تا حالا شده وارد یک سایت بشوید و مرورگر با اخم بگوید «امن نیست»؟ راستش را بخواهید، همین یک جمله کافیست تا کاربر بلافاصله دکمه ضربدر را بزند و برود پی کارش. خب تقصیر کیست؟ نبودن SSL.
در واقع، SSL مانند کارت شناسایی معتبر برای سایت شماست که هم هویت شما را تایید میکند و هم ارتباطی امن و رمزگذاریشده بین کاربر و سرور ایجاد مینماید. اگر هنوز نمیدانید SSL چیست، چرا مهم است، یا چه نوعش به دردتان میخورد، نگران نباشید. این مطلب درست همان نقطه شروعی است که لازم دارید.
گواهی SSL چیست؟
قبل از آنکه وارد جزئیات گواهی SSL شویم، بهتر است ابتدا بدانید SSL مخفف چیست؟ SSL مخفف Secure Sockets Layer است؛ پروتکلی که تضمین میکند دادههای شما هنگام ارسال، در دسترس افراد ناشناس قرار نگیرد.
گواهی SSL در واقع یک «کارت شناسایی دیجیتال» است که به دو سیستم کلاینت و سرور کمک میکند تا قبل از شروع ارتباط، مطمئن شوند طرف مقابل همان کسی است که ادعا میکند. بعد از این مرحله، ارتباط میان آنها با استفاده از پروتکل SSL بهصورت رمزنگاریشده برقرار میشود؛ یعنی رمز عبور، شماره کارت بانکی و هر داده مهم دیگری که ارسال میکنید، در مسیر بین شما و سایت بهطور کامل امن و رمزگذاریشده باقی میماند.
به زبان ساده، وقتی وارد یک سایت میشوید، خرید آنلاین میکنید یا به پنل کاربری خودتان سر میزنید، این پروتکل اطلاعات حساس شما را محافظت میکند.
این گواهی بخشی از سازوکار زیرساخت کلید عمومی (PKI) هستند؛ سیستمی که امکان اعتماد میان دو طرف را فراهم میکند، به شرط آنکه هر دو به یک نهاد معتمد مشترک؛ یعنی مرجع صدور گواهی (CA) اعتماد داشته باشند. به همین دلیل است که مرورگر شما هنگام باز کردن یک سایت امن، ابتدا گواهی آن را بررسی میکند تا مطمئن شود همهچیز واقعی و معتبر است.
تاریخچه SSL هم جالب است؛ این پروتکل بیش از ۲۵ سال پیش معرفی شد و در طول زمان نسخههای مختلفی از آن منتشر شد که برخی از آنها مشکلات امنیتی داشتند. بعدها نسخهای امنتر و بهبود یافته با نام TLS (Transport Layer Security) ارائه شد، اما با وجود تغییر نام، هنوز هم بسیاری به اشتباه آن را SSL مینامند. در واقع، TLS همان SSL مدرن است که ما امروز استفاده میکنیم.
گواهینامه SSL چگونه کار میکنند؟
SSL با استفاده از الگوریتمهای پیچیده رمزگذاری، اطلاعات شما را در مسیر انتقال محافظت میکند، تا هکرها نتوانند نام، آدرس، شماره کارت اعتباری یا سایر جزئیات حساس مالی شما را بدزدند.
فرآیند اتصال امن به این شکل انجام میشود:
- مرحله ۱: مرورگر شما یک پیام با عنوان ClientHello به سرور میفرستد. در این پیام، مرورگر مشخص میکند که چه نسخههای SSL/TLS و چه مجموعههای رمزنگاری را میتواند پشتیبانی کند.
- مرحله ۲: سرور پاسخ میدهد و پیام ServerHello را ارسال میکند. در این پیام، بالاترین نسخه SSL که هر دو طرف میتوانند از آن استفاده کنند و مجموعه رمزنگاری مناسب انتخاب میشود.
- مرحله ۳: سرور، گواهی دیجیتال خود را که توسط یک مرجع صدور گواهی (CA) معتبر تایید شده است، برای مرورگر ارسال میکند.
- مرحله ۴: مرورگر، گواهی سرور را بررسی و تأیید میکند. سپس با استفاده از کلید عمومی سرور، یک کلید موقت به نام Pre-master Secret ایجاد میکند و آن را به سرور ارسال میکند.
- مرحله ۵: سرور با استفاده از کلید خصوصی خود، Pre-master Secret را رمزگشایی میکند. از این لحظه به بعد، هر دو طرف از این کلید جلسه برای رمزگذاری متقارن دادهها استفاده میکنند و تمامی تراکنشها در یک ارتباط امن رد و بدل میشوند.
این فرآیند که به آن «SSL handshake» گفته میشود، شاید طولانی به نظر برسد؛ اما در چند میلیثانیه اتفاق میافتد.
وقتی یک وبسایت با گواهی SSL ایمن میشود، در URL آن عبارت HTTPS ظاهر میشود (HyperText Transfer Protocol Secure). بدون SSL، تنها HTTP دیده میشود و حرف S که نشاندهنده امنیت است، وجود ندارد. همچنین یک نماد قفل در کنار URL نمایش داده میشود که نشانه اعتماد و امنیت است و بازدیدکنندگان میتوانند با خیالی آسوده سایت را مرور کنند.
چطور متوجه شویم یک سایت گواهی SSL دارد؟
راحتترین راه برای فهمیدن اینکه یک سایت امن است یا نه؟ نگاه کردن به قفل کنار آدرس سایت.
اگر قفل هست و کنارش نوشته شده باشد «connection is secure»، نفس راحت بکشید! یعنی اطلاعات شما رمزگذاری شده و هیچ کس وسط راه نمیتواند آنها را بردارد.
میخواهید مطمئنتر شوید؟ روی همان قفل کلیک کنید. اطلاعات گواهی SSL برایتان باز میشود؛ اغلب این اطلاعات شامل موارد زیر است:
- دامنهای که گواهی برای آن صادر شده؛
- شخص، سازمان یا دستگاه دریافتکننده گواهی؛
- مرجع صدور گواهی (CA)؛
- امضای دیجیتال مرکز صدور؛
- زیر دامنههای مرتبط؛
- تاریخ صدور و انقضای گواهی؛
- کلید عمومی (کلید خصوصی محرمانه باقی میماند).
انواع گواهینامه SSL چیست؟
حالا که متوجه شدیم گواهی SSL چیست و چطور امنیت ارتباطات را تضمین میکند، بد نیست با انواع مختلف این گواهی هم آشنا شویم:
| نوع گواهی SSL | توضیح | قابلیتها | مخاطب مناسب | نکات مهم |
| SSL DV (Domain Validation) | سادهترین نوع گواهی، تأیید هویت دامنه از طریق ایمیل | رمزگذاری قوی، تأیید مالکیت دامنه | وبسایتهای شخصی و کسبوکارهای کوچک | اعتبار کسبوکار را تأیید نمیکند، ارزان و سریع |
| SSL OV (Organization Validation)
| تأیید دامنه و قانونی بودن کسبوکار در سطح پایه
| رمزگذاری، تأیید مالکیت دامنه، تأیید قانونی بودن کسبوکار
| کسبوکارهای دارای مجوز
| نیاز به ارسال مدارک ثبت شرکت، دریافت طولانیتر و هزینه بیشتر نسبت به DV |
| SSL EV (Extended Validation)
| بالاترین سطح اعتبارسنجی
| رمزگذاری، تأیید مالکیت دامنه، تأیید قانونی بودن کسبوکار به صورت کامل | کسبوکارها و سازمانهای معتبر
| آیکون قفل سبز در مرورگر، گرانتر و زمان دریافت چند روز، اعتماد بالاتر برای کاربران |
| SSL Wildcard
| ایمنسازی دامنه اصلی و تمام زیردامنهها
| رمزگذاری دامنه اصلی و سابدامینها
| وبسایتهایی با زیردامنههای متعدد
| نیاز به خرید جداگانه برای هر سابدامنه ندارد، مناسب سایتهای بزرگ با چند بخش |
| SSL MDC (Multi Domain Certificate) | یک گواهی برای چندین دامنه و زیردامنههای مختلف | رمزگذاری چند دامنه، زیر دامنهها و دامنههای متفاوت | کسبوکارهای بزرگ با چند دامنه
| گاهی به UCC SSL یا SAN SSL هم شناخته میشود |
| UCC SSL (Unified Communications Certificate)
| طراحی شده برای سرورهای Microsoft Exchange و Office Communications | ایمنسازی تا ۱۰۰ دامنه، پشتیبانی از Autodiscover در Exchange
| سازمانها و شرکتهای بزرگ
| جزو اعتبارنامههای تجاری، مناسب مدیریت ارتباطات یکپارچه
|
چرا وبسایتها به گواهی SSL نیاز دارند؟
اگر اطلاعات به شکل متن ساده منتقل شوند، هر کسی میتواند وسط راه آنها را بخواند یا حتی تغییر دهد. نتیجه؟ حریم خصوصی کاربران به خطر میافتد و اعتمادشان از بین میرود.
HTTP پروتکل پایهای وب است؛ اما برای امن شدن نیاز دارد که SSL روی سایت فعال باشد. با این گواهی، اطلاعات حساس، مثل رمز عبور، کارتهای اعتباری و حتی اطلاعات شخصی کاربران رمزگذاری شده و از هر نوع دسترسی غیرمجاز محافظت میشوند.
مزایای گواهینامه SSL چیست؟
میدانید داشتن یک گواهی SSL چقدر میتواند دست شما را در اینترنت باز کند؟ با نصب گواهینامه SSL شما از مزایای زیر برخوردار میشوید:
- رمزگذاری دادههای حساس؛
- تأیید مالکیت وبسایت؛
- بهبود رتبه سئو؛
- رعایت مقررات امنیتی؛
- بارگذاری سریعتر با پروتکل (HTTP/2 (+ TLS 1.3.
رمزگذاری دادههای حساس
یکی از بزرگترین مزایای گواهی SSL این است که اطلاعات حساس کاربران را رمزگذاری میکند.
تصور کنید کسی دارد از سایت شما خرید میکند. رمز کارت اعتباری یا اطلاعات شخصیاش را وارد میکند و ناگهان یک هکر در گوشهای کمین کرده باشد… وحشتناک است، نه؟ در این راستا، گواهی SSL به کاربران آرامش خاطر میدهد؛ آنها مطمئن میشوند دادههایشان در مسیر اینترنت امن باقی میماند و کسی نمیتواند سرک بکشد یا دستکاری کند.
حالا ببینیم تهدید چطور اتفاق میافتد: یکی از رایجترین حملات، حمله (MitM) است. در این حمله، یک هکر مثل جاسوس پنهان میشود و اطلاعات شما را رهگیری میکند. گاهی حتی سایت جعلی درست میکند تا کاربران فریب بخورند و اطلاعاتشان را وارد کنند، بیآنکه متوجه شوند همه چیز به جای اشتباه ارسال میشود. سپس هکر میتواند با استفاده از همان اطلاعات، مثل یک پروکسی بین کاربر و سایت واقعی عمل کند و دادهها را بدزدد.
اینجاست که SSL با تایید هویت صاحبان دامنه، جلوی این نوع حملات را میگیرد و اطمینان میدهد که ارتباط شما مستقیم و امن است.
تأیید مالکیت سایت
گواهینامههای SSL در اصل برای اثبات مالکیت سایت طراحی شدهاند. یعنی قبل از اینکه کسی بتواند ادعا کند «این سایت مال من است»، یک نهاد مطمئن باید بگوید: «آره، واقعا همینطور است.» این نهاد به اصطلاح مرجع صدور گواهی (CA) نامیده میشود.
مرجع صدور گواهی بعد از بررسی هویت و مالکیت دامنه، گواهی SSL را برای صاحب سایت صادر میکند. اما همه گواهیها مثل هم نیستند؛ بسته به نوع اعتبارسنجی، مدارک مورد نیاز فرق میکنند.
اگر فقط اعتبار دامنه (Domain Validation) میخواهید، کار راحت است: CA بررسی میکند که شما دسترسی به دامنه دارید و میتوانید آن را کنترل کنید. همین!
اگر دنبال گواهی سازمانی (Organization Validation) هستید، داستان کمی جدیتر میشود. CA باید هویت سازمان شما را با سوابق دولتی یا مدارک رسمی تطبیق دهد و چند سند اضافی هم بخواهد.
و بعد، گواهیهای اعتبارسنجی توسعهیافته (Extended Validation) هستند که گویی بازرسی کامل دارند! این نوع گواهیها فراتر از OV، الزامات سختگیرانه و دقیقی دارند و CA مطمئن میشود همه چیز بینقص و قانونی است.
