Port Https - bezpečný komunikační protokol

Port Https je bezpečný komunikační protokol v počítačové síti, která je široce využívána na internetu. Https se skládá z protokolu přenosu hypertextového přenosu (http) v rámci připojení zašifrovaného pomocí zabezpečení zabezpečení vrstvy zabezpečení (nebo Secure Sockets Layer). Hlavním účelem portu https je autentizovat navštívenou webovou stránku a chránit důvěrnost a integritu výměnných dat.

Https poskytuje autentizaci webové stránky a přidruženého webového serveru, s nímž komunikuje. Tento protokol také poskytuje obousměrné šifrování zpráv mezi klientem a serverem, které je chráněno před odposloucháním a manipulací s obsahem zprávy. V praxi to poskytuje záruku, že uživatel komunikuje s požadovaným místem (ne s falešnou stránkou) a výměna dat mezi uživatelem a prostředkem je důvěrná.

Port Https: historické pozadí

Https byl vytvořen společností Netscape Communications v roce 1994 pro webový prohlížeč Netscape Navigator. Původně byl https používán s Protokol SSL. Protože SSL se stal bezpečnostním systémem dopravní vrstvy (TLS), byl https oficiálně definován RFC 2818 v květnu 2000.

Historicky se https spojení používala hlavně pro platební transakce na World Wide Web. (World Wide Web), e-mailu a důvěrných transakcí v podnikových informačních systémech. Koncem roku 2000 a počátkem roku 2010. Protokol https začal být široce používán k ochraně ověřování stránek na všech typech webů, k zajištění bezpečnosti uživatelských účtů a soukromí uživatelů, k ochraně osobních údajů a soukromého prohlížení webových stránek.

Použití na webových stránkách

Od června 2017 ve výchozím nastavení používá https 21,7% webových stránek s více než 1 000 000 uživateli. 43,1% nejoblíbenějších webových stránek na internetu má 141 387 uživatelů, kteří mají zabezpečené https implementace. Podle zprávy Firefox Telemetry 45% zatížení stránky používá https logging.

Podle zpráv společnosti Mozilla se od ledna 2017 vysílá více než polovina webového provozu zašifrovanou formou.

Integrace prohlížeče

Většina prohlížečů zobrazí varování, pokud obdrží neplatný certifikát. Starší prohlížeče při připojení k webu s neplatným certifikátem by měli uživateli poskytnout dialogové okno s dotazem, zda chtějí pokračovat v přechodu na zdroj. Nové prohlížeče zobrazují varování v celém okně.

Novější prohlížeče také zobrazují informace o zabezpečení webu v adresním řádku. Rozšířené ověřovací certifikáty označují v novém prohlížeči prohlížeče adresy zeleně. Většina prohlížečů také upozorní uživatele, když navštíví web obsahující směs šifrovaného a nešifrovaného obsahu.

Zabezpečení portu HTTP

Zabezpečení Https je základní TLS, který obvykle používá dlouhodobé veřejné a soukromé klíče pro generování krátkodobého klíč relace, který je pak použit pro šifrování toku dat mezi klientem a serverem. Certifikáty X.509 se používají k ověření serveru (a někdy i klienta). Výsledkem je, že certifikáty a certifikáty s veřejným klíčem jsou nezbytné k ověření spojení mezi certifikátem a jeho vlastníkem, stejně jako k vytváření, podepisování a správě platnosti certifikátů.

Důležitým prvkem v této souvislosti je přímé utajení, které zajišťuje, že zašifrované zprávy zaznamenané v minulosti nemohou být obnoveny a dešifrovány, pokud budou v budoucnu ohroženy dlouhodobé tajné klíče nebo hesla. Ne všechny webové servery poskytují přímé soukromí - záleží na tom, který port připojení https se používá.

Omezení

Port Https je citlivý na řadu útoků s analýzou provozu. Tento typ útoku nastává na straně kanálu, závisí na změnách času a velikosti provozu a diskredituje vlastnosti šifrovaného obsahu. Analýza provozu je možná, protože šifrování SSL / TLS mění obsah provozu, ale má minimální dopad na její velikost a čas.

V květnu 2010 výzkumníci společnosti Microsoft Research a Indiana University zjistili, že podrobné, důvěrné uživatelské údaje mohou být odvozeny z vedlejších kanálů, jako jsou například velikosti paketů. Odborníci zjistili, že odposlouchávací zařízení může přijímat citlivá uživatelská data.

V červnu 2014 prokázal tým výzkumníků z UC Berkeley a společnosti Intel, vedený Bradem Millerem, obecný přístup k analýze provozu portu https založeného na strojovém učení. Vědci prokázali, že útok byl aplikován na různé webové stránky, včetně takového populárního zdroje jako YouTube. Ukázalo se, že útočník může navštívit stejné webové stránky jako obětník, který shromažďuje síťovou komunikaci, která slouží jako vzdělávací údaje.

Útočník pak identifikuje podobnosti ve velikostech paketů a objednávek mezi přenosem obětí a tréninkovou datovou cestou - to umožňuje útočníkovi zobrazit přesnou stránku, kterou návštěvník navštíví. Bylo také zjištěno, že útok nemůže být použit k detekci uživatelských hodnot vložených do webové stránky. Například mnoho bank nabízí webové rozhraní, které uživatelům umožňují zobrazit zůstatky na účtu. Útočník bude schopen zjistit, že uživatel si prohlédl stránku zůstatku účtu, ale nemůže zjistit přesný zůstatek uživatele nebo číslo účtu.