljoner certifikat och projicerar 50% HTTPS-sidbelastningar i slutet av detta år.

Varför låter vi kryptera bli populärt? Helt enkelt som det är gratis och automatiserat, vilket betyder att det är oerhört enkelt för webbplatser att få certifikat och uppgraderingar.

Initiativet börjar med ett nytt privat nyckelpar och bevis på domänägaren till CA; när detta har verifierats med hjälp av ACME-protokollet (Automated Certificate Management Environment) kan webbplatsens programvara signera certifikathanteringsmeddelanden med nyckeln för att förnya och återkalla certifikat, eller skapa nya för samma domän.

Vi har precis utfärdat vårt 5 miljoner certifikat!

- Låt oss kryptera (@letsencrypt) 17 juni 2016

Let’s Encrypt är utan tvekan det mest kända projektet som erbjuder gratis certifikat, och mellan dessa stora program verkar det verkligen vara en pålitlig orsak.

Konvergens

Du kan dock desillusioneras av SSL-certifikat.

Deras rykte har skadats under de senaste åren: de flesta har åtminstone hört talas om Heartbleed Heartbleed - Vad kan du göra för att hålla dig säker? Läs mer , en sårbarhet i krypteringsbiblioteket med öppen källkod, OpenSSL, som gör det möjligt för hackare att läsa okrypterad information. Heartbleed påverkade många tjänster Gräva genom hypen: Har hjärtat verkligen skadat någon? Läs mer , men det var det två år sedan Fem kränkningar mot din integritet 2014 som du kan ha missatMånga publikationer uppmärksammades i kändisernas privata liv 2014, ett år där rampljuset också lyste på allmänheten. Kan vi lära oss något av dessa överträdelser? Läs mer och en fix är tillgänglig. Men sedan förra året, det var Superfish Lenovo bärbara datorer Se upp: Din enhet kan ha förinstallerat skadlig programvaraDen kinesiska datortillverkaren Lenovo har medgett att bärbara datorer som skickades till butiker och konsumenter i slutet av 2014 hade skadlig programvara förinstallerats. Läs mer , skadlig programvara som gjorde HTTPS-moot; det här också, har lappats Superfish har ännu inte fångats: SSL-kapring förklaradeLenovos malware Superfish orsakade en rörelse, men historien är inte över. Även om du har tagit bort adware från din dator finns samma sårbarhet i andra onlineapplikationer. Läs mer .

Och den är inte begränsad till din dator heller: din smartphone-appar påverkas 1 000 iOS-appar har förkrossande SSL-fel: Hur man kontrollerar om du påverkasAFNetworking-felet ger problem med iPhone- och iPad-användare, med 1000-tal appar med en sårbarhet som resulterar i SSL-certifikat från att autentiseras korrekt, vilket möjliggör identitetsstöld genom man-i-mitten attacker. Läs mer av SSL-brister också.

Konvergens är då ett webbläsartillägg som många blandar med ett system som ersätter SSL-certifikat; men mer än någonting är det nästa steg för CA. I grund och botten, i stället för att lita på en CA som garanterar en webbplatss äkthet, vänder sig konvergens till notaritjänster för att intyga webbplatsens säkerhet.

Du besöker en HTTPS-adress. Det finns tre huvudresultat: alla notarier håller med om att det är säkert, i vilket fall använder du webbplatsen; inte alla håller med, men du kan gå med majoriteten eller avvisa webbplatsen eftersom du inte litar på notariuserna det do ansvara för det; eller i extrema fall håller de flesta eller alla notarieierna med om att det inte är att lita på. På det sättet finns det ingen enda punkt för misslyckande.

Tänk på det här sättet: det är en konvergens av åsikter om huruvida en användare kan lita på HTTPS.

Hur blir Internet säkrare?

Varför hänvisar vi fortfarande till dem som SSL-certifikat? Visst skulle de vara TLS-certifikat? #ssl#tls#MostBrowsersDontDoSSLAnymore

- Chris Pont (@chrispont) 7 juni 2016

I ett nötskal: SSL-certifikaten som verifierar webbplatser uppgraderas till TLS, viktigast av allt på domäner som PayPal som behandlar betalningsinformation. Dessa rullas ut en massa, med målet att använda 100% HTTPS-användning under de närmaste åren. Även CA: s omprövas och konvergenstillägget verkar vara ett solid skede i att verifiera hur tillförlitlig en webbplats är genom att förlita sig på notarier om att komma överens.

Ger dessa åtgärder dig förtroende för SSL igen? Gör du känna sätter du in betalningsinformation online? Vilka ytterligare säkerhetsprotokoll skulle du vilja se i stort implementerade?

Bildkrediter: HTTPS (WeTransfer) av Christiaan Colen; och https av Sean MacEntee.