به زبان ساده، هرچه سطح اعتبارسنجی بالاتر باشد، اعتماد کاربران و مرورگرها به سایت شما هم بیشتر میشود.
بهبود رتبهبندی سئو
از سال ۲۰۱۴، گوگل بهطور رسمی اعلام کرد که HTTPS عاملی تأثیرگذار در رتبهبندی سایتهاست. یعنی سایتهایی که گواهی SSL دارند، شانس بیشتری برای دیده شدن در نتایج جستجو دارند.
اما داستان به همینجا ختم نمیشود. تحقیقات و تجربههای واقعی نشان میدهند که سایتهای امن کلیک بیشتری میگیرند. یعنی کاربران وقتی ببینند قفل کنار آدرس سایت وجود دارد و اطلاعاتشان محفوظ است، با خیال راحت روی لینکها کلیک میکنند.
رعایت مقررات امنیتی
چندین قانون و مقرره، شرکتها و سازمانها را مجبور کردهاند که از دادههای حساس کاربرانشان محافظت کنند. این یعنی نمیتوانید بیخیال امنیت شوید!
در این راستا، با SSL دادهها رمزگذاری میشوند؛ به این ترتیب، شما میتوانید به راحتی تعهدات قانونی و نظارتی خود را رعایت کنید، چه مربوط به PCI DSS باشد، چه HIPAA یا GDPR و حتی دیگر استانداردها و قوانین امنیت دادهها.
بارگذاری سریعتر با پروتکل HTTP/2 )+ TLS 1.3)
یکی از مزایای کمتر گفتهشده گواهی SSL، سرعت بالای سایت است!
چگونه؟ چون تنها سایتهایی که SSL دارند، میتوانند از HTTP/2 استفاده کنند؛ نسخهای جدید و سریعتر از پروتکل قدیمی HTTP.
HTTP/2 باعث میشود صفحات سریعتر بارگذاری شوند و تجربه کاربری بسیار روانتر باشد. تازه، وقتی با TLS 1.3 ترکیب شود، علاوه بر سرعت بیشتر، امنیت دادهها هم حسابی تقویت میشود. به عبارت دیگر، اطلاعات کاربران شما نه تنها سریع منتقل میشوند، بلکه امن هم هستند؛ یک تیر و دو نشان!
فعالسازی گواهینامه SSL برای سایت
حالا که گواهی SSL خود را انتخاب کردهاید، وقت آن است که آن را روی سایتتان فعال کنید. نگران نباشید، کار سختی نیست؛ فقط کافیست چند مرحله ساده را دنبال کنید:
- سفارش گواهی SSL: اول گواهی را بخرید یا دریافت کنید.
- پیکربندی برنامه برای صدور گواهی: سیستم خود را آماده کنید تا گواهی صادر شود.
- نصب گواهی SSL روی حساب میزبانی وب: حالا گواهی را روی سرور سایتتان نصب کنید.
- فعالسازی اتصال HTTPS: با این کار سایت شما از HTTP به HTTPS امن تبدیل میشود.
- پاکسازی منابع HTTP ناامن: لینکها و محتواهای غیرامن را اصلاح کنید تا همه چیز بهطور کامل ایمن باشد.
- تمدید گواهی SSL: یادتان باشد گواهیها تاریخ انقضا دارند؛ قبل از پایان دوره، آن را تمدید کنید تا امنیت سایت و اعتماد کاربران حفظ شود.
چرا این مرحله آخر مهم است؟ اگر SSL منقضی شود، سایت دیگر قفل سبز کنار آدرس را ندارد و دادههای کاربران دیگر امن نخواهند بود.
حرف آخر درباره اهمیت گواهی SSL
پس از اینکه پاسخ سوال «گواهی SSL چیست» را فهمیدید، متوجه میشوید که فعال کردن HTTPS؛ بلکه یک پیام روشن به کاربران است: «ما امنیت و اعتماد شما را جدی میگیریم.»
علاوه بر این، مزایای آن هم ملموس است: سایت شما سریعتر بارگذاری میشود، کاربران با اطمینان بیشتری از آن استفاده میکنند و حتی گوگل هم آن را بیشتر دوست دارد و رتبهاش را بالاتر میبرد. به عبارت دیگر، کمی هوشیاری و دانش کافی است تا جلوی کلاهبرداریها و دزدیدن اطلاعات شخصیتان گرفته شود.
