Page History

Versions Compared

Key

This line was added.
This line was removed.
Formatting was changed.

...

В этом случае браузер сначала преобразует данные пользователя в случайный набор символов и только потом отправляет его на сервер. Расшифровать сообщение получится только специальным ключом, который хранится на сервере. Если мошенники и перехватят информацию, они не поймут, что она означает.

Использование сертификата безопасности для сайта гарантирует:

Подлинность ресурса, к которому обращается пользователь.
Целостность передаваемой информации. При транспортировке от сервера к браузеру данные не изменятся и не потеряются.
Конфиденциальность. 256-разрядное шифрование исключает доступ злоумышленников к информации.

Процесс работает следующим образом:

Браузер или сервер пытается подключиться к веб-сайту (веб-серверу), защищенному с помощью SSL.
Браузер или сервер запрашивает идентификацию у веб-сервера.
В ответ веб-сервер отправляет браузеру или серверу копию своего SSL-сертификата.
Браузер или сервер проверяет, является ли этот SSL-сертификат доверенным. Если это так, он сообщает об этом веб-серверу.
Затем веб-сервер возвращает подтверждение с цифровой подписью и начинает сеанс, зашифрованный с использованием SSL.
Зашифрованные данные используются совместно браузером или сервером и веб-сервером.

Этот процесс иногда называют подтверждением SSL-соединения. Хотя по описанию этот процесс выглядит длительным, в реальности он занимает миллисекунды.

Если веб-сайт защищен SSL-сертификатом, в веб-адресе появляется аббревиатура HTTPS (безопасный протокол передачи гипертекста). Для сайтов без SSL-сертификата отображается аббревиатура HTTP, без буквы S, соответствующей Secure (безопасный). Также в адресной строке веб-адреса будет отображаться значок замка. Это свидетельствует о безопасности и обеспечивает уверенность посетителям веб-сайта.

Чтобы просмотреть сведения об SSL-сертификате, можно щелкнуть значок замка, расположенный на панели браузера. Данные, входящие в SSL-сертификат, обычно включают:

Доменное имя, для которого выпущен сертификат.
Лицо, организация или устройство, для которого выпущен сертификат.
Центр сертификации, выдавший сертификат.
Цифровая подпись центра сертификации.
Связанные поддомены.
Дата выдачи сертификата.
Срок действия сертификата.
Открытый ключ (закрытый ключ не раскрывается).

Типы SSL-сертификатов и их различия.

SSL с проверкой домена, или DV SSL

Сертификат с проверкой домена выдается любому человеку, который доказал, что он владеет доменом, для которого запросил SSL. Это доказательство — обычно уникальный серийный номер, который центр сертификации берет с вашего веб-сервера или из DNS-записей.

SSL с проверкой организации, или OV SSL

SSL с проверкой организации значит, что центр сертификации также проверил имя компании и ее адрес в публичных базах данных. Информация вводится в сертификат и обычно отображается только когда пользователь нажимает на иконку с замочком.

SSL с расширенной проверкой, или EV SSL

Расширенная проверка более тщательная, чем проверка домена или организации. При выдаче EV сертификатов проверяются права на домен, существование и местоположение компании.

В отличие от DV и OV сертификатов, EV сертификаты не могут выдаваться для субдоменов.

EV сертификаты также по-особому отображаются во всех браузерах кроме Google Chrome. Сайт с таким сертификатом отображается с именем компании в зеленой строке браузера. Пользователи обычно больше обращают внимание на сайты с зеленой строкой и больше им доверяют.

SSL-сертификат с проверкой субдоменов (wildcard)

Это сертификат, который защищает не только основной домен www.abc.com, но и все его субдомены — www.one.abc.com, www.two.abc.com.
Такой сертификат может быть OV или DV.

Сертификаты варьируются по цене, выбирайте исходя из ваших возможностей и нужд.

Как подложить сертификат?

