Kui olete Windowsi kaudu internetiga ühenduse loomisel mures oma andmete turvalisuse pärast, on normaalne, et teid ajavad segadusse sellised mõisted nagu TLS, SSL, VPN, OpenVPN ja IPsec . Esmapilgul tunduvad need samad (kõik "krüpteerivad" midagi), kuid tegelikkuses lahendavad nad erinevaid probleeme ja neid kasutatakse suhtluse erinevatel tasanditel.
Enne kui kiirustad VPN-rakenduse installimisega või brauseri täpsemate sätetega mässama, on hea mõte täpselt aru saada, mis on TLS, mis on VPN, millisteks protokollideks (nt SSL või IPsec) on mõeldud ja ennekõike, millistes olukordades peaksite neid kõiki oma Windowsi arvutis kasutama. Vaatame seda rahulikult, kuid ilma tarbetu tehnilise žargoonita.
Mis on TLS ja kuidas see erineb SSL-ist?
Kui kuulete väljenditest „SSL-sertifikaat”, „turvaline veebisait” või näete brauseris tabaluku ikooni, siis tegelikult kasutatakse tänapäeval TLS-i (transpordikihi turvalisus) – standardprotokolli, mis krüpteerib andmeid teie seadme ja internetiserveri vahel. SSL oli selle eelkäija, kuid nüüd peetakse seda ebaturvaliseks ja see on tänapäevastest süsteemidest järk-järgult välja juuritud.
Võime öelda, et TLS on transpordikihi krüpteerimisprotokoll , mis tagab, et kliendi ja serveri vahel liikuvaid andmeid ei saa kolmandad osapooled hõlpsalt lugeda ega manipuleerida. See teeb kahte peamist asja: kaitseb andmete konfidentsiaalsust ja garanteerib, et neid teel ei muudeta.
SSL-il ja TLS-il on aastate jooksul olnud erinevad versioonid. SSL on aga ammu iganenud. Tegelikult on see mainekates brauserites ja teenustes keelatud. Mõned pakkujad viitavad harjumusest endiselt "SSL-sertifikaatidele", kuigi praktikas on tegemist TLS-sertifikaatidega ja kasutavad ainult protokolli moodsaid versioone.
Kuidas TLS töötab: krüptimine, käepigistus ja sertifikaadid
TLS-ühenduse toimimiseks (näiteks veebisaidile HTTPS-i kaudu juurdepääsuks) toimub teie brauseri ja serveri vahel automaatne protsess, mida nimetatakse TLS-käepigistuseks . See on teile läbipaistev, kuid kogu turvalisuse alus.
Selle käepigistuse ajal vahetavad klient ja server teavet krüpteerimisalgoritmide valimiseks, teineteise autentimiseks ja ajutiste võtmete genereerimiseks, mida kasutatakse ainult selles seansis. Need läbirääkimised põhinevad avaliku võtme krüptograafial ja sertifitseerimisasutuste (CA) väljastatud digitaalsetel sertifikaatidel.
Sertifikaadid võimaldavad teie brauseril serveri identiteeti kontrollida. Need sisaldavad domeeninime, avalikku võtit, sertifikaadi väljaandjat, omanikku, kehtivuskuupäevi ja muud teavet, näiteks alamdomeene ja lubatud kasutusviise. Kehtiva sertifikaadita kuvab teie brauser turvahoiatusi.
Turvalisuse osas hõlmab TLS kolme põhisammast:
- Autentimine (tea, kellega sa räägid).
- Konfidentsiaalsus (et keegi andmeid ei loe).
- Ausus (tagades, et sisu pole muudetud). See saavutatakse sümmeetriliste krüpteerimisalgoritmide, räsifunktsioonide ja sõnumi autentimiskoodide (MAC või HMAC) kombinatsioonide abil.
TLS-i versioonid: 1.0 kuni 1.3
Aja jooksul on TLS arenenud haavatavuste parandamiseks ja jõudluse parandamiseks. TLS-i versioonid 1.0 ja 1.1 avaldati vastavalt 1999. ja 2006. aastal ning neid peetakse nüüd vananenud ja haavatavateks. Seetõttu ei toeta tänapäeva brauserid neid enam.
Praegu on kõige levinum versioon TLS 1.2 , mis ilmus 2008. aastal. See on endiselt väga töökindel ja installitud enamikesse serveritesse ja teenustesse. Sellest hoolimata on juba soovitatav uutes keskkondades või teenuse värskendamisel üle minna TLS 1.3-le.
TLS 1.3 versiooniga , mis avaldati 2018. aastal, lihtsustati protokolli ja kõrvaldati nõrgad algoritmid. Samuti parandati jõudlust käepigistuse sammude arvu vähendamise abil ja tugevdati turvanõudeid. Lisaks toetatakse kaasaegseid šifreid nagu AES-GCM ja ChaCha20-Poly1305 ning hõlbustatakse postkvantalgoritmide tulevast integreerimist.
Oluline on see, et TLS 1.3 ei ole enam SSL-iga tagasiühilduv , mis hoiab ära varasema versiooni rünnakud, kus ründaja sunnib kasutama vanemaid ja ebaturvalisemaid versioone, nagu juhtus POODLE-tüüpi haavatavuste puhul.
SSL-i ja TLS-i peamised erinevused
Kuigi kontseptuaalselt täidavad SSL ja TLS sama asja, on olemas tehnilised nüansid, mis teevad kõik vahet. TLS täiustab vanemat SSL-i mitmes valdkonnas, nii turvalisuse kui ka jõudluse osas , ja seetõttu on sellest saanud praegune standard.
- KäepigistusprotsessTLS pakub kiiremaid ja tõhusamaid meetodeid, vähendades latentsust võrreldes SSL-käepigistustega, mis olid vähem optimeeritud ja karistasid veebilehtede laadimisaega rohkem.
- Autentimine ja terviklikkusSSL tugines suuresti nüüdseks katki läinud või nõrkadele algoritmidele, näiteks MD5, samas kui TLS kasutab HMAC-i tugevamate räsifunktsioonide ja moodsate šifrikomplektidega. See vähendab oluliselt vaherünnakute ohtu.
- VeateatedVanemates versioonides saadeti paljud hoiatused lihttekstina, mida TLS 1.3 parandab, krüpteerides kõik hoiatusteated pärast ühenduse loomist, nii et ründaja ei saa seansi käitumise kohta teavet hankida.
- Šifri sviididTLS valib ja jõustab tugevama krüptimise, hüljates SSL-ilt päritud nõrgemad valikud. See minimeerib serveri valesti konfigureerimisel veamarginaali ja säilitab ühtlasema turvalisuse taseme.
Kas HTTPS kasutab tegelikult SSL-i või TLS-i?
Aastaid nimetati HTTPS-i "HTTP üle SSL-i", kuid 2026. aastaks ei toeta praktiliselt ükski tõsine veebisait SSL-i . Nüüdseks kasutatakse laialdaselt HTTPS-i üle TLS 1.2 ja üha enam üle TLS 1.3.
Vähem kui 1% veebisaitidest toetab endiselt mingil kujul SSL-i, samas kui peaaegu kõik töötavad TLS 1.2-ga ja valdav enamus toetab ka TLS 1.3-d. Kasutaja tasandil näete ainult tabalukku ja „https://“, kuid kulisside taga see turvaprotokoll töötab.
Kui sisenete veebisaidile ja sisestate oma kaardi numbri, volitused või isikuandmed, krüpteerib TLS need sideühendused nii, et isegi kui keegi võrguliiklust pealt kuulab, näeb ta ainult arusaamatut teavet.
Lisaks krüpteerimisele teeb brauser veebisaidi sertifikaadi osas rea põhjalikke kontrolle : allkirja terviklikkus, aegumiskuupäev, võimalik tühistamine (OCSP kaudu), väljastaja õiguspärasus, vastavus domeenile, lubatud kasutusviisid ja poliitikapiirangud jpm. Iga kriitiline tõrge selles ahelas toob kaasa hoiatuse või ühenduse blokeerimise.
Tänu sellele valideerimisprotsessile loob brauser turvalise HTTPS-ühenduse ainult siis, kui kõik tingimused on täidetud. Kui midagi tundub valesti olevat, näete teateid nagu „sait pole turvaline”, aegunud sertifikaadid või sarnaseid hoiatusi, mida ei tohiks ignoreerida.
SSL/TLS-sertifikaadid: mis need on ja mis tüüpi on olemas
HTTPS-i ja muud turvalist sidet võimaldavad sertifikaadid põhinevad avaliku võtme infrastruktuuril (PKI) . Sertifitseerimisasutus (CA) väljastab sertifikaadi pärast teatud taotleja andmete kontrollimist ja selle allkirjastamist oma privaatvõtmega.
Sertifikaat sisaldab selliseid elemente nagu üldnimi (CN) ja sageli ka subjekti alternatiivne nimi (SAN), et kaitsta mitut domeeni või alamdomeeni ühe sertifikaadiga. Samuti määrab see kindlaks valideerimise tüübi, kehtivusaja ja seotud avaliku võtme.
Valideerimisel on mitu taset:
- DV (domeeni valideerimise) sertifikaadid. Nad kontrollivad ainult seda, et taotleja kontrollib domeeni.
- OV (organisatsiooni valideerimise) sertifikaadidSamuti kontrollivad nad ettevõtte olemasolu.
- EV (laiendatud valideerimise) sertifikaadid. Nad rakendavad üksuse suhtes rangemat kontrolliprotsessi, kuigi nende visuaalset indikaatorit kasutatakse brauserites üha vähem.
Samuti on olemas spetsiaalsed sertifikaadid, näiteks metamärgiga sertifikaadid , mis kaitsevad domeeni ja kõiki selle tipptasemel alamdomeene, või SAN-sertifikaadid, mis on loodud katma mitut erinevat nime (ideaalne keerukates ettevõttekeskkondades).
Sertifikaadi genereerimisel luuakse esmalt sertifikaadi allkirjastamise taotlus (CSR) , mis sisaldab serveri avalikku võtit ja identiteediandmeid. See taotlus saadetakse sertifitseerimisasutusele (CA), kes pärast teabe valideerimist väljastab allkirjastatud sertifikaadi serverisse installimiseks.
Mis on VPN ja mida see lahendab, mida TLS ei kata?
Kuigi TLS kaitseb teatud ühendusi (näiteks teie brauseri ja veebisaidi vahel), kaitseb VPN kogu võrguliiklust teie seadmest või võrgu osast . Teisisõnu, see toimib nagu "krüpteeritud tunnel", mille kogu teie liiklus enne internetti jõudmist läbib.
Tehnilises mõttes on VPN virtuaalne privaatvõrk , mis töötab avaliku võrgu (interneti) kaudu. See kapseldab ja krüpteerib andmepakette nii, et väljastpoolt vaadates näib kõik liikuvat teie arvuti ja VPN-serveri vahel, kuigi tegelikult suunatakse see paljudele erinevatele teenustele.
See võimaldab mitmeid huvitavaid kasutusvõimalusi: peita oma tegelik IP-aadress VPN-serveri IP taha, pääseda ligi ettevõtte või koduvõrgu sisemistele ressurssidele kaugjuurdepääsu kaudu , mööda hiilida geopiirangutest ja tugevdada turvalisust ebausaldusväärsete avalike WiFi-võrkudega ühenduse loomisel.
Erinevalt TLS-ist, mis on seotud spetsiifiliste protokollidega nagu HTTPS või FTPS, töötab VPN võrgupinu madalamatel tasanditel (IP- või isegi lingi tasandil), seega "mähib" see praktiliselt kõik, mida teie arvuti teeb, ilma et rakendused peaksid sellest teadma.
Windowsis saate kasutada sisseehitatud VPN-kliente (näiteks IPseci jaoks) või kolmandate osapoolte rakendusi, mis rakendavad protokolle nagu OpenVPN, WireGuard või muid patenteeritud protokolle . Igal neist on oma eelised, kuid neil kõigil on ühine idee luua krüptitud tunnel kaugserverisse.
SSL/TLS VPN-i ja IPsec VPN-i erinevused
VPN-ide maailmas on kaks peamist perekonda, mida tuleks eristada: SSL/TLS VPN-id ja IPsec-põhised VPN-id . Mõlemad pakuvad krüpteeritud tunnelit, kuid teevad seda kihtidena ja erinevate tehnoloogiate abil.
SSL/TLS VPN-id (sageli nimetatakse neid lihtsalt „SSL VPN-iks“) on ehitatud TLS-i peale, mis on sama protokoll, mida kasutatakse HTTPS-i jaoks. Populaarsed protokollid, nagu OpenVPN, toimivad järgmiselt: nad loovad krüpteeritud tunneli, mis tavaliselt kasutab TCP- või UDP-porti 443, muutes tulemüüride ja puhverserverite möödahiilimise lihtsamaks.
Seda tüüpi VPN-is tuginevad autentimine ja krüpteerimine X.509 sertifikaatidele, avalikele ja privaatvõtmetele ning parameetritele, näiteks Diffie-Hellmani turvaliseks võtmevahetuseks. See on väga paindlik lahendus, mis on eriti kasulik üksikute kasutajate kaugjuurdepääsuks Windowsi, macOS-i või mobiilseadmete kaudu.
Teisest küljest kasutavad IPsec VPN-id IPsec (Internet Protocol Security) protokolli , mis toimib otse võrgu tasandil (3. kiht). IPsec pakub IP-pakettidele autentimist, terviklikkust ja krüptimist erinevate režiimide ja algoritmide abil.
IPsec VPN-id on ettevõtetes väga levinud tervete võrkude (Net-to-Net) ühendamiseks või operatsioonisüsteemi integreeritud kaugjuurdepääsu lahenduste rakendamiseks, kuna Windows on IPsec-i tuge pakkunud juba aastaid.
VPN-i ja TLS-i kasutamist toetavad eeskirjad ja standardid
Nii TLS kui ka VPN ei ole pelgalt tehniline soovitus; paljudel juhtudel on need andmekaitse-eeskirjade ja turvastandardite järgimise nõue. Tegelikult mainivad paljud regulatiivsed raamistikud neid otseselt või kaudselt.
Euroopa Liidus nõuab isikuandmete kaitse üldmäärus (GDPR) , et isikuandmeid tuleb kaitsta asjakohaste tehniliste meetmetega, sealhulgas krüpteerimisega. TLS-i kasutamine veebisuhtluseks ja VPN-ide kasutamine tundlikke andmeid sisaldavatele süsteemidele kaugjuurdepääsuks sobib ideaalselt selle lähenemisviisiga.
Tervishoiusektoris nõuavad sellised eeskirjad nagu HIPAA (Ameerika Ühendriikides) meditsiinilise teabe konfidentsiaalsuse kaitsmist, mis praktikas tähendab edastatavate andmete krüpteerimist TLS-i abil ja sageli sisemise juurdepääsu kapseldamist VPN-i kaudu.
Teised standardid, näiteks PCI-DSS, mis on suunatud krediitkaardiandmete haldamisele, nõuavad selgelt tugeva krüptimise kasutamist kommunikatsioonis ja administratiivses kaugjuurdepääsus, mis tavaliselt tähendab turvalist HTTPS-i ja õigesti konfigureeritud VPN-e.
Paljud avaliku või erasektori lepingute tehnilised spetsifikatsioonid nõuavad otseselt TLS 1.2 või uuema protokolli ja IPsec või SSL/TLS VPN kasutamist, et tagada saitide ja kasutajate vaheliste ühenduste turvalisus , mis näitab, et need tehnoloogiad on juