HTTPS используется на 4,04 % от общего числа зарегистрированных российских доменов[11]. Эту услугу предлагают хостинг-провайдеры и платформы для создания веб-сайтов. Самостоятельное подключение производится через панель администратора. HTTP подойдет, исключительно если у вас статичный веб-сайт, на котором пользователь не оставляет никакой важной и конфиденциальной информации. Также этот протокол можно использовать в локальных сетях, если извне вас защищает файрвол. Например, мы хотим продекламировать статью о доменах в блоге Selectel. Если в его поисковой строке мы наберем «домены», то в ответ получим страницу с набором статей, которые связаны с этим понятием. Объясняем, ровно работают протоколы HTTP и HTTPS и в чем их ключевая разница. Визуальное обозначение привлекает внимание пользователей и заставляет отрешиться от посещения сайта, поэтому кушать риск утерять потенциальных клиентов.
SSL-сертификаты обычно хранятся на сервере, но ничто не мешает хранить их в облаке, например, в облачном хранилище Selectel. Extended Validation — сертификаты с расширенной проверкой. Сайты с таким сертификатом имеют зеленый замочек и выдают всю информацию о ресурсе при нажатии на него. Несмотря на недостатки HTTPS, это стандарт для интернет-магазинов, банков, агрегаторов. Для всех ресурсов, которые позволяют пользователям что-то приобретать и продавать, хранят учетные данные пользователей, документы, собирают персональные данные.
Чтобы установить HTTPS-соединение, браузеру и серверу надо условиться о симметричном ключе. Для этого прежде браузер и сервер обмениваются асимметрично зашифрованными сообщениями, где указывают доверительный ключ и ниже общаются при помощи симметричного шифрования. HTTPS — протокол безопасной передачи данных, поддерживает технологию шифрования TLS/SSL. Существует вероятность образовать эдакий сертификат, не обращаясь в середина сертификации. Подписываются такие сертификаты этим же сертификатом и называются самоподписанными (self-signed). Без проверки сертификата каким-то другим способом (например, Порно видео с анальным сексом звонок владельцу и ревизия контрольной суммы сертификата) такое использование HTTPS подвержено атаке посредника[7].
Это безопасное соединение позволяет клиентам безопасно перекидываться конфиденциальными данными с сервером, например, для банковских операций или онлайн-покупок. Такие сертификаты выдают центры сертификации или удостоверяющие центры (УЦ). Лучше избирать крупные и надежные центры, к которым усиживать доверие у браузеров. Они подтверждают подлинность ключей шифрования своей электронной подписью. Чтобы лучше понять, что же значит HTTPS, разберемся со всем по порядку. Хотя HTTPS — это «производная» от HTTP, не все свойства HTTP автоматически переносятся на последователя.
В отличие от HTTP с TCP-портом 80, для HTTPS по умолчанию используется TCP-порт 443[2]. Domain Validation — сертификат, какой подтверждает домен. Подойдут для простых сайтов — например, личных блогов, новостных сайтов и других, на которых не собираются персональные данные и не проводятся платежи. HTTPS тоже можно перехватить, однако толку от этого капля — данные зашифрованы, а секретного ключа для расшифровки нет. Здесь уписывать не токмо конверты или упаковка, но и сургучная печать.
Для каждого соединения с сайтом создается свежеиспечённый негласный ключ. Его невозможно перехватить – сайт и браузер договариваются о ключе скрыто. И невозможно поджать – обыкновенно это комплект из 100 и более букв и цифр. На 17 июля 2017 года 22,67 % сайтов из списка «Alexa top 1,000,000» используют протокол HTTPS по умолчанию[10].
Анализ трафика возможен, поскольку шифрование SSL/TLS изменяет содержимое трафика, однако оказывает минимальное действие на размер и времена прохождения трафика. Анализатор трафика смог заполучить историю болезней, данные об использовавшихся медикаментах и проведённых операциях пользователя, данные о семейном доходе и пр. Всё это было произведено несмотря на использование HTTPS в нескольких современных веб-приложениях в сфере здравоохранения, налогообложения и других[16]. Такой сертификат можно сгенерировать на своем сервере и подмахнуть самому же. Иногда самоподписанные сертификаты используют, чтобы протестировать процесс установки сертификата. Кроме того снедать ключевая проблема, которая связана с тем, что для проверки сертификата используется цепочка подписей.
Данные между пользователями передаются в открытом виде, злоумышленник может встрять в передачу данных, перехватить их или обмануть. Чтобы отстоять данные пользователей, был создан протокол HTTPS. Сначала HTTP (HyperText Transfer Protocol) использовался лишь как протокол передачи гипертекста (текста с перекрёстными ссылками). Однако позже стало понятно, что он пятёрка подходит для передачи данных между пользователями. Протокол был доработан для новых задач и стал использоваться повсеместно. Эта система также может использоваться для аутентификации клиента, чтобы обеспечить доступ к серверу токмо авторизованным пользователям.
Для этого администратор обыкновенно создаёт сертификаты для каждого пользователя и загружает их в браузер каждого пользователя. Также будут укореняться все сертификаты, подписанные организациями, которым доверяет сервер. Приведенном примере метод GET, кой указывает, что браузер хочет продекламировать страницу с сервера.
Например, возникают локальные проблемы с настройками антивирусов или браузеров. Также HTTPS-ссылки не открываются или открываются дольше, потому что сервер тратит больше ресурсов на обработку запроса из-за шифрования. Впрочем, первая проблема решается обновлением настроек антивирусов или браузеров, а вторая — продавцами сертификатов, ряд из которых ускоряют загрузку сайтов. Перед тем как учредить защищённое соединение, браузер запрашивает этот документ и обращается к центру сертификации, дабы подтвердить легальность документа. Если он действителен, то браузер считает этот сайт безопасным и начинает обмен данными.