Если сайт настроен на ресурсах датацентра, то Gridnine сам подкладывает сертификат. От вас потребуется прислать приобретённый сертификат.
Если сайт настроен на ваших ресурсах, обратите внимание на следующую инструкцию:

Apache

Создайте на вашем сервере в каталоге /etc/ssl/ файлы domain_name.crt, private.key и chain.crt со следующим содержимым:
- domain_name.crt — сам сертификат;
- private.key — приватный ключ;
- chain.crt — цепочка сертификатов, которая содержит сначала промежуточный сертификат и следом за ним корневой (с новой строки без пробелов и пустых строк).
  cat intermediate.key root.key > chain.crt - консольная команда для объединения сертификатов.
  Также можно вручную объединить сертификаты, создав текстовый документ и перенести в него содержимое файлов без пробелов и пустых строк.
- После вставки всех сертификатов файл должен иметь вид:
```
-----BEGIN CERTIFICATE-----
#Ваш сертификат#
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
#Промежуточный сертификат#
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
#Корневой сертификат#
-----END CERTIFICATE-----
```
Откройте файл конфигурации Apache. В зависимости от особенностей вашего сервера этот файл находится по одному из следующих адресов:
- для CentOS: /etc/httpd/conf/httpd.conf;
- для Debian/Ubuntu: /etc/apache2/apache2.conf;
- если вы устанавливаете SSL-сертификат на OpenServer, используйте путь к его корневой папке.
В конце файла создайте копию блока «VirtualHost». Укажите для блока порт 443 и добавьте внутри него строки:
```
SSLEngine on
SSLCertificateFile /etc/ssl/domain_name.crt
SSLCertificateKeyFile /etc/ssl/private.key 
SSLCertificateChainFile /etc/ssl/chain.crt
```

Пример конфигурационного файла:
Image Added

Nginx

Объедините три сертификата (сам SSL-сертификат, корневой и промежуточный сертификаты) в один файл. Для этого создайте на ПК новый текстовый документ с именем your_domain.crt (your_domain — доменное имя сайта, который вы хотите защитить). Создать его можно при помощи блокнота или другого текстового редактора. Поочередно скопируйте и вставьте в созданный документ каждый сертификат.

cat intermediate.key root.key > your_domain.crt - консольная команда для объединения сертификатов.

После вставки всех сертификатов файл должен иметь вид:

Обратите внимание: один сертификат идёт следом за другим, без пустых строк.

Создайте файл your_domain.key и скопируйте в него содержание приватного ключа сертификата.
Загрузите созданные файлы your_domain.crt и your_domain.key на сервер в директорию /etc/ssl/. Директория может быть иной, например /etc/nginx/ssl/your_domain.com.
Откройте конфигурационный файл Nginx и отредактируйте виртуальный хост вашего сайта, который вы хотите защитить сертификатом. Выполните минимальную для работы настройку, добавив в файл следующие строки:
```
server {

    listen 443 ssl;

    server_name your_domain.com;
    ssl_certificate /etc/ssl/your_domain.crt;
    ssl_certificate_key /etc/ssl/your_domain.key;
}
```
Где:
your_domain.com — домен сайта,
/etc/ssl/your_domain.crt — путь до созданного файла с тремя сертификатами,
/etc/ssl/your_domain.key — путь до файла с приватным ключом.
Минимальная установка и настройка выполнена.

Временная сессия.

Последний, но не по значению механизм защиты сайта - это временная сессия.

Данный разрешает посылать запросы на сервер только при условии, что вы прошли авторизацию и у вас имеется токен сессии.

Механизм сессии строится следующим образом:

Клиент обращается к хосту при помощи уникального запроса.(запрос на авторизацию)
Хост регистрирует обращение и присваивает клиенту ID-сессии.(токен сессии)
Этот идентификатор затем используется во время регистрации последующих обращений.
Происходит определенное событие, и сессия завершается.

В качестве события завершения сессии могут выступать:

Бездействие пользователя в течение 15 минут.
Достижение определенного временного интервала.
Обращение с авторизацией.
Завершение сеанса.
Обращение с некорректным ID сессии.

При переходе с раздела на другой, при поиске услуг, оформлении заказа и т.п. таймер сессии обновляется.
При отсутствии активности на сайте в течении пятнадцати минут, вас автоматически "выкинет" с сайта с похожим сообщением.

...

Content

Space Tools