HTTPS и TLS: какво защитава шифрованата връзка

Полезно е да знаеш

Когато адресът започва с HTTPS, браузърът използва HTTP през защитена с TLS връзка. Основната идея е обменът между клиента и сървъра да бъде защитен при преминаване през мрежа, на която не е необходимо да се доверяваме. TLS осигурява поверителност, откриване на промени в пренасяните данни и удостоверяване на страните. В обичайното посещение на сайт сървърът се удостоверява пред браузъра, докато посетителят не представя собствен клиентски сертификат. [1]

Шифроването и удостоверяването отговарят на различни въпроси. Първото ограничава прочитането на съобщенията по пътя. Второто помага на клиента да установи към кой домейн принадлежи отсрещната страна. Сертификатът участва в тази проверка, като свързва публичен ключ с име на домейн. Затова предупреждението за сертификат не е просто козметична пречка пред зареждането. То показва, че браузърът не може да завърши очакваната проверка по нормалния начин. [1]

За да разграничим задачите, нека си представим измислен сайт за резервации. Посетителят въвежда предпочитана дата и изпраща формуляр. При оценката на услугата можем да зададем отделно три въпроса: защитена ли е връзката, правилният адрес ли е отворен и коректно ли работи самата резервация. Успешният отговор на първия въпрос не доказва останалите два. Това е полезна практическа рамка за проверка, защото не превръща един технически индикатор в обща оценка за качеството на цялата услуга.

HTTPS е шифрованата форма на HTTP, а не отделен вид съдържание. [2] Същият каталог може да съдържа заглавия, изображения и формуляри независимо от начина на пренос. Разликата е в защитата на обмена. Поради това адресът на страницата и адресите на нейните ресурси трябва да се разглеждат заедно. Основен документ през HTTPS, който иска ресурси през обикновен HTTP, създава смесено съдържание. Браузърът може да надгради такива заявки към HTTPS или да ги блокира според вида им. [1]

Практическият преглед може да бъде организиран като обикновен посетителски маршрут. Отваряме началната страница, разглеждаме материал, използваме търсенето и проверяваме формуляр с тестови данни. За всяка стъпка записваме крайния адрес и видимите предупреждения. Така отделяме проблема с конкретен ресурс от проблем с целия сайт. Например липсваща картинка и недоверен сертификат изискват различни действия, въпреки че и двете могат да бъдат забелязани при едно посещение.

При поддръжката е разумно отговорностите да бъдат изрично записани: кой управлява домейна, кой настройва сървъра и кой следи сертификатите. Това не изисква посетителят да разбира криптография. Нужно е техническите проверки да обслужват ясно определен резултат: страницата се отваря на очаквания адрес, ресурсите ѝ се зареждат и защитеният обмен не се прекъсва по пътя. Тогава HTTPS изпълнява конкретната си роля в работеща услуга.