Урок 40: Основы SSL/TLS. Как работает HTTPS и "замочек" в браузере

Цель урока: Получить ясное и фундаментальное понимание того, что такое SSL/TLS и HTTPS и почему без них немыслим современный интернет. Мы разберем на простых аналогиях, как работает шифрование, что такое сертификат, кто такие центры сертификации (CA) и как все это вместе создает тот самый зеленый "замочек" в адресной строке вашего браузера.

Часть 1: Теория. Проблема "открыток" и ее решение

Представьте, что весь интернет - это большая почтовая служба.

Протокол HTTP (HyperText Transfer Protocol):
Когда ваш браузер общается с сайтом по обычному HTTP, он отправляет и получает информацию в виде открыток.

• Вы пишете на открытке: "Уважаемый сайт bank.com, вот мой логин ivan и пароль 12345".

• Почтальон (ваш интернет-провайдер), работники почтовых отделений (маршрутизаторы в сети) и вообще любой, кто перехватит вашу открытку по пути, может ее прочитать.

• Проблема: Это абсолютно небезопасно. Любые личные данные, пароли, номера карт могут быть украдены.

Протокол HTTPS (HyperText Transfer Protocol Secure):
Чтобы решить эту проблему, придумали HTTPS. Он делает две ключевые вещи:

1. Шифрует все сообщения.

2. Проверяет подлинность сайта, к которому вы подключаетесь.

Теперь, используя HTTPS, вы отправляете не открытку, а прочный сейф с кодовым замком.

• Вы кладете в сейф свое сообщение ("логин ivan, пароль 12345").

• Вы закрываете сейф с помощью уникального замка, который подходит только для сайта bank.com.

• Даже если кто-то перехватит ваш сейф, без ключа он абсолютно бесполезен. Прочитать сообщение может только тот, у кого есть ключ - то есть, сам сайт bank.com.

Этот процесс шифрования и проверки подлинности и описывается протоколами SSL (Secure Sockets Layer) и его современным преемником TLS (Transport Layer Security). Сегодня, говоря "SSL", мы почти всегда имеем в виду "TLS".

Часть 2: Теория. Три столпа HTTPS: Шифрование, Аутентификация, Целостность

HTTPS обеспечивает безопасность с помощью трех механизмов.

1. Шифрование (Конфиденциальность): "Никто не сможет прочитать"
Это и есть наш "сейф". Весь трафик между вашим браузером и сайтом превращается в нечитаемую "кашу" из символов. Используется асимметричное (в начале) и симметричное (в процессе) шифрование. Мы уже знакомы с асимметричным по SSH-ключам: есть публичный ключ (замок) и приватный ключ (ключ от замка).

2. Аутентификация (Проверка подлинности): "Я уверен, что говорю именно с bank.com"
Это, возможно, даже более важная часть. Откуда ваш браузер знает, что сервер с IP-адресом 8.8.8.8 - это действительно google.com, а не поддельный сайт мошенника?

Для этого и нужен SSL-сертификат.

• SSL-сертификат - это цифровой "паспорт" сайта.

• В нем написано: "Я, google.com, являюсь владельцем этого публичного ключа (замка)".

• Но кто поверит такому заявлению? Нужен кто-то, кто его заверит.

Эту роль выполняют Центры Сертификации (Certification Authority, CA).

• CA - это доверенные организации (как мировые паспортные столы), например, Let's Encrypt, Comodo, DigiCert.

• Перед тем как выдать сертификат, CA тщательно проверяет, действительно ли вы владеете доменом google.com.

• После проверки CA ставит на ваш "паспорт" (сертификат) свою цифровую подпись, говоря: "Я, уважаемый центр сертификации, подтверждаю, что этот сайт - действительно google.com".

• Ваш браузер и операционная система по умолчанию уже доверяют этим крупным центрам сертификации (их "подписи" встроены в них).

Процесс проверки:

1. Вы заходите на google.com.

2. Сайт показывает вашему браузеру свой SSL-сертификат ("паспорт").

3. Браузер смотрит на подпись в "паспорте".

4. Он проверяет, есть ли у него в списке доверенных подпись этого CA.

5. Если подпись есть и она действительна, браузер "верит", что он говорит с настоящим google.com, и показывает вам зеленый замочек.

6. Если что-то не так (подпись поддельная, срок действия сертификата истек, он выдан для другого домена), браузер покажет грозное предупреждение о небезопасном соединении.

3. Целостность данных: "Сообщение не было изменено по пути"
Помимо шифрования, каждое сообщение подписывается специальным кодом (MAC - Message Authentication Code). Если по пути кто-то попытается изменить ваше сообщение (например, подменить сумму в банковском переводе), код перестанет совпадать, и соединение будет немедленно разорвано.

Часть 3: Практика. Смотрим на сертификат своими глазами

Вам не нужно ничего устанавливать. Просто откройте браузер и зайдите на любой сайт с HTTPS, например, https://google.com.

1. Нажмите на "замочек" в адресной строке.

2. В появившемся меню выберите что-то вроде "Соединение защищено", "Сертификат действителен" или "Connection is secure".

3. Найдите опцию для просмотра деталей сертификата.

Вы увидите тот самый "паспорт":

• Issued to (Выдан кому): *.google.com (доменное имя).

• Issued by (Выдан кем): Название Центра Сертификации (например, GTS CA 1P5).

• Valid from ... to ... (Действителен с ... по ...): Срок действия сертификата.

Часть 4: Типы сертификатов и Let's Encrypt

Существуют разные типы сертификатов, которые отличаются уровнем проверки:

• DV (Domain Validation): Самый простой и распространенный. CA проверяет только то, что вы контролируете домен. Именно такие сертификаты мы будем получать.

• OV (Organization Validation): CA проверяет не только домен, но и существование вашей организации.

• EV (Extended Validation): Самый высокий уровень проверки. В браузере рядом с замком появляется название компании.

Революция Let's Encrypt
Раньше SSL-сертификаты были платными и сложными в установке. В 2016 году появился Let's Encrypt - некоммерческий центр сертификации, который предоставляет DV-сертификаты абсолютно бесплатно и, что самое главное, позволяет полностью автоматизировать процесс их получения и обновления.

Именно благодаря Let's Encrypt интернет стал массово переходить на HTTPS. На последующих уроках мы будем использовать именно его для защиты наших сайтов.

Часть 5: Заключение

Сегодня мы не писали команды, но получили важнейшие теоретические знания. Вы теперь понимаете:

• Почему HTTP - это небезопасные "открытки", а HTTPS - это надежные "сейфы".

• Что безопасность HTTPS стоит на трех столпах: шифрование, аутентификация и целостность.

• Что SSL-сертификат - это цифровой "паспорт" сайта, который подтверждает его подлинность.

• Что Центры Сертификации (CA) - это доверенные "паспортные столы", которые заверяют эти "паспорта".

• Что благодаря Let's Encrypt мы можем получать SSL-сертификаты бесплатно и автоматически.

Этот фундамент позволит нам в следующих уроках не просто бездумно копировать команды, а осознанно настраивать HTTPS для наших веб-серверов, понимая каждый шаг этого процесса.

На следующем, 41-м уроке, мы наконец-то начнем строить! Мы установим на наш сервер самый популярный в мире веб-сервер Nginx, разберем структуру его конфигурационных файлов и запустим нашу первую статическую веб-страницу.

Перейти к просмотру - УРОК №41.