TLS и SSL упоминаются в последнее время все чаще и чаще, более актуальным становится использование цифровых сертификатов, и даже появились компании, готовые бесплатно предоставлять цифровые сертификаты всем желающим, чтобы гарантировать шифрование трафика между посещаемыми сайтами и браузером клиента. Нужно это, естественно, для безопасности, чтобы никто в сети не мог получить данные, которые передаются от клиента серверу и обратно. Как же это всё работает и как это использовать? Чтобы это понять, надо, пожалуй, начать с теории, а потом показать на практике. Итак, SSL и TLS.
Что такое SSL и что такое TLS?
SSL — Secure Socket Layer, уровень защищенных сокетов. TLS — Transport Layer Security, безопасность транспортного уровня. SSL является более ранней системой, TLS появился позднее и он основан на спецификации SSL 3.0, разработанной компанией Netscape Communications. Тем не менее, задача у этих протоколов одна — обеспечение защищенной передачи данных между двумя компьютерами в сети Интернет. Такую передачу используют для различных сайтов, для электронной почты, для обмена сообщениями и много еще для чего. В принципе, можно передавать любую информацию таким образом, об этом чуть ниже.
Безопасная передача обеспечивается при помощи аутентификации и шифрования передаваемой информации. По сути эти протоколы, TLS и SSL, работают одинаково, принципиальных различий нет. TLS, можно сказать, является преемником SSL, хотя они и могут использоваться одновременно, причем даже на одном и том же сервере. Такая поддержка необходима для того, чтобы обеспечить работу как с новыми клиентами (устройствами и браузерами), так и с устаревшими, которые TLS не поддерживают. Последовательность возникновения этих протоколов выглядит вот так:
SSL 1.0 — никогда не публиковался
SSL 2.0 — февраль 1995 года
SSL 3.0 — 1996 год
TLS 1.0 — январь 1999 года
TLS 1.1 — апрель 2006 года
TLS 1.2 — август 2008 года
Принцип работы SSL и TLS
Принцип работы SSL и TLS, как я уже сказал, один и тот же. Поверх протокола TCP/IP устанавливается зашифрованный канал, внутри которого передаются данные по прикладному протоколу — HTTP, FTP, и так далее. Вот как это можно представить графически:
Прикладной протокол «заворачивается» в TLS/SSL, а тот в свою очередь в TCP/IP. По сути данные по прикладному протоколу передаются по TCP/IP, но они зашифрованы. И расшифровать передаваемые данные может только та машина, которая установила соединения. Для всех остальных, кто получит передаваемые пакеты, эта информация будет бессмысленной, если они не смогут ее расшифровать.
Установка соединения обеспечивается в несколько этапов:
1) Клиент устанавливает соединение с сервером и запрашивает защищенное подключение. Это может обеспечиваться либо установлением соединения на порт, который изначально предназначен для работы с SSL/TLS, например, 443, либо дополнительным запросом клиентом установки защищенного соединения после установки обычного.
2) При установке соединения клиент предоставляет список алгоритмов шифрования, которые он «знает». Сервер сверяет полученный список со списком алгоритмов, которые «знает» сам сервер, и выбирает наиболее надежный алгоритм, после чего сообщает клиенту, какой алгоритм использовать
3) Сервер отправляет клиенту свой цифровой сертификат, подписанный удостоверяющим центром, и открытый ключ сервера.
4) Клиент может связаться с сервером доверенного центра сертификации, который подписал сертификат сервера, и проверить, валиден ли сертификат сервера. Но может и не связываться. В операционной системе обычно уже установлены корневые сертификаты центров сертификации, с которыми сверяют подписи серверных сертификатов, например, браузеры.
5) Генерируется сеансовый ключ для защищенного соединения. Это делается следующим образом:
— Клиент генерирует случайную цифровую последовательность
— Клиент шифрует ее открытым ключом сервера и посылает результат на сервер
— Сервер расшифровывает полученную последовательность при помощи закрытого ключа
Учитывая, что алгоритм шифрования является асимметричным, расшифровать последовательность может только сервер. При использовании асимметричного шифрования используется два ключа — приватный и публичный. Публичным отправляемое сообщение шифруется, а приватным расшифровывается. Расшифровать сообщение, имея публичный, ключ нельзя.
6) Таким образом устанавливается зашифрованное соединение. Данные, передаваемые по нему, шифруются и расшифровываются до тех пор, пока соединение не будет разорвано.
Корневой сертификат
Чуть выше я упомянул корневой сертификат. Это сертификат авторизационного центра, подпись которым подтверждает, что сертификат, который подписан, является именно тем, который принадлежит соответствующему сервису. В самом сертификате обычно содержится ряд информационных полей, в которых содержится информация об имени сервера, которому выдан сертификат, и сроках действия этого сертификата. Если срок действия сертификата истек, он признается недействительным.
Запрос на подпись (CSR, Certificate Sign Request)
Для получения подписанного серверного сертификата необходимо сгенерировать запрос на подпись (CSR, Certificate Sign Request) и отправить этот запрос авторизационному центру, который вернет подписанный сертификат, устанавливаемый непосредственно на сервер, чуть ниже посмотрим, как это сделать на практике. Сначала генерируется ключ для шифрования, затем на основании этого ключа генерируется запрос на подпись, CSR-файл.
Клиентский сертификат
Клиентский сертификат может быть сгенерирован как для использования в устройствах, так и для использования пользователями. Обычно такие сертификаты используются при двусторонней верификации, когда клиент верифицирует, что сервер действительно тот, за кого себя выдает, и сервер в ответ делает то же самое. Такое взаимодействие называется двусторонней аутентификацией или mutual authentication. Двусторонняя аутентификация позволяет повысить уровень безопасности по сравнению с односторонней, а также может служить заменой аутентификации с использованием логина и пароля.
Цепочка действий по генерации сертификатов
Давайте посмотрим на практике, как происходят действия, связанные с генерацией сертификатов, с самого начала, и при этом на практике.
Первое, что делается — это генерация корневого сертификата. Корневой сертификат подписывается самим собой. А потом уже этим сертификатом будут подписываться другие сертификаты.
$ openssl genrsa -out root.key 2048 Generating RSA private key, 2048 bit long modulus ..........+++ ...........................................+++ e is 65537 (0x10001) $ openssl req -new -key root.key -out root.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :N/A Locality Name (eg, city) :Saint-Petersburg Organization Name (eg, company) :My Company Organizational Unit Name (eg, section) :IT Service Common Name (e.g. server FQDN or YOUR name) :My Company Root Certificate Email Address :[email protected] Please enter the following "extra" attributes to be sent with your certificate request A challenge password : An optional company name :My Company $ openssl x509 -req -days 3650 -in root.csr -signkey root.key -out root.pem Signature ok subject=/C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] Getting Private key
Таким образом мы сгенерировали сначала приватный ключ, затем запрос подписи, а затем своим ключом подписали свой же запрос и получили собственный цифровой сертификат, выданный на 10 лет. Пароль (challenge password) при генерации сертификата можно не вводить.
Приватный ключ ОБЯЗАТЕЛЬНО необходимо хранить в надежном месте, имея его можно подписать от вашего имени любой сертификат. А полученный корневой сертификат можно использовать для идентификации того, что сертификат, например, сервера подписан именно нами, а не кем-то еще. Именно такие действия выполняют авторизационные центры, когда генерируют собственные сертификаты. После создания корневого сертификата можно приступать к генерации сертификата сервера.
Просмотр информации о сертификате
Содержимое сертификата можно просмотреть таким образом:
$ openssl x509 -noout -issuer -enddate -in root.pem issuer= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] notAfter=Jan 22 11:49:41 2025 GMT
Мы видим, кто выдал этот сертификат и когда заканчивается срок его годности.
Серверный сертификат
Для подписи сертификата для сервера нам нужно выполнить следующие действия:
1) Сгенерировать ключ
2) Сгенерировать запрос на подпись
3) Отправить CSR-файл в авторизационный центр или подписать самостоятельно
В серверный сертификат может включаться цепочка сертификатов, которыми подписан сертификат сервера, но ее можно также хранить в отдельном файле. В принципе, выглядит всё примерно так же, как и при генерации корневого сертификата
$ openssl genrsa -out server.key 2048 Generating RSA private key, 2048 bit long modulus ...................................................................................+++ ..........................+++ e is 65537 (0x10001) $ openssl req -new -key server.key -out server.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :N/A Locality Name (eg, city) :Saint-Petersburg Organization Name (eg, company) :My Company Organizational Unit Name (eg, section) :IT Service Common Name (e.g. server FQDN or YOUR name) :www.mycompany.com Email Address :[email protected] Please enter the following "extra" attributes to be sent with your certificate request A challenge password : An optional company name : $ openssl x509 -req -in server.csr -CA root.pem -CAkey root.key -CAcreateserial -out server.pem -days 365 Signature ok subject=/C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=www.mycompany.com/[email protected] Getting CA Private Key $ openssl x509 -noout -issuer -subject -enddate -in server.pem issuer= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] subject= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=www.mycompany.com/[email protected] notAfter=Jan 25 12:22:32 2016 GMT
Таким образом сертификат сервера подписан и мы будем знать, какой организацией выдан этот сертификат. После подписи готовый сертификат можно использовать по назначению, например, установить на веб-сервер.
Установка SSL/TLS-сертификата на сервер с nginx
Для установки SSL/TLS-сертификата на веб-сервер nginx надо выполнить несколько простых шагов:
1) Скопировать файлы.key и.pem на сервер. В различных операционных системах сертификаты и ключи могут храниться в разных директориях. В Debian’е, к примеру, это директория /etc/ssl/certs для сертификатов и /etc/ssl/private для ключей. В CentOS это /etc/pki/tls/certs и /etc/pki/tls/private
2) Прописать необходимые настройки в конфигурационный файл для хоста. Вот как это примерно должно выглядеть (это просто пример):
Server { listen 443; server_name www.mycompany.com; root html; index index.html index.htm; ssl on; ssl_certificate server.pem; ssl_certificate_key server.key; ssl_session_timeout 5m; # Не рекомендуется использовать SSLv3 !!! # Он здесь только для примера ssl_protocols SSLv3 TLSv1; ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:+EXP; ssl_prefer_server_ciphers on; location / { try_files $uri $uri/ =404; } }
3) Перезапустить nginx
4) Зайти браузером на 443 порт сервера — https://www.mycompany.com и проверить его работоспособность.
Установка SSL/TLS-сертификата на сервер с Apache
Установка SSL/TLS-сертификата на Apache выглядит примерно так же.
1) Скопировать файлы ключа и сертификата на сервер в соответствующие директории
2) Включить модуль ssl для Apache командой «a2enmod ssl», если он еще не включен
3) Создать виртуальный хост, который будет слушать 443 порт. Конфиг будет выглядеть примерно так:
При этом надо сделать еще кое-что. Найти в файле httpd.conf, или apache2.conf, или ports.conf, в зависимости от системы, такой участок конфига:
Если такого условия нет, его надо добавить в конфиг. И еще одно: Надо добавить строку
NameVirtualHost *:443
Эта строка может находиться в файле httpd.conf, apache2.conf или ports.conf
4) Перезапустить веб-сервер Apache
Создание клиентского сертификата
Клиентский сертификат создается примерно так же, как серверный.
$ openssl genrsa -out client.key 2048 Generating RSA private key, 2048 bit long modulus ........................+++ ..................................................+++ e is 65537 (0x10001) $ openssl req -new -key client.key -out client.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :Saint-Petersburg Locality Name (eg, city) :^C mnorin@mnorin-work:~/Temp/certs/CA$ openssl req -new -key client.key -out client.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ".", the field will be left blank. ----- Country Name (2 letter code) :RU State or Province Name (full name) :N/A Locality Name (eg, city) :Saint-Petrersburg Organization Name (eg, company) :My Company Organizational Unit Name (eg, section) :Engineering Common Name (e.g. server FQDN or YOUR name) :Ivan Ivanov Email Address :[email protected] Please enter the following "extra" attributes to be sent with your certificate request A challenge password : An optional company name : $ openssl x509 -req -in client.csr -CA root.pem -CAkey root.key -CAcreateserial -out client.pem -days 365 Signature ok subject=/C=RU/ST=N/A/L=Saint-Petrersburg/O=My Company/OU=Engineering/CN=Ivan Ivanov/[email protected] Getting CA Private Key $ openssl x509 -noout -issuer -subject -enddate -in client.pem issuer= /C=RU/ST=N/A/L=Saint-Petersburg/O=My Company/OU=IT Service/CN=My Company Root Certificate/[email protected] subject= /C=RU/ST=N/A/L=Saint-Petrersburg/O=My Company/OU=Engineering/CN=Ivan Ivanov/[email protected] notAfter=Jan 25 13:17:15 2016 GMT
Если необходим клиентский сертификат в формате PKCS12, создаем его:
$ openssl pkcs12 -export -in client.pem -inkey client.key -certfile root.pem -out iivanov.p12 Enter Export Password: Verifying - Enter Export Password:
Теперь можно использовать клиентский сертификат для работы с нашим сервером.
Настройка nginx на использование клиентских сертификатов
Чаще всего, как я уже сказал, используется односторонняя аутентификация, обычно проверяется только сертификат сервера. Давайте посмотрим, как заставить веб-сервер nginx проверять клиентский сертификат. Необходимо в секцию server добавить опции для работы с клиентскими сертификатами:
# Корневой сертификат(ы), которым(и) подписан клиентский ssl_client_certificate /etc/nginx/certs/clientroot.pem; # Возможные варианты: on | off | optional | optional_no_ca ssl_verify_client optional; # Глубина проверки цепочки сертификатов, которыми подписан клиентский ssl_verify_depth 2;
После этого надо перезагрузить настройки или сервер целиком и можно проверять работу.
Настройка Apache на использование клиентских сертификатов
Apache настраивается также через добавление дополнительных опций в секцию виртуального хоста:
# Директория, содержащая корневые сертификаты для проверки клиентов SSLCARevocationPath /etc/apache2/ssl.crl/ # или файл, содержащий сертификаты SSLCARevocationFile /etc/apache2/ssl.crl/ca-bundle.crl # Опция верификации клиента. Возможные варианты: # none, optional, require and optional_no_ca SSLVerifyClient require # Глубина просмотра цепочки подписей. По умолчанию 1 SSLVerifyDepth 2
Как видите, опции примерно такие же, как и для nginx, поскольку процесс проверки организован единообразно.
«Прослушка» информации о сертификате при помощи openssl
Для проверки взаимодействия сервера с клиентскими сертификатами можно проверить, устанавливается ли соединение с использованием TLS/SSL.
На стороне сервера запускаем прослушку порта при помощи openssl:
Openssl s_server -accept 443 -cert server.pem -key server.key -state
На стороне клиента обращаемся к серверу, например, culr’ом:
Curl -k https://127.0.0.1:443
В консоли со стороны сервера можно наблюдать процесс обмена информацией между сервером и клиентом.
Можно также использовать опции -verify [глубина проверки] и -Verify [глубина проверки]. Опция с маленькой буквы запрашивает у клиента сертификат, но он не обязан его предоставлять. С большой буквы — если сертификат не предоставлен, возникнет ошибка. Запустим прослушку со стороны сервера таким образом:
Openssl s_server -accept 443 -cert server.pem -key server.key -state -Verify 3
Со стороны сервера ошибка выглядит так:
140203927217808:error:140890C7:SSL routines:SSL3_GET_CLIENT_CERTIFICATE:peer did not return a certificate:s3_srvr.c:3287:
Со стороны клиента так:
Curl: (35) error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure
Добавим с клиентской стороны сертификат и доменное имя (можно для проверки вписать в файл /etc/hosts имя хоста для адреса 127.0.0.1):
Curl https://www.mycompany.com:443 --cacert root.pem --cert client.pem --key client.key
Теперь соединение пройдет успешно и можно устанавливать серверный сертификат на веб-сервер, клиентский отдать клиенту, и работать с ними.
Безопасность
При использовании SSL/TLS одним из основных методов является метод MITM (Man In The Middle), «человек посередине». Этот метод основывается на использовании серверного сертификата и ключа на каком-то узле, который будет прослушивать трафик и расшифровывать информацию, которой обмениваются сервер и клиент. Для организации прослушивания можно использовать, например, программу sslsniff. Поэтому корневой сертификат и ключ обычно желательно хранить на машине, которая не подключена к сети, для подписания приносить запросы на подпись на флэшке, подписывать и так же уносить. И, естественно, делать резервные копии.
В общих чертах именно так и используются цифровые сертификаты и протоколы TLS и SSL. Если есть вопросы/дополнения, пишите в комментарии.
Запись опубликована автором в рубрике с метками , .Навигация по записям
: 29 комментариев
cl-service.com
CSR клиент генерирует сам при заказе сертификата, где сохранять закрытый ключ также решает клиент, для выпуска сертификата нам не нужен закрытый ключ и клиент нам его никак не передает. Естественно если это происходит на обычном виртуальном, то у администраторов с root доступом к серверу есть доступ и к ключам, которые там хранятся.
- Доброжелатель.
Тема сисек не раскрыта, ибо описанная технология работы PKI не имеет ничего общего с заголовком темы. Хоть бы для причия ссылки на rfc привел.
P.S. Был такой анекдот про собаку и блоху. - Доброжелатель.
Нивкоем случае не хотел тебя обидеть. Искал инфу о различии SSl и TLS на практике и твоя ссылка в гугле была первая. Был заинтрегован названием темы. Все круто, так держать!
- DrAibolit
Благодарю за толковые пояснения о цифровой сертификации. Я новичок в этом=)
Надеюсь разъясните следующий вопрос.
Поскольку в интернет индустрии очень развита тема мошенничества, хотелось бы научиться определять на «вшивость» самостоятельно посещаемые мною сайты (особенно, где присутствуют кашельки и оплаты, инвестиции и т.д) и определять исходя из этого степень моего доверия (приходится часто регистрироваться, оставлять личную информацию, совершать покупки, транзакции, инвестиции). Если я правильно понял, что наличие данной сертификации позволяет сделать такую оценку. Ну и с другой стороны, получить ее не проблема и даже бесплатно.
Как или с помощью какой программы можно определить наличие цифрового сертификата у того или иного сайта? и желательно его категорию, которая присваивается при выдаче спецорганом SSL DV (выдача сертификата проводится с проверкой только домена), SSL OV (с проверкой организации), EV (с расширенной проверкой юрлица). Мошеннические сайты скорее всего последним вариантом сертификации пользоваться не станут..
Буду рад, если поведаете еще способы определения надежности сайтов))- mnorin
Автор записи
Какой-то определенной программы для этих целей я еще не встречал, но пару советов по этому поводу могу дать.
Можно использовать, например, Chromium или Google Chrome. Возьмем, например, сайт https://www.thawte.com/ — компания, которая собственно цифровымисертификатами и занимается.
В адресной строке будет написано название компании и зеленый замочек. Это значит, что организация проверена, это как минимум SSL OV.
Если кликнуть на замочек, а в выпавшем окошке «Details», а затем «View Certificate», то можно увидеть информацию о сертификате. Для Thawte сертификат подписан следующим сертификатом: «thawte Extended Validation SHA256 SSL CA», а сертификат для click.alfabank.ru тоже подписан Thawte, но другим сертификатом. Это «thawte EV SSL CA — G3», то есть они тоже проходили Extended Validation.
Как-то так.
- mnorin
Автор записи
- Руслан
Раздел «Принцип работы SSL и TLS», «Клиент генерирует случайную цифровую последовательность».
Я был уверен что клиент генерирует сеансовый закрытый и, соответственно, открытый ключи (который вы, очевидно, и назвали «цифровая последовательность»). Открытый ключ передаётся серверу и сервер шифрует пакеты в сторону клиента сеансовым открытым клиентским ключом.
Уточните, пожалуйста.
- Новичок
Статья очень полезная! Даже есть практические примеры=) Только я не понял одну вещь — в чем различие между корневым сертификатом и серверным? или это одно и тоже?
- Виталий
Здравствуйте.
Хостер предложил услугу - SSL для виртуальных серверов. Воспользовались. Оказалось, что для третьего уровня, т.е. http://www.site.ru сертификат недействителен, только для site.ru. Притом, посетителей упорно кидает на протокол https, не важно, заходят они на site.ru или на http://www.site.ru . Разумеется, во втором случае браузер начинает истошно ругаться, а посетитель до сайта так и не добирается.
А для тех, кто до сайта таки добрался, сайт стал выглядеть криво, пропала часть меню, перестала отображаться часть картинок в выдаче некоторыми компонентами.
ЦИФРОВАЯ СЕРТИФИКАЦИЯ ЗАЩИЩЕННОГО СОЕДИНЕНИЯ SSL
Для безопасной передачи данных между браузером и веб-сервером используется протокол передачи данных https, в основе которого положено защищенное соединение SSL.
В данной статье рассказываются общие сведения о шифровании с открытым ключом, цифровых сертификатах, инфраструктуре открытого ключа (PKI - Public Key Infrastructure), о создании удостоверяющего центра, конфигурировании контейнеров сервлетов Apache Tomcat и JBoss для установления одностороннего и двухстороннего безопасного соединения, генерации хранилища сертификатов и как создать SSL сертификат при помощи утилиты keytool. Так же вы узнаете о способах проверки отозванных сертификатов в Java (CRL списки, протокол OCSP) и конфигурировании браузера для работы с сертификатами.
Современным способом безопасной передачи сообщений в сети является метод шифрования с открытым ключом. Суть метода заключается на наличии пары ключей: открытого и закрытого. Открытый и закрытый ключ – это алгоритмы преобразования исходного сообщения в зашифрованное и зашифрованного сообщения в исходное.
Открытый ключ находится в свободном доступе и предоставляется всем желающим отправить зашифрованное сообщение. Отправитель, зашифровав сообщение, может уверенно передавать его по небезопасному каналу связи и быть уверенным, что только адресат сможет прочитать данное сообщение.
Закрытый ключ, хранится в строгой секретности у владельца пары ключей. Получив сообщение, зашифрованное открытым ключом, адресат использует закрытый ключ для его расшифровки. Так как закрытый ключ известен только адресату сообщения, то никто другой не сможет его прочитать, что дает гарантию секретности сообщения.
Сообщение, зашифрованное закрытым ключом, может быть расшифровано всеми обладателями открытого ключа.
На основании данного алгоритма шифрования создается защищенное соединение SSL.
Цифровой сертификат
Цифровой сертификат – это электронный документ, идентифицирующий владельца. Он содержит основную информацию о владельце, открытый ключ владельца, сроки действия, цифровая подпись эмитента (издателя) и др. необходимую информацию. В цифровом сертификате существует раздел расширений (необязательный для заполнения), в котором расположены точки распространения списка отзыва, сведения об издателе и др. Цифровой сертификат позволяет организовать защищенное соединение SSL. О том как создать SSL сертификат рассказывается ниже в данной статье.
Основные особенности приведенных выше сертификатов:
SSL сертификат удостоверяющего центра должен содержать поле CA со значением TRUE, что позволяет выдавать другие сертификаты, т.е. данный сертификат не является конечным в цепочке.
Серверные SSL сертификаты в поле CN (common name) должны обязательно содержать доменное имя или ip-адрес по которому происходит обращение к серверу, в противном случае сертификат будет признан недействительным;
Клиентские SSL сертификаты содержат e-mail адрес клиента, его имя и фамилию. В отличие от серверного сертификата поле CN не критично к содержимому и может содержать как имя с фамилией, так и e-mail адрес.
Цифровой SSL сертификат считается действительным в пределах срока действия, указанного в его полях. Таким образом, сертификатом невозможно пользоваться ранее даты начала действия, и после даты окончания действия, т.к. системы, вступающие с ним в контакт, будут сообщать о недоверии к нему.
Существуют ситуации, когда пользователю или издателю сертификата необходимо приостановить или полностью остановить его действие. Допустим, что закрытый ключ, который должен надежно храниться, был утерян или к нему получили доступ злоумышленники. В такой ситуации пользователю необходимо обратиться к эмитенту (издателю) сертификата, чтобы последний отменил его действие. Также издатель может отменить сертификат в случае выяснения, что клиент предоставил сфальсифицированную информацию о себе. Для этих целей создается специальный список, называемый списком аннулированных (отозванных) сертификатов (англ. Certificate revocation list, CRL). Данный список содержит серийный номер сертификата, дату прекращения его действия и причину отзыва. С момента попадания сертификата в CRL он считается недействительным и издатель не несет ответственность за содержимое такого сертификата. Одним из методов проверки CRL списка является протокол OCSP, но для этого необходимо налицие у удостоверяющего центра OCSP-респондера.
Инфраструктура открытого ключа (PKI)
Основной задачей инфраструктуры открытого ключа (Public Key Infrastructure, PKI) является определение политики выдачи цифровых сертификатов.
Для выпуска и отмены SSL сертификатов, генерации списков отзыва (CRL) необходимо специальное программное обеспечение (ПО). В качестве примера такого ПО можно привести Microsoft CA (входит в состав MS Windows Server 2000/2003/2008), OpenSSL (распространяется на unix-подобных ОС). Данное ПО размещается на оборудовании удостоверяющего центра.
Удостоверяющий центр (англ. Certification authority, CA) – организация, которая выдает цифровые SSL сертификаты на основании данных предоставленных заказчиком. Удостоверяющий центр несет полную ответственность за достоверность данных представленных в SSL сертификате, это значит, что владелец сертификата является именно тем, за кого себя выдает.
Наиболее распространенными удостоверяющими центрами в мире являются Verisign и Comodo. Сертификатам этих удостоверяющих центров доверяют 99% браузеров и большинство серверного ПО. Ниже описано создание удостоверяющего центра.
Защищенное соединение SSL с двухсторонней аутентификацией
Защищенное соединение SSL чаще всего применяется в электронной коммерции. В качестве примера можно рассмотреть покупку товаров через электронный магазин. Покупатель, указывая номера и коды кредитных карт, хочет быть уверенным, что они не попадут злоумышленнику. Поэтому сервер удостоверяет свою подлинность, предоставляя сертификат клиенту. Гарантом этой подлинности является удостоверяющий центр. Шифрование данных клиента будет производиться открытым ключом сервера. Эти данные могут быть расшифрованы только закрытым ключом, который находится на сервере. Поэтому клиент может не опасаться, что злоумышленник перехватит его данные, он все равно не сможет их расшифровать.
Клиентский SSL сертификат применяется в случаях, когда серверу необходимо подтверждение, что клиент именно тот за кого себя выдает. Например, банк предоставляет сетевой доступ для управления личным счетом. Он хочет обезопасить себя и быть уверенным, что к нему обращается владелец данного счета, а не злоумышленник, раздобывший логин и пароль. В данной ситуации клиент предоставляет свой открытый ключ серверу и все полученные данные от сервера могут быть расшифрованы только клиентом и никем другим, т.к. он является владельцем закрытого ключа.
На рисунке представлена схема, на которой показаны этапы создания защищенного соединения SSL.
Рис 1 - Схема создания защищенного соединения SSL с двухсторонней аутентификацией
Когда клиент пытается получить доступ к защищенному ресурсу, сервер отправляет свой цифровой сертификат. Получив сертификат, клиент осуществляет его проверку. Проверка заключается в следующем: даты начала действия и окончания не должны быть просроченными, издатель сертификата должен быть доверенным, сертификат не должен находиться в CRL. В случае неудачной проверки процесс установления соединения прерывается. Если условия проверки выполнены, то клиент передает свой сертификат серверу. Сервер проводит аналогичную проверку. В случае неудачной проверки сервер запретит доступ к своим ресурсам. При успешной проверке устанавливается безопасное соединение и данные передаются в шифрованном виде.
В данной схеме происходит двойное шифрование передаваемых данных. Клиент шифрует сообщение с помощью открытого ключа сервера, а затем собственным закрытым ключом. После получения сообщения, сервер расшифровывает сообщение открытым ключом клиента, а затем своим закрытым ключом. Таким образом, сервер и клиент аутентифицируют себя друг другу, т.к. только они могут расшифровывать полученные данные.
Следует отметить, что применение данной методики уменьшает скорость обмена данными, т.к. операции шифрования/дешифрования требуют дополнительного времени и скорость их выполнения зависит от мощности вычислительных ресурсов.
Создание удостоверяющего центра
Для тестовых целей или когда нецелесообразно покупать цифровой сертификат, следует создать собственный удостоверяющий центр.
Корневой удостоверяющий центр – удостоверяющий центр, которому доверяют все. Он обладает SSL cертификатом, который подписан его собственным закрытым ключом. Такие SSL сертификаты называют самоподписными (англ. self signed).
Закрытый ключ корневого удостоверяющиего центра должен храниться очень надежно, т.к. в случае его утери или кражи пропадает доверие ко всем подчиненным SSL сертификатам.
Подчиненный удостоверяющий центр – удостоверяющий центр, который выдает SSL сертификаты клиентам. Сертификат подчиненного удостоверяющего центра подписывается закрытым ключом вышестоящего удостоверяющего центра. В качестве клиентов подчиненного удостоверяющего центра могут выступать удостоверяющие центы, web-серверы, web-обозреватели, почтовые клиенты, для которых генерируются сертификаты необходимого типа. Типы сертификатов определяются политикой удостоверяющего цента.
Из вышесказанного следует, что создается цепочка сертификатов от корневого удостоверяющего центра до конечного клиентского сертификата.
Рис 2 – Цепочка сертификатов
Для создания удостоверяющего центра воспользуемся двухуровневой схемой, представленной на рисунке 3. В данной схеме имеется корневой удостоверяющий центр (Root CA) и подчиненный удостоверяющий цент (Issuing CA). Корневой удостоверяющий центр подписывает собственный SSL сертификат и SSL сертификаты подчиненных удостоверяющего. Следует отметить тот факт, что чем больше уровней используется, тем более безопасной является схема.
В сертификатах корневого и подчиненного удостоверяющего центра в расширении прописаны точки распространения CRL. Точка распространения CRL представляет собой сетевой адрес. По данному адресу должен с заданной периодичностью выкладываться файл CRL, генерируемый специальным ПО.
Рис 3 – Двухуровневая схема удостоверяющего центра
Пример организации удостоверяющего центра на основе Microsoft CA можно прочитать в статье «Разворачивание цепочки центров сертификации на основе Microsoft CA».
Получение серверного SSL сертификата в удостоверяющем центре и конфигурирование контейнера сервлетов
Цифровой SSL сертификат сервера дает возможность создать защищенное соединение SSL, которое позволит передавать данные в шифрованном виде.
Для получения сертификата, который будет использоваться контейнером сервлетов, необходимо сгенерировать запрос на выдачу цифрового сертификата (англ. Certificate signing request, CSR) к удостоверяющему центру. Запрос содержит основные данные об организации и открытый ключ.
Основное поле, которое должно быть правильно заполнено называется Common Name (CN). В данном поле необходимо указать доменное имя или IP-адрес хоста, на котором располагается контейнер сервлетов.
Для генерации секретного и открытого ключей и запроса на SSL сертификат можно воспользоваться утилитой keytool, входящей в состав JDK (Java development kit).
В командной строке необходимо ввести следующую команду:
$JAVA_HOME\bin> keytool -genkey -alias
Рис 4 – Создание хранилища SSL сертификатов утилитой keytool
Данная команда утилиты keytool создает хранилище сертификатов с именем
Во время создания хранилища утилитой keytool будет предложено ввести пароль на доступ к хранилищу, сведения об организации и пароль к секретному (закрытому) ключу. При ответе на вопрос утилиты keytool «What is your first and last name?» необходимо ввести доменное имя или ip-адрес хоста, т.к. значение ответа будет использовано в качестве поля CN SSL сертификата.
После того как утилитой keytool сгенерированно хранилище с ключами, следует сформировать запрос к удостоверяющему центру на подпись SSL сертификата. Это делается командой:
$JAVA_HOME\bin> keytool -certreq -keyalg RSA -alias
В файле
Для выдачи SSL сертификата организации удостоверяющий центр может потребовать учредительные документы, свидетельство о регистрации и др. При получении заявки на SSL сертификат удостоверяющий центр выполняет проверку, сравнивая данные в запросе на сертификат и присланных документах, после чего подписывает запрос. Подписанный запрос является сертификатом.
Рис 5 – Схема получения сертификата сервера
Получив сертификат из удостоверяющего центра его необходимо поместить в хранилище, предварительно добавив SSL сертификаты корневого и промежуточного удос товеряющих центров. Для добавления SSL сертификатов в хранилище следует воспользоваться следующими командами утилиты keytool:
1) добавление сертификата корневого удостоверяющего центра утилитой keytool:
$JAVA_HOME\bin> keytool -import -trustcacerts -alias rootca -file
2) добавление сертификата промежуточного удостоверяющего центра утилитой
keytool: $JAVA_HOME\bin> keytool -import -trustcacerts -alias subca -file
3) замена самоподписного сертификата сертификатом, подписанным в
удостоверяющем центре (указывается значение параметра alias, которое
использовалось при создании хранилища): $JAVA_HOME\bin> keytool -import -trustcacerts
-alias
Чтобы в приложениях использовать защищенное соединение SSL необходимо сконфигурировать контейнер сервлетов. Для Apache Tomcat и JBoss необходимо в файле server.xml добавить следующее содержимое:
clientAuth="false" sslProtocol="TLS" keystoreFile=" keystorePass=" keystoreType="JKS" keyAlias=" Данная запись позволяет контейнеру сервлетов устанавливать защищенное
соединение, используя цифровой SSL сертификат, который располагается в хранилище
В приведенной конфигурации используется односторонняя аутентификация, т.е.
предоставление цифрового SSL сертификата требуется только от сервера. Для
создания двухсторонней аутентификации, т.е. когда и клиент предоставляет
цифровой SSL сертификат, необходимо изменить конфигурацию контейнера сервлетов
следующим образом: maxThreads="150" scheme="https" secure="true" clientAuth="true" sslProtocol="TLS" keystoreFile="
keystorePass=" keystoreType="JKS" keyAlias=" truststoreFile="
truststorePass=" В данной конфигурации устанавливается параметр clientAuth=”true” и
подключается хранилище доверенных сертификатов. Создание хранилища доверенных
SSL сертификатов производится утилитой keytool так же, как и обычное хранилище.
В него необходимо добавить сертификаты удостоверяющих центров, выдающих цифровые
сертификаты, которым должен доверять контейнер сервлетов. В противном случае при
аутентификации предоставляемые SSL сертификаты будут отклонены контейнером
сервлетов, т.к. к ним не будет доверия. Существует 3 способа проверки сертификата на отзыв: статическая проверка CRL,
динамическая проверка CRL, проверка по протоколу OCSP. Рассмотрим эти способы
подробнее. 1) Статическая проверка CRL При использовании данного типа проверки администратору сервера необходимо в
конфигурации прописать имя файла на локальном диске, где располагается список
отозванных сертификатов. Данный список загружается с сетевого ресурса
удостоверяющего центра. Для подключения CRL в контейнерах сервлетов Apache Tomcat и Jboss следует у
ssl-коннекторе добавить атрибут: crlFile=”
Недостатком данного способа является необходимость постоянного контроля
администратора за обновлением файла CRL. 2) Динамическая проверка CRL Данный способ позволяет осуществлять проверку CRL автоматически. Для этого
необходимо, чтобы в предоставляемом клиентом SSL сертификате в разделе
расширений был прописан атрибут CRLDistributionPoint, в котором указывается
URL-адрес, по которому расположен список отозванных сертификатов (CRL). Чтобы выполнялась проверка клиентского SSL сертификата в CRL необходимо
сконфигурировать два параметра для виртуальной машины Java. Эти параметры можно
указать в скрипте запуска контейнера сервлетов. Для Apache Tomcat и Jboss под
Windows это выглядит следующим образом: set JAVA_OPTS=%JAVA_OPTS% -Dcom.sun.net.ssl.checkRevocation=true Dcom.sun.security.enableCRLDP=true -Djava.security.debug=certpath Параметр java.security.debug=certpath позволяет наблюдать в консоли
запущенного контейнера проверку подлинности сертификата. К недостаткам данного способа можно отнести задержку доступа к защищенному
ресурсу, связанную с загрузкой большого по объему файла CRL. 3) Проверка с помощью протокола OCSP Протокол OCSP (Online certificate status protocol) разработан в качестве
альтернативы CRL. Данная проверка поддерживается технологией JSSE (Java Secure
Socket Extension) начиная с версии JDK 5. OCSP работает в сочетании с CRL.
Обращение к CRL происходит в случае возникновения ошибки при взаимодействии по
OCSP. В случае, если OCSP определил статус SSL сертификата проверка CRL не
осуществляется. Сертификат может обладать одним из трех статусов: аннулирован,
нормальный, неизвестный. Для проверки по OCSP сертификат должен содержать в разделе расширений
атрибут AuthorityInfoAccess со значением URL-адреса OCSP-респондера. OCSP-респондер – программное обеспечение, расположенное на сетевом ресурсе
удостоверяющего центра, которое обрабатывает запросы на определение статуса
сертификата и выдает результаты проверки. Для того, чтобы виртуальная машина Java осуществляла проверку по OCSP
необходимо установить свойство ocsp.enable=true. Данное свойство настраивается в
файле JAVA_HOME\jre\lib\security\java.security. В данном файле можно прописать
адрес OCSP-респондера в свойстве ocsp.responderURL. Это свойство будет
использоваться в случае отсутствия URL респондера в SSL сертификате. Существуют ситуации, когда не только серверу необходимо подтвердить, что он
является тем за кого себя выдает, но и когда сервер требует от клиента
подтвердить свою личность цифровым сертификатом. Получить клиентский SSL сертификат можно без самостоятельной генерации
запроса, сделав это с помощью удостоверяющего центра. Для этого на сайте УЦ
необходимо заполнить форму с указанием имени, фамилии, e-mail адреса и др. На
основании этих данных будет сгенерирован запрос. В данной ситуации генерация
секретного ключа возлагается на удостоверяющий центр. После проверки данных и
подписи запроса, клиенту высылается файл, содержащий секретный ключ и
сертификат, а так же файлы корневого и промежуточных удостоверяющих центров. Получив файлы сертификатов необходимо настроить программное обеспечение,
которое будет устанавливать защищенные соединения. В качестве примера произведем установку клиентского SSL сертификата в
web-обозреватель
Microsoft Internet Explorer. Для этого необходимо в меню
выбрать Сервис > Свойства обозревателя. На закладке «Содержание» выбрать
«Сертификаты…». Запускаем мастер импорта сертификатов, нажав на кнопку «Импорт…». В данном
мастере указываем путь к сертификату корневого удостоверяющего центра. Далее
выбираем хранилище «Доверенные корневые центры сертификации» для добавления в
него сертификата. Аналогичным образом добавляются сертификаты промежуточных центров
сертификации в хранилище «Промежуточные центры сертификации» и клиентский
сертификат в хранилище «Личные». Для просмотра содержимого сертификата, выбирается нужный SSL сертификат и
нажимается кнопка «Просмотр». Если получение клиентского сертификата происходит у известного
удостоверяющего центра, то, как правило, его SSL сертификаты уже содержатся в
хранилищах web-обозревателя и нет необходимости их добавлять. Следует только
добавить клиентский сертификат. Если сервер, с которым будет производиться взаимодействие, получал
сертификат не у распространенного удостоверяющего центра, то серверный
сертификат следует добавить в доверенные, чтобы web-обозреватель не выдавал
сообщение о недоверии к такому сертификату. Если в качестве клиента использует web-обозреватель MS Internet Explorer, то
его можно настроить, чтобы производилась проверка присланных сертификатов в CRL.
Для этого необходимо в свойствах обозревателя перейти на закладку
«Дополнительно» и отметить два атрибута «Проверять аннулирование сертификатов
издателей» и «Проверять аннулирование сертификатов серверов». Начать бизнес можно с малого. Например, организовать перепродажу доменов и SSL-сертификатов. Вы находите клиентов для действующих продавцов и получаете вознаграждение в виде скидки и маржи - иначе говоря становитесь реселлером. Быстро настроить реселлинг доменов и SSL-сертификатов можно с помощью программного обеспечения ISPsystem. Важно!
Мы рекомендуем начать не с технической реализации, а с бизнес-модели и юридической стороны вопроса. Определите целевую аудиторию и способы ее привлечения, разработайте выгодную для себя и клиентов ценовую политику. Изучите правовую и бухгалтерскую базу. Только после этого переходите к техническому воплощению плана. Чтобы стать реселлером доменов и SSL-сертификатов, понадобится: Для перепродажи доменов и SSL-сертификатов вам понадобится установить на арендованный виртуальный сервер BILLmanager. Чтобы настроить интеграцию, используйте данные от продавцов доменов и SSL, с которыми вы заключили соглашение. Как правило, для интеграции необходимы URL доступа к API, код реселлера и ключ авторизации для API. В зависимости от компании данные могут различаться. После этого в BILLmanager в меню Интеграция
- Обработчики услуг
вы сможете настроить перепродажу. Также вы можете начать перепродавать SSL сертификаты через ISPsystem. Вам не нужно будет договариваться с регистратором напрямую. Для этого в разделе “Обработчики услуг” выберите BILLmanager 5 и введите данные личного кабинета my.ispsystem.com.
Чтобы клиенты могли оплачивать услуги, настройте способы оплаты. BILLmanager содержит более 30 модулей
оплаты: Яндекс.Деньги, WebMoney, PayMaster, Qiwi, PayPal, Банковский перевод и другие . Для работы с определенной платежной системой вы и ваши клиенты должны иметь счет или аккаунт в этой системе. Поэтому выбирайте наиболее популярные
сервисы. Для настройки интеграции понадобятся данные от платежной системы: номер кошелька и секретный ключ. Клиенты будут перечислять средства со своего счета на ваш. Поступление средств отразится в вашем кабинете и кабинете клиентов в BILLmanager. Для приема платежей от физлиц можно подключить простые электронные системы вроде Яндекс.Кассы или WebMoney. Юрлица оплачивают услуги банковским переводом по выставленному счету, поэтому для работы с ними подключите метод оплаты Банковский перевод (Российский банк). Внесите банковские данные своей организации. Подключение к платежным системам. В BILLmanager есть предустановленные шаблоны документов: счета, акта выполненных работ, акта сверки, договора на услуги, приложения к договору. Отредактируйте их в соответствии с вашими правилами предоставления услуг. Чтобы соответствовать требованиям законодательства, создайте и опубликуйте на своем сайте Политику конфиденциальности
и Условия использования
. Ссылку на эти документы добавьте в меню Настройки
- Настройки бренда
- Авторское право
.
При составлении политики обработки персональных данных, следуйте рекомендациям Роскомнадзора . Настройка шаблонов документов и сообщений
BILLmanager содержит более 60 шаблонов для создания рассылок. Клиенты получат письма при регистрации, заказе услуг, выставлении счета. Биллинг уведомит об окончании срока действия услуг. Также можно настроить шаблоны для SMS сообщений и массовых рассылок. В панели можно изменить вид сообщений. Для продажи услуг информацию о них надо разместить в открытом доступе. Если у вас есть сайт, настройте отображение услуг на нем. Подготовьте изображения и описания тарифов и сгенерируйте в BILLmanager ссылку на конкретный тарифный план с нужным периодом оплаты. При переходе по ссылке пользователь сразу попадет на страницу покупки выбранного товара. Настройка интеграции BILLmanager с сайтом Быстро разместить тарифы на сайте можно с помощью инструмента “Витрина”. Инструмент позволяет добавить на сайт карточку одной или нескольких услуг, чтобы пользователь мог выбрать нужную и заказать. Цены в карточках обновляются автоматически. Для добавления карточки необходимо разместить специальный скрипт в том месте, где вы хотите ее отображать. Скрипт найдете в документации: Интеграция витрины в существующий сайт. Переходя с вашего сайта в личный кабинет в BILLmanager, клиенты могут чувствовать несоответствие: сайт и биллинг оформлены по-разному, адрес биллинга содержит IP-адрес сервера и отличается от адреса сайта. Чтобы “уровнять” стили, выполните настройки бренда : добавьте в биллинг свой логотип, измените цвет интерфейса, опубликуйте ссылки на сайт. Чтобы URL биллинга не отличался от сайта, настройте адрес для BILLmanager . Например, у компании CloudLite адрес сайта cloudlite.ru
, адрес биллинга - myvdc.cloudlite.ru.
SSL
версии 3.0 явился основой для протокола TLS
( Transport Layer
Security
), отличающегося от SSL
незначительными деталями. В дальнейшем изложении под термином SSL
будут пониматься оба протокола. Процесс обмена данными при помощи протокола SSL
представлен на рис.
10.1 . Всякий раз, когда клиент подсоединяется к серверу, начинается сеанс
SSL
. В рамках каждого сеанса возможно несколько соединений. Если клиент подсоединяется к другому серверу, новый сеанс
начинается без разрыва текущего. При возврате к первому серверу пользователь
может возобновить соединение с использованием ранее установленных параметров либо создать новое соединение. Для предотвращения атак SSL
предполагает ограничение времени действия сеанса (как правило, 24 часами), по истечении которого сеанс
прекращается, и для дальнейшего общения с сервером необходимо создать новый сеанс
. Сеанс
SSL
характеризуется следующими значениями. SSL
включает в себя четыре протокола, которые представлены на рис.
10.2 :
Handshake.
Данный протокол предназначен для взаимной аутентификации клиента и сервера, установки сеанса или соединения. Установка сеанса, схематично представленная на рис.
10.3 , как правило, инициализируется клиентом при помощи сообщения ClientHello (иногда инициатором выступает сервер
, посылая сообщение HelloRequest, символизирующее о том, что сервер
готов к процедуре Handshake), в котором клиент передает следующие параметры: В ответ на это сообщение сервер
высылает сообщение ServerHello, содержащее следующие параметры: Кроме этого сообщения сервер
высылает свой сертификат. В том случае, если используемые алгоритмы требуют сертификата клиента, сервер
высылает клиенту запрос
на сертификат - CertificateRequest. Затем сервер
высылает клиенту сообщение ServerHelloDone, символизирующее об окончании передачи сообщения ServerHello. Если клиент не поддерживает алгоритмы, предложенные сервером, или не выслал свой сертификат в ответ на соответствующий запрос
, то установка сеанса прерывается. В противном случае клиент проверяет сертификат сервера, генерирует Pre_Master_Secret, зашифровывает его на открытом ключе сервера, полученном из сертификата последнего, и отсылает полученное значение
в сообщении ClientKeyExchange. Сервер
расшифровывает полученное сообщение при помощи своего секретного ключа и извлекает Pre_Master_Secret. Таким образом, обе стороны (клиент и сервер
) обладают тремя значениями - Server_Random, Client_Random и Pre_Master_Secret и могут выработать Master_Secret по схеме, представленной на рис.
10.4 . После этого обе стороны посылают сообщение Finished, представляющее собой зашифрованные на секретном ключе Master_Secret параметры сеанса и символизирующее о завершении процесса установки нового сеанса. Завершается установка соединения посылкой клиентом и сервером сообщений ChangeCipherSpec, подтверждающих принятие обеими сторонами алгоритмов сжатия, шифрования и хеширования информации и сообщений Finished, символизирующих об окончании процесса установки нового соединения. Record.
Данный протокол предназначен для преобразования данных, передаваемых сеансовым уровнем транспортному и обратно. Преобразование данных
происходит по схеме, приведенной на рис.
10.7 . Передаваемая отправителем информация
разбивается на блоки размером не более 2^14 + 2048 байт
каждый. Затем каждый блок сжимается при помощи выбранного алгоритма сжатия. После этого вычисляется MAC
каждого блока и прикрепляется к последнему. Полученные фрагменты последовательно нумеруются для предотвращения атак, зашифровываются при помощи выбранного алгоритма и передаются на транспортный уровень
. Получатель расшифровывает полученные фрагменты, проверяет последовательность следования их номеров и целостность
сообщений. Затем фрагменты распаковываются и объединяются в единое сообщение. CSS.
Протокол CSS
состоит из единственного сообщения, разрешающего протоколу Record
осуществлять преобразование данных
с использованием выбранных алгоритмов. Alert.
Данный протокол формирует сообщения об ошибках, возникающих в процессе передачи данных или установки сеанса или соединения. В зависимости от характера ошибок будет выдано предупреждение или разорвано соединение/ сеанс
. Примеры ошибок приведены в табл. 10.2 . Большинство электронных платежных систем, в частности интернет-магазины, используют в своей работе web-браузеры. Учитывая, что SSL
встроен практически во все известные web-браузеры, обеспечение безопасности передаваемых данных в 99% случаев[ 3GPP
TR 21.905: Vocabulary
for 3GPP
Specifications.] осуществляется на его основе. Однако следует отметить следующие отрицательные стороны SSL
, которые необходимо учитывать при принятии решения об использовании данного протокола при организации защищенного канала взаимодействия между участниками электронных платежных транзакций.Проверка отозванных сертификатов на сервере
Получение клиентского SSL сертификата в удостоверяющем центре и
конфигурирование web-обозревателя
Рис 6 – Схема получения SSL сертификата клиента
Рис 7 – Управление SSL сертификатами в MS Internet Explorer
Рис 8 – Цепочка сертификации
Проверка отозванных сертификатов на клиенте
Что нужно для начала
Установка и настройка программного обеспечения
Интеграция с продавцами доменов и SSL
Подключение платежных систем
Настройка шаблонов документов
Настройка почты и шаблонов сообщений
Настройка интеграции с сайтом
Интеграция с сайтом
Карточки товаров и услуг
Брендирование
Таблица
10.1.
Место SSL в модели OSI
Номер уровня
Название уровня
7
Прикладной
6
Представления
5
Сеансовый
SSL
4
Транспортный
3
Сетевой
2
Канальный
1
Физический
10.1. Обмен данными в SSL
10.2. Протоколы SSL
Рис.
10.2.
Рис.
10.3.
Рис.
10.4.
Таблица
10.2.
Ошибки, выдаваемые протоколом Alert
Название
Описание
access_denied
сертификат отозван во время действия сеанса/соединения
bad_certificate
ошибка сертификата
bad_record_mac
неправильный MAC
certificate_expired
просроченный сертификат
certificate_revoked
отозванный сертификат
certificate_unknown
неизвестный сертификат
close_notify
добровольное прекращение сеанса отправителем
decode_error
ошибка разбиения на блоки/объединения блоков
decompression_failure
ошибка декомпрессии сжатого блока
decrypt_error
ошибка расшифрования, связанная с неудачей проверки подписи
decryption_failed
ошибка расшифрования, вызванная некорректным заданием параметров при зашифровании сообщения
export_restriction
ошибка, вызванная экспортными ограничениями
handshake_failure
невозможно установить общие параметры соединения
illegal_parameter
некорректные параметры сеанса/соединения
insufficient_security
недостаточный уровень секретности алгоритмов на стороне клиента
internal_error
внутренняя ошибка
no_renegotiation
ошибка, вызванная невозможностью завершить протокол Handshake
protocol_version
версия протокола клиента не поддерживается сервером
record_overflow
длина блока сообщения превышает значение 2^14+2048 байт
unexpected_message
несвоевременно полученное сообщение
unknown_ca
некорректная подпись центра сертификации
unsupported_certificate
неподдерживаемый сертификат
user_canceled
прерывание протокола Handshake клиентом
10.3. Использование SSL в платежных системах
