Кратка история на SSL и TLS

SSL срещу TLS - какви са разликите и какво трябва да се има предвид?
SSL първоначално е разработен от Netscape и стартира през 1995 г. със SSL 2.0

Netscape стартира

Автор: GMO GlobalSign

Интернет сигурността от време на време се чете като супа от букви - SSL, TLS, ECC, SHA - списъкът продължава и продължава. Всички тези съкращения могат да предизвикат объркване, когато се опитвате да разберете от какво наистина се нуждаете. Може би един от най-често срещаните въпроси: Каква е разликата между SSL (Secure Socket Layer) и TLS (Transport Layer Security)? Те знаят, че искате да защитите уебсайта си (или някаква друга форма на комуникация). Но имате ли нужда от SSL за това? TLS? И двете?

SSL и TLS са и двата протокола за криптиране, които осигуряват удостоверяване и криптиране на данни между сървъри, компютри и приложения, работещи в мрежа (например клиент, свързващ се с уеб сървър). SSL е предшественик на TLS. С течение на годините бяха пуснати нови версии на протоколите за справяне с уязвимости в сигурността и за поддържане на по-силни, по-сигурни пакети шифрове и алгоритми.

SSL първоначално е разработен от Netscape и стартира през 1995 г. със SSL 2.0 (1.0 така и не е пуснат за обществеността). Версия 2.0 беше бързо заменена от SSL 3.0 през 1996 г., след като бяха открити редица уязвимости в сигурността. Забележка: Версии 2.0 и 3.0 понякога се пишат като SSLv2 и SSLv3.

TLS е въведен през 1999 г. като нова версия на SSL и е базиран на SSL 3.0:

Разликите между този протокол и SSL 3.0 не са драматични, но са достатъчно големи, че TLS 1.0 и SSL 3.0 не работят заедно.

Използвайте SSL или TLS?
И двете SSL 2.0 и 3.0 бяха отхвърлени от IETF (съответно 2011 и 2015 г.). През годините пропуските в сигурността са били и продължават да бъдат откривани във вече изхвърлените SSL протоколи (напр. POODLE, DROWN). Повечето съвременни браузъри маркират уеб сървърите със стари протоколи за потребителя, например със зачеркната ключалка за сигурност или https в URL реда или други предупреждения за сигурност. Поради тези причини трябва да деактивирате SSL 2.0 и 3.0 в конфигурацията на вашия сървър и да оставите само протоколите TLS активирани.

Сертификатите не са същите като протоколите
Преди някой да започне да се притеснява дали ще замени съществуващите си SSL сертификати с TLS сертификати, важно е да се отбележи, че сертификатите не разчитат на протоколи. Това означава, че не е необходимо да използвате TLS сертификат вместо SSL сертификат. Въпреки че много доставчици са склонни да използват термина "SSL/TLS сертификат", по-точно е да се използва терминът "сертификати за използване с SSL и TLS". Протоколите, а не самите сертификати, се определят от конкретната конфигурация на сървъра.

Вероятно ще продължите да виждате сертификати, посочени като SSL сертификати, тъй като това е терминът, с който хората просто са запознати в момента. Терминът TLS обаче става все по-популярен в цялата индустрия. SSL/TLS е настоящият компромис.

Деактивиране на SSL 2.0 и 3.0
Ако не сте сигурни дали сървърите ви все още поддържат SSL протоколи, можете лесно да проверите това с тестер като този SSL Server Test. Констатациите на GlobalSign Server Test маркират всички протоколи, които са разрешени, но не трябва да бъдат.

Инструкции как да деактивирате SSL 2.0 и 3.0 на често срещани типове сървъри, като например Apache, NGINX и Tomcat могат да бъдат намерени в нашата специална статия за поддръжка.

И така, каква е разликата между SSL и TLS? Честно казано, не особено голям. Що се отнася до конфигурацията на вашия сървър, разликата се крие в уязвимости, остарели пакети за шифрове и предупреждения за сигурност на браузъра. Що се отнася до вашите сървъри, трябва да имате разрешени само TLS протоколи. (GMO GlobalSign: ra)

регистриран: 17.07.16
Пускане на дома и бюлетина: 23.08.16

GMO GlobalSign: контакт и профил

Доставчикът на информация има неговия контакт за съжаление все още не е активиран.

Съобщения: Съвети и съвети

Повишаването на изискванията за съответствие и европейските директиви като GDPR или директивата NIS за критични инфраструктури вече подтикнаха значително прилагането на мерките за киберсигурност в компаниите. Въпреки това, компаниите често отговарят само на минималните изисквания - докато нападателите разполагат с обширни и усъвършенствани възможности за достъп до фирмени мрежи. Средните компании, например в преработващата промишленост или в сектора на здравеопазването, са във фокуса на хакерите: Използвайки атаки на рансъмуер, кибер участниците могат да парализират цели производствени линии или да отнемат болниците от мрежата. По-специално в тези сектори щетите след нападение са особено големи, тъй като те имат огромни икономически ефекти и засягат голям брой хора. За хакерите средният бизнес, който е икономически успешен, но в същото време не разполага със същите изчерпателни мерки за сигурност, като големите компании, включени в списъка, представлява особен интерес.

Кибер престъпниците все по-често атакуват производствени компании в Германия с фалшиви фактури. Това откри Proofpoint. Нападателите изпращат фалшиви фактури, които се използват като стръв, или имейлът съдържа връзка към уебсайт, на който фалшивият документ е достъпен за изтегляне. Документите са заразени с троянския NanoCore за отдалечен достъп. Според Proofpoint прикачените файлове съдържат компресиран изпълним файл (с разширение ".Z"), докато злонамерените връзки карат получателя да изтегли зловредния софтуер, хостван на onedrive.live.com.

Guardicore прави препоръки за защита за края на поддръжката за Windows Server R2, Windows Server 2008 и Windows 7. От 14 януари 2020 г. потребителите на тези операционни системи на Microsoft вече няма да получават безплатни актуализации на защитата и актуализации онлайн. Без актуализации, свързани със сигурността, съответните ИТ системи вече не са защитени срещу новооткрити слаби места. Някои от споменатите операционни системи вече са на повече от десетилетие, но се смята, че само Windows Server 2008/2008 R2 все още е в експлоатация на почти всеки трети сървър в света. Много организации не могат да надстроят до най-новите версии на операционната система, защото са обект на сложни правни и сертификационни изисквания или просто нямат необходимия бюджет. Следователно са необходими мостови решения - също и за да могат да придружават отнемащите време миграционни процеси.

Имейлът е средство за комуникация номер едно. Компаниите са длъжни да се справят със сигурността на електронната поща, тъй като комуникират както вътрешно, така и външно. Нарушения на данни и кражби на данни могат да се чуват почти всеки ден: Непознати получават достъп до вътрешната фирмена система - за съжаление много лесно в някои случаи - и имат достъп или манипулират данни. Следователно обикновените некриптирани имейли представляват основен риск: Те са подобни на пощенска картичка, чието съдържание може да прочете всеки. "Тъй като ако имейлите не са нито цифрово подписани, нито криптирани, съдържанието може не само да бъде шпионирано, но и манипулирано. Тъй като атаките от този вид обикновено не са видими или откриваеми, защитата на имейлите за съжаление е намалена Както преди, често пренебрегван. Колко често и от кого се четат имейли, никой не може да види ", предупреждава Патриция Тулинска, управляващ директор на PSW Group.

Посетете SaaS-Magazin.de

SaaS, при поискване, ASP, облачни изчисления, аутсорсинг >>>

Безплатен бюлетин

Всеки работен ден информира с IT SecCity.de, Compliance-Magazin.de и SaaS-Magazin.de. Достъп до три онлайн списания с един бюлетин. Поръчайте тук

Техническа статия

Неефективните отговори на атаки по имейл струват на бизнеса милиарди долари всяка година. За много организации намирането, идентифицирането и премахването на заплахи по имейл е бавен, ръчен и отнемащ ресурси процес. В резултат на това атаките често имат време да се разпространят в цялата организация и да причинят допълнителни щети. Според Verizon повечето фишинг кампании отнемат само 16 минути, докато някой кликне върху злонамерена връзка. Когато обаче се реагира на инцидент ръчно, отнема на компаниите около три часа и половина да отговорят. В много случаи към този момент атаката вече се е разпространила, което изисква допълнителни разследвания и контрамерки.

В продължение на стотици години оригиналният подпис беше нещо като фактически стандарт за законно подписване на голямо разнообразие от договорни документи и споразумения от всякакъв вид. Преди повече от десетилетие все повече и повече бизнес дейности и заедно с тях свързаните процеси бяха преместени в Интернет. Може да е отнело известно време, но с възрастта на дигиталната трансформация ръкописните подписи върху хартиени документи започват да изчезват и цифровите подписи стават все по-приети в целия свят.

Независимо дали стартираща компания или корпорация: Инструментите за сътрудничество също са изключително популярни в немските компании. Те са особено лесни за интегриране в отделни работни процеси и могат да се използват на различни крайни устройства. Понастоящем Slack е един от най-използваните инструменти за сътрудничество в световен мащаб. Приложението в облак обаче представлява предизвикателство за сигурността на данните, което може да бъде надеждно овладяно само със специални решения за сигурност в облака. Само за няколко години Slack се превърна от сравнително непознато облачно приложение в едно от най-популярните решения за екипна съвместна работа в света. Техният триумфален напредък в повечето компании често започва с приложение в сянка, което първоначално се използва само от отделни вътрешни работни групи на компанията. Оттам обикновено бързо се превръща в най-популярния инструмент за сътрудничество в цялата организация.

Напоследък автоматизираните фишинг атаки внезапно се увеличиха значително. Благодарение на изкуствения интелект (AI), машинното обучение и големите данни, съдържанието е много по-убедително, а методологията за атака е изключително прецизна. Тези атаки нямат много общо с традиционните фишинг атаки. Докато ИТ мениджърите използват ИИ за издигане на сигурността на следващото ниво, човек може уверено да се чуди какво се случва, ако тази технология попадне в грешните ръце, лошите? Напредъкът на Интернет и напредъкът в изчислителната техника ни позволиха да намерим точни решения дори за сложни проблеми. От астрофизика до биологични системи до автоматизация и прецизност. Всички тези системи обаче са изначално уязвими към кибер заплахи. Особено в нашия забързан свят, където иновациите идват и си отиват, киберсигурността трябва да продължи да бъде фокусът. Особено когато става въпрос за потока от данни, генерирани от Интернет на нещата (IoT). Идентифицирането на зловреден софтуер разчиташе много на разпознаването на определени файлови подписи. Или базирани на правила системи, които разкриват мрежови аномалии.