گواهی و پروتکل SSL چیست و چرا باید از آن استفاده کنیم؟

یکی از مهم ترین ملاحظات هر وب سایتی، امنیت هستش. برای اینکه به خوبی بتونین از مشتریان و اطلاعات حساس اونها محافظت کنین، باید وب سایت شما بستر امنیتی خیلی خوبی داشته باشه. یک سایت ناامن می تونه در برابر انواع و اقسام تهدیدات سایبری آسیب پذیر باشه.

در واقع تهدیداتی که یک فروشگاه آنلاین رو تهدید می کنه معمولا بیشتر از فروشگاه های فیزیکی هستش. یکی از موثرترین ابزارها برای محافظت از یک وب سایت، پروتکل SSL هستش که مخفف عبارت Secure Socket Layer به معنی لایه سوکت های امن.

این پروتکل تا چندین سال در مرورگرهای پیشرو مثل گوگل کروم به عنوان شاخص اصلی تایید امنیت یک وب سایت مورد استفاده قرار می گرفت. این پروتکل چند سالی هست که با استاندارد جدیدتر TLS جایگزین شده، اما با این حال، هنوز هم توسط خیلی از وب سایت ها استفاده می شه.

در این مقاله با گواهی پروتکل SSL آشنا می شیم و می بینیم که چه اجزایی داره و به کارگیری اون در وب سایت چه مزایا و معایبی رو به همراه داره.

 

پروتکل SSL چیست؟

SSL یا لایه سوکت های امن یک پروتکل امنیتی اینترنت مبتنی بر رمزگذاری هستش. این پروتکل اولین بار توسط شرکت Netscape در سال 1995 و با هدف اطمینان از حفظ حریم خصوصی، احراز هویت و یکپارچگی داده در ارتباطات اینترنتی توسعه پیدا کرد.

وب سایتی که از این پروتکل برای تامین امنیت خودش استفاده می کنه، به جای HTTP در URL خودش از HTTPS استفاده می کنه. این پروتکل داده های محرمانه رو از طریق اینترنت و از طریق فرآیندی به نام رمزگذاری ایمن می کنه.

به همین دلیل، هدف اصلی SSL، حفاظت از حریم خصوصی داده هاست. بدین منظور، یک ارتباط امن بین مرورگر وب و سرور میزبانی کننده وب سایت ایجاد می شه. وب سایتی که دارای گواهینامه SSL باشه، با یک قفل کوچک و معمولا سبز رنگ در نوار آدرس مرورگر وب متمایز هستش. با دیدن این نشانه می تونین مطمئن باشین که انجام تراکنش در این وب سایت امن هستش.

 

 

 

 

پروتکل SSL چطور کار می کنه؟

گواهینامه های اس اس ال با استفاده از دو تکنیک رمزگذاری «متقارن» و «نامتقارن» از انتقال داده ها محافظت می کنن.

رمزگذاری نامتقارن از دو کلید مجزا استفاده می کنه؛ یک کلید عمومی و یک کلید خصوصی. کلید عمومی برای رمزگذاری پیام استفاده می شه که فقط با کلید خصوصی قابل رمزگشایی هستش و بالعکس.

رمزگذاری متقارن از طرف دیگه، از یک کلید مشترک با یک جفت کلید (Pair Key) برای رمزگذاری و رمزگشایی پیام استفاده می کنه.

برای اینکه نحوه عملکرد این تکنیک های رمزگذاری رو بهتر درک کنین، در اینجا فرآیند به صورت خلاصه آورده شده:

• ابتدا مالک وب سایت یک گواهی SSL رو از یک مرجع صدور گواهی (CA) می خره و اون رو در سایت خودش نصب می کنه.
• وقتی که یک بازدیدکننده وب سایت رو مرور می کنه، مرورگر و وب سرور با استفاده از روشی به نام SSL Handshake یک اتصال SSL رو برقرار می کنن. این روش به پروتکل SSL این اطمینان رو میده که وب سایت و دریافت کننده اطلاعات دقیقا همون چیزی هستن که ادعا می کنن.
• در حین Handshake، مرورگر برای اثبات اعتبار، از سرور گواهینامه اس اس ال و کلید عمومی رو درخواست می کنه.
• وقتی که گواهی تایید شد، مرورگر و وب سرور کلیدهای خصوصی و عمومی رو برای ایجاد یک کلید Session متقارن مبادله می کنن.
• در نهایت هر دو طرف از این کلید متقارن برای رمزگذاری تمام ارتباطات استفاده می کنن. این کلید برای مدت محدودی و فقط برای همون Session خاص معتبر هستش.

 

 

 

چرا پروتکل SSL اهمیت داره؟

در گذشته، داده ها در وب به صورت متن ساده منتقل می شدن که هر کسی می تونست اونها رو بخونه. مثلا اگر یک مصرف کننده از یک فروشگاه آنلاین بازدید کنه، سفارش بده و شماره کارت اعتباری خودش رو در وب سایت وارد کنه، اون شماره کارت اعتباری بدون پنهان شدن در سراسر اینترنت در دسترس قرار می گیره.

SSL برای اصلاح این مشکل و محافظت از حریم خصوصی کاربر ایجاد شده. پروتکل SSL با رمزگذاری هر داده ای که بین یک کاربر و یک وب سرور قرار می گیره، تضمین می کنه افراد غیرمجازی که داده ها رو رهگیری می کنن، به غیر از کاراکترهای درهم و نامفهوم چیز دیگه ای رو نبینن.

شماره کارت اعتباری مصرف کننده به لطف این پروتکل و نسخه جدیدتر اون یعنی TLS حالا کاملا محفوظ هستن و فقط برای فروشگاهی که شماره کارت رو وارد کردن قابل مشاهده هستش.

 

برای دریافت اطلاعات بیشتر راجع به TLS میتونین به صفحه TLS چیست و چگونه کار میکند ما مراجعه کنین

 

اس اس ال همچنین انواع خاصی از حملات سایبری رو متوقف می کنه؛ سرورهای وب رو احراز هویت می کنه که اهمیت زیادی داره، چون مهاجمان معمولا سعی می کنن وب سایت های جعلی رو برای فریب کاربران و سرقت داده ها راه اندازی کنن. این پروتکل همچنین از دستکاری داده های در حال انتقال توسط مهاجمان جلوگیری می کنه.

 

انواع گواهینامه های SSL

انواع مختلفی از گواهینامه های SSL وجود داره. بسته به نوعی که انتخاب می شه، یک گواهی رو می تونین برای یک یا چند وب سایت اعمال کنین.

یک دامنه: یک گواهی SSL تک دامنه فقط برای یک دامنه اعمال می شه. دامنه در واقع همون نام وب سایت شماست، مثلا danapardaz.com یک نام دامنه هستش.

Wildcard: درست مثل گواهینامه تک دامنه، این گواهی SSL هم فقط برای یک دامنه اعمال می شه. اما این گواهی علاوه بر دامنه اصلی می تونه روی زیردامنه ها (مثل academy.danapardaz.com و support.danapardaz.com) هم اعمال بشه.

چند دامنه: همون طور که نام این گواهی مشخصه، برای چندین دامنه غیرمرتبط اعمال می شن.

گواهینامه های SSL هم از نظر اعتبارسنجی دارای سطوح مختلفی هستن. سطح اعتبارسنجی مثل یک بررسی پیشینه هستش و بسته به دقت بررسی، سطح اون تغییر می کنه.

اعتبارسنجی دامنه: این سخت ترین سطح اعتبار سنجی و در عین حال ارزان ترین نوع اون به حساب میاد. تنها کاری که یک کسب و کار باید انجام بده اینه که ثابت کنه دامنه در اختیار اون قرار داره.

اعتبارسنجی سازمان: این فرآیند کاربردی تر به حساب میاد؛ CA مستقیما با شخص یا کسب و کاری که گواهی رو درخواست می کنه تماس می گیره. این گواهی ها برای کاربران قابل اعتمادتر هستن.

اعتبارسنجی توسعه یافته: برای اینکه از این سطح از اعتبارسنجی استفاده کنین، باید پیشینه یک یک سازمان قبل از صدور گواهی SSL، به طور کامل بررسی بشه.

 

 

مزایای پروتکل SSL

 

 

1. امنیت

هدف اصلی گواهینامه SSL رمزگذاری اطلاعات هستش تا فقط توسط گیرندگان مورد نظر قابل خوندن باشه. اطلاعاتی که از طریق اینترنت قابل دستیابی هستن شانس بالایی دارن تا به دست افراد غیرمجاز بیفتن. از اونجایی که گواهی SSL، داده ها رو رمزگذاری می کنه، کاراکترهای تصادفی در اونها درج می شن.

حتی اگر مزاحمان بتونن این اطلاعات رو به دست بیارن، نمی تونن اونها رو درک کنن. بنابراین، SSL برای محافظت از اطلاعات حساس مثل شناسه های کاربری، رمزهای عبور و شماره کارت اعتباری ایده آل هستش.

 

2. احراز هویت

همون طور که قبلا گفته شد، داده ها از طریق چندین طرف در اینترنت منتقل می شن. بنابراین، این احتمال که اطلاعات به دست افراد ثالث و غیرمجاز بیفته کاملا وجود داره. پروتکل لایه سوکت های امن تضمین می کنه که هر اطلاعاتی که در سایت شما وجود داره به سرور صحیح منتقل بشه.

برای دستیابی به امنیت، اس اس ال از پروتکل حفاظتی به نام گواهی سرور استفاد می کنه. این گواهی سرور با ایفای نقش به عنوان یک فرد واسط بین مرورگرها و سرورهای SSL، مطمئن می شه که ارائه دهنده گواهی SSL قابل اطمینان هستش.

 

3. قابلیت اطمینان

هر سایتی که گواهی SSL رو ارائه میده، در واقع فرآیند تاییدیه رو پشت سر گذاشته. به همین دلیل، وقتی که بازدیدکنندگان از یک وب سایت بازدید می کنن، این حس اعتماد رو ایجاد می کنه که سایت قانونیه و یک نسخه جعلی نیست.

به طور کلی یک سایتی که با گواهی SSL احراز هویت می شه، یک نماد قفل سبز رنگ رو در نوار آدرس خودش داره. این قفل به این موضوع اشاره داره که سایت اقدامات امنیتی لازم رو انجام داده و برای انجام تراکنش ها به اندازه کافی قابل اعتماد هستش.

 

4. جلوگیری از فیشینگ

گاهی اوقات کاربران ممکنه ایمیل های فیشینگ که معمولا به شکل تبلیغات و تاییدیه های ارسال مرسولات طراحی می شن رو دریافت کنه. این ایمیل ها حاوی لینک هایی هستن که کاربر رو به سایت های هدف هدایت می کنه. تنها هدف این سایت ها جمع آوری اطلاعات حساس مثل جزئیات کارت اعتباری هستش.

اما خوشبختانه تقریبا غیرممکنه که این سایت ها گواهینامه SSL معتبر دریافت کنن. معمولا وقتی بازدیدکنندگان گواهی SSL رو در نوار آدرس مرورگر وب خودشون نمی بینن، احتمالا هیچ اطلاعات محرمانه ای رو وارد نمی کنن.

پرداخت آنلاین

تمام پلتفرم های پرداخت آنلاین، سایت ها رو ملزم می کنن تا گواهی SSL با حداقل رمزگذاری 128 بیتی رو دریافت کنن. بدون گواهینامه SSL مناسب، سایت ها نمی تونن پرداخت از طریق کارت های اعتباری رو بپذیرن.

 

5. نیازهای نرم افزاری

گواهی SSL نیازی به نصب کلاینت های نرم افزاری نداره. تنها چیزی که لازم دارین اتصال به اینترنت از طریق یک مرورگر وب استاندارد هستش. بنابراین، می تونین در هزینه خرید، نگهداری و مدیریت نرم افزار به میزان قابل توجهی صرفه جویی کنین. این مزیت می تونه برای سازمان های کوچک و بزرگ خیلی مفید باشه.

 

6. سئو

اخیرا گوگل اعلام کرده که داشتن گواهینامه SSL یکی از عوامل افزایش رتبه موتورهای جستجو به حساب میاد. این الگوریتم طوری ساخته شده که سایت های دارای گواهی SSL در صفحات نتایج موتور جستجو (SERP) رتبه بالاتری به دست میارن. تقریبا تمام سایت هایی که در گوگل رتبه های بالایی دارن از گواهی SSL بهره می برن.

 

 

7. محافظت از هشدار گوگل

موتور جستجوی گوگل به طور مداوم الگوریتم های خودش رو به روز می کنه و اینترنت رو به مکانی بهتر برای گشت و گذار و خرید کالا تبدیل می کنه. خیلی از مرورگرهای جدید و مدرن، قبل از نمایش سایت هایی که از گواهی SSL بهره نمی برن، به کاربر هشدار میدن.

بنابراین، گواهینامه های SSL باید نصب بشن تا سایت شما به عنوان یک سایت ناامن شناخته نشه و با جلوگیری از نمایش این نوع هشدارها، اعتماد و برند خودتون رو تقویت کنین.

 

پروتکل اس اس ال چه معایبی داره؟

 

1. هزینه

گواهینامه های SSL قیمت بالای دارن و هزینه SSL کاملا به سطح امنیتی که در وب سایت خودتون به اون نیاز دارین، بستگی داره. اگر می خواهید گواهینامه های چند دامنه ای بخرین که دامنه و زیردامنه ها رو پوشش بده، طبیعتا هزینه این نوع اس اس ال خیلی بیشتر از SSL تک دامنه هستش.

پروتکل های تعمیر و نگهداری و تایید، هزینه نهایی گواهی SSL رو افزایش میدن. اما بعضی از ارائه دهندگان میزبانی، در صورتی که بسته های میزبانی خاصی رو خریداری کنین، گواهی SSL رو رایگان ارائه میدن. حتی شبکه تحویل محتوا یا CDN مثل Cloudflare هم گواهی های رایگان رو برای تعدادی از دامنه ها در یک حساب واحد، ارائه میدن.

اگر یک شرکت فعال در حوزه تجارت الکترونیک هستید یا یک وب سایت بانکی دارید که در آن تراکنش های آنلاین انجام می شه، خرید SSL از منابع مجاز قویا توصیه می شه. در واقع هزینه به عنوان محدودیت و عیب اصلی SSL در نظر گرفته می شه.

 

2. کاهش سرعت

SSL زمان بارگذاری صفحات وب در مرورگر رو افزایش میده. وقتی که یک مرورگر برای اولین بار به یک وب سرور امن SSL متصل می شه، یک Session امن توسط کامپیوتر مشتری و وب سرور آغاز می شه. این فرآیند مقدماتی شامل یک روش Handshake مفصل رفت و برگشتی هستش که در نهایت یک اتصال امن رو ایجاد می کنه.

با برقراری ارتباط، هم کامپیوتر سرویس گیرنده و هم وب سرور باید اطلاعات رو قبل از اینکه در دو طرف ارتباط قابل خوندن باشه، رمزگذاری و رمزگشایی کنن.

البته این کاهش سرعت نسبتا کم هستش، مخصوصا اگر وب سرور و کامپیوتر مشتری از سرعت پرداخت خوبی برخوردار باشه و سایت ترافیک بالایی نداشته باشه.

 

3. عملکرد Handshake

همون طور که اشاره کردیم SSL سرعت بارگذاری سایت ها رو کاهش میده. علت این کندی سرعت اینه که سرور رمزگذاری و مرورگر برای ایجاد یک ارتباط خوب و امن، به دنبال یک فرآیند Handshake پیچیده هستن.

وقتی که این اتصال برقرار شد، SSL داده ها و اطلاعات رو قبل از اینکه برای پردازش بیشتر در دسترس قرار بگیرن، رمزگذاری و رمزگشایی می کنه. این فرآیند Handshake در پشت صحنه انجام می شه که برای کاربران قابل مشاهده نیست و همین موضوع باعث می شه تا عملکرد کلی وب سایت تا حدودی کندتر بشه.

4. ریدایرکت

وقتی که سایت خودتون رو از HTTP به HTTPS هدایت می کنین، توصیه می شه تمام ترافیک رو از HTTP به HTTPS هدایت کنین، در غیر این صورت گوگل وب مستر خطاهایی مثل محتوای مختلط رو در بخش محتوای تکراری نمایش میده که گاهی اوقات رتبه بندی SEO رو دچار مشکل می کنه.

 

5. نیاز به تمدید

گواهی SSL باید به طور دوره ای تمدید و به روز بشه و توصیه می شه که این کار رو هر سال انجام بدین. اگر این کار رو انجام ندین، گواهی اس اس ال اعتبارسنجی و محافظت از وب سایت شما رو دیگه انجام نمیده.

این موضوع باعث می شه تا درآمد شما به طور جدی کاهش پیدا کنه. علتش اینه که SSL برای اون دسته از وب سایت هایی که در حوزه تجارت الکترونیک هستن و معاملات آنلاین دارن، به یک استاندارد اجباری تبدیل شده.

 

6. مشکلات کش کردن

مقاله ای که رمزگذاری شده مطمئنا در کش با مشکلاتی روبرو می شه؛ سیستم کش پروکسی قادر به مدیریت این نوع رمزگذاری نیست. بنابراین، برای مقابله با این رمزگذاری، سرورهای اضافی دقیقا بعد از رسیدن رمزگذاری به سرور کش قرار می گیرن و به همین دلیل، داده ها به درستی رمزگذاری شده و به مقصد ارائه می شن.

 

7. رمزگذاری ناامن

گواهی SSL به کامپیوتر سرویس گیرنده و وب سرور اجازه میده تا تصمیم بگیرن که از چه شکلی از رمزگذاری برای اتصال استفاده کنن. با اینکه خیلی از استانداردهای رمزگذاری که توسط اس اس ال پشتیبانی می شه کاملا قوی و امن هستن، اما یک سرور با پیکربندی نادرست یا نرم افزار قدیمی می تونه روش رمزگذاری نامناسبی رو انتخاب کنه سطح حفاظتی به مراتب پایین تری رو نسبت به تهدیدات جدید ارائه میده.

از اون بدتر اینه که شخص بازدیدکننده از وب سایت ممکنه اصلا متوجه نشه که از طریق یک استاندارد رمزگذاری سطح پایین به وب سرور متصل شده. در واقع تا وقتی که یک وب سایت از گواهی SSL برخوردار باشه، مرورگر ارتباط با اون وب سایت رو امن معرفی می کنه. اما این در حالی هستش که نفوذ به این سرور توسط یک مهاجم حرفه ای غیرممکن نیست.

 

8. مشکلات پروتکل

اگر گواهی SSL به درستی پیاده سازی نشه، فایل هایی که باید از طریق HTTPS ارائه بشن، از طریق HTTP ارائه می شن. به همین دلیل، یک پیام هشدار برای بازدیدکنندگان نمایش داده می شه که اطلاعات اونها به خوبی محافظت نمی شه.

 

9. پشتیبانی از برنامه ها

در مراحل اولیه، اس اس ال فقط برای پشتیبانی از اپلیکیشن های تحت وب بود. هر کاربردی غیر از این به خرید ماژول ها از فروشندگان اپلیکیشن نیاز داشت. علاوه بر این، فرآیند نصب SSL چندان آسان نیست و اگر از یک نرم افزار داخلی استفاده می کنین، باید تغییراتی رو در اون اعمال کنین.

 

 

سوالات متداول

• 
  

  پروتکل SSL چیست؟

  SSL یا لایه سوکت های امن یک پروتکل امنیتی اینترنت مبتنی بر رمزگذاری هستش. این پروتکل اولین بار توسط شرکت Netscape در سال 1995 و با هدف اطمینان از حفظ حریم خصوصی، احراز هویت و یکپارچگی داده در ارتباطات اینترنتی توسعه پیدا کرد.

• 
  

  پروتکل SSL چطور کار می کنه؟

  گواهینامه های اس اس ال با استفاده از دو تکنیک رمزگذاری «متقارن» و «نامتقارن» از انتقال داده ها محافظت می کنن. رمزگذاری نامتقارن از دو کلید مجزا استفاده می کنه؛ یک کلید عمومی و یک کلید خصوصی. کلید عمومی برای رمزگذاری پیام استفاده می شه که فقط با کلید خصوصی قابل رمزگشایی هستش و بالعکس.