ssl - https プロトコルと SSL 証明書の違い

Question

Web ブラウザで使用する https プロトコルと SSL 証明書の違いは何ですか?

これらは両方とも、クライアント (ブラウザー) とサーバー間の通信を暗号化するために使用されていませんか?

Answer 1

HTTPS は、HTTP (HyperText Transfer Protocol) に SSL (Secure Socket Layer) を加えたものです。SSL を使用するプロトコルを使用するには、証明書が必要です。

SSL を使用すると、任意のプロトコルを安全に通信できます。これにより、クライアントは、(a) 中間者ではなく、期待するサーバーと実際に通信していることを確認し、(b) クライアントとサーバー以外の関係者が通信を見ることができないようにネットワーク トラフィックを暗号化できます。

SSL 証明書には、公開鍵と証明書の発行者が含まれています。クライアントは証明書を使用してサーバーと通信できるだけでなく、証明書が公式の認証局によって暗号で署名されていることを確認できます。たとえば、ブラウザが VeriSign 認証局を信頼しており、VeriSign が私の SSL 証明書に署名している場合、ブラウザは本質的に私の SSL 証明書を信頼します。

ここにいくつかの良い読み物があります：http://en.wikipedia.org/wiki/Transport_Layer_Security

Answer 2

1 つのソリューションの 2 つの部分。

https は、クライアントとサーバーが安全な接続をネゴシエートする方法を定義するプロトコルです。

SSL 証明書は、サーバーの信頼性に同意するために使用する文書です。

Answer 3

HTPS は新しい HTTPS です。HTTPS は、SSL ストリッピング / MITM (man in the middle) に対して非常に脆弱です。adam langley の (google) ブログ インペリアル バイオレットを引用するには:

「HTTPS は、人々が証明書のセキュリティとその周りのエコシステムをあざける話になる傾向があります。」

問題は、ページが HTTPS 経由で提供されていないことです。そうあるべきでしたが、ユーザーがホスト名をブラウザーに入力すると、デフォルトのスキームは HTTP になります。サーバーはユーザーを HTTPS にリダイレクトしようとする可能性がありますが、そのリダイレクトは安全ではありません。MITM 攻撃者がリダイレクトを書き換えて、ユーザーを HTTP 上に保ち、常に実際のサイトになりすますことができます。攻撃者は、この完璧に構成された安全な Web サイトへのすべてのトラフィックを傍受できるようになりました。

これは SSL ストリッピングと呼ばれるもので、非常に単純でありながら非常に効果的です。企業のプロキシが行う必要があるものではないため、あまり頻繁には見られないため、既製のデバイスにはありません。しかし、その猶予が非常に長く続く可能性は低く、もしかしたらすでに終わっているかもしれません。

SSL ストリッピングを停止するには、HTTPS を唯一のプロトコルにする必要があります。インターネット全体でこれを行うことはできませんが、HTTP Strict Transport Security (HSTS) を使用してサイトごとに行うことができます。

HSTS は、常に HTTPS 経由で HSTS サイトにリクエストを送信するようブラウザに指示します。サイトは、ブラウザーに組み込まれるか、ヘッダーをアドバタイズすることにより、HSTS になります。

厳格な輸送セキュリティ: 最大年齢 = 8640000; includeSubDomains

ヘッダーは指定された秒数の間有効であり、すべてのサブドメインにも適用される場合があります。ヘッダーは、クリーンな HTTPS 接続を介して受信する必要があります。

サイトが HTTPS のみであることをブラウザが認識すると、mail.google.com と入力するユーザーは安全です。最初のリクエストは HTTPS を使用し、攻撃者が悪用する穴はありません。

(mail.google.com と他の多くのサイトは既に HSTS サイトとして Chrome に組み込まれているため、実際には Chrome で HTTP 経由で accounts.google.com にアクセスすることはできません。そのイメージを修正する必要がありました! Chrome の組み込みの HSTS リストで、私にメールしてください。)

HSTS は、ウェブマスターであるあなたをばかげた間違いから守ることもできます。母親に、銀行サイトにアクセスする前に必ず https:// と入力するように、またはブックマークを設定するように伝えたとします。正直なところ、これは私たちがユーザーに期待できる、または期待すべき以上のものです。しかし、私たちの超権限ユーザーとしましょう... ]

スタックオーバーフローの新規ユーザー向けのリンクルールが妨害/非常に愚かであるため、アダムの残りの回答を提供することはできません 。https: //www.imperialviolet.org/2012/07/19 にあるアダム ラングレーのブログにアクセスする必要があります。 /hope9talk.html

「Adam Langley は、Google の HTTPS サービス インフラストラクチャと Google Chrome のネットワーク スタックの両方で働いています。」