TLS proti SSL
Med SSL in TLS obstajajo številne razlike, saj je TLS naslednik SLS, o vseh pa bomo razpravljali v tem članku. SSL, ki se nanaša na plast varnih vtičnic, je protokol, ki se uporablja za zagotavljanje varnosti povezav med strežnikom in odjemalcem. Ta protokol uporablja varnostne mehanizme, kot sta kriptografija in zgoščevanje, za zagotavljanje varnostnih storitev, kot so zaupnost, celovitost in preverjanje pristnosti končne točke za povezave med strežnikom in odjemalcem. TLS, ki se nanaša na varnost transportne plasti, je naslednik SSL, ki vključuje popravke napak in izboljšave v primerjavi s SSL. SSL, ki je zdaj malo zastarel, ima veliko znanih varnostnih napak, zato je priporočljiva uporaba najnovejše različice TLS, to je TLS 1.2. SSL je prišel do različice 3.0 in po tem se je ime spremenilo v TLS.
Kaj je SSL?
SSL, ki se nanaša na plast varnih vtičnic, je protokol, ki se uporablja za zagotavljanje varnih povezav med odjemalcem in strežnikom. Povezava TCP lahko zagotovi zanesljivo povezavo med strežnikom in odjemalcem, ne more pa zagotoviti storitev, kot so zaupnost, celovitost in avtentikacija končne točke. Tako je Netscape v zgodnjih devetdesetih uvedel SSL za zagotavljanje teh storitev. Prva različica SSL, ki je znana kot SSL 1.0, ni bila nikoli objavljena v javnosti, saj je imela veliko varnostnih lukenj. Vendar pa je bil leta 1995 predstavljen SSL 2.0, ki je zagotavljal boljšo varnost kot SSL 1.0, leta 1996 pa je bil predstavljen SSL 3.0 z več izboljšavami. Naslednje različice protokola SSL so se pojavile pod imenom TLS.
SSL, ki je implementiran v transportni plasti, lahko zaščiti protokol, kot je TCP, z uporabo različnih varnostnih ukrepov. Zagotavljal bo zaupnost z uporabo šifriranja, ki bo preprečilo, da bi kdorkoli prisluškoval. Uporablja asimetrično in simetrično šifriranje. Najprej se z uporabo šifriranja z asimetričnim ključem vzpostavi simetrični ključ seje, ki bi se nato uporabil za šifriranje prometa. Kriptografija z asimetričnim ključem se uporablja tudi za digitalna potrdila, ki se uporabljajo za avtentikacijo strežnika. Nato se uporabi koda za preverjanje pristnosti sporočila, ki uporablja različne tehnike zgoščevanja, da se zagotovi celovitost (identifikacija kakršnih koli nepreverjenih sprememb resničnih podatkov). Torej protokol, kot je SSL, omogoča prenos občutljivih informacij, kot so bančne transakcije in podatki o kreditnih karticah, prek interneta. Uporablja se tudi za zagotavljanje zaupnosti za storitve, kot so e-pošta, brskanje po spletu, sporočanje in glas prek IP-ja.
SSL je zdaj zastarel in ima veliko varnostnih težav, zato njegova uporaba trenutno ni preveč priporočljiva. SSL 3.0 je bil do nedavnega privzeto omogočen v mnogih brskalnikih, zdaj pa ga nameravajo onemogočiti v prihodnjih različicah zaradi resnih varnostnih napak, kot je napad POODLE.
Kaj je TLS?
TLS, ki se nanaša na varnost transportne plasti, je naslednik SSL. Po SSL 3.0 se je leta 1999 pojavila naslednja različica kot TLS 1.0. Nato je bila leta 2006 uvedena izboljšana različica, imenovana TLS 1.1. Nato so bile leta 2008 opravljene dodatne izboljšave in popravki napak ter uveden je bil TLS 1.2. Trenutno je TLS 1.2 zadnja razpoložljiva različica Transport Layer Security. Tako kot SSL tudi TLS zagotavlja varnostne storitve, kot so zaupnost, celovitost in avtentikacija končne točke. Podobno se za zagotavljanje teh varnostnih storitev uporabljajo šifriranje, koda za preverjanje pristnosti sporočil in digitalna potrdila. TLS je odporen na napade, kot je napad POODLE, ki je ogrozil varnost SSL 3.0.
Priporočilo je, da uporabite najnovejšo različico TLS, TLS 1.2, saj ima najmanj varnostnih napak, ker je najnovejša. Noben varnostni sistem ni popoln in sčasoma bi bile odkrite napake, v prihodnosti pa bo izdana različica TLS 1.3, ki bo te odkrite napake odpravila. Vendar je trenutno TLS 1.2 najbolj varen in v vseh običajnih brskalnikih je to privzeto omogočeno.
Kakšna je razlika med SSL in TLS?
• TLS je naslednik SLS. SLS je bil predstavljen v devetdesetih letih prejšnjega stoletja in predstavljene so bile tri različice, in sicer SSL 1.0, SSL 2.0 in SSL 3.0. Po tem, leta 1999, je bila naslednja različica SSL imenovana TLS 1.0. Nato je bil predstavljen TLS 1.1 in trenutna najnovejša različica je TLS 1.2.
• SSL ima veliko napak in je dovzeten za znane napade kot TLS. V najnovejših različicah TLS je bila večina hroščev odpravljenih in je zato odporen na napade.
• TLS ima nove funkcije in podpira nove algoritme v primerjavi s SSL.
• Z napadom, imenovanim POODLE attack, je zdaj uporaba SSL postala zelo ranljiva in v novih različicah spletnih brskalnikov bo SSL privzeto onemogočen. Vendar je v vseh brskalnikih TLS privzeto omogočen.
• TLS podpira nove pakete algoritmov za preverjanje pristnosti in izmenjavo ključev, kot so ECDH-RSA, ECDH-ECDSA, PSK in SRP.
• Zbirke algoritmov kode za preverjanje pristnosti sporočila, kot sta HMAC-SHA256/384 in AEAD, so na voljo v najnovejših različicah TLS, ne pa tudi v SSL.
• SSL je bil razvit in urejen pod Netscapeom. Vendar je TLS v okviru delovne skupine za internetni inženiring kot standardni protokol in je zato na voljo pod RFC.
• Obstajajo razlike v implementaciji protokola, na primer v izmenjavi ključev in izpeljavi ključev.
Povzetek:
TLS proti SSL
TLS je naslednik SSL in zato TLS vključuje veliko izboljšav in popravkov napak v primerjavi s SSL. SSL je bil uveden v zgodnjih devetdesetih letih in tri različice so prišle do SSL 3.0. Nato se je leta 1999 pojavila naslednja različica SSL pod imenom TLS 1.0. Trenutno je najnovejša različica TLS 1.2. Ker je SSL star protokol, ima veliko znanih varnostnih napak in je zato dovzeten za znane napade, kot je napad POODLE. Najnovejša različica TLS ima popravke za te napade, hkrati pa podpira nove funkcije in algoritme. Zato je za aplikacije, ki potrebujejo boljšo varnost, priporočljiva najnovejša različica TLS namesto uporabe starih protokolov SSL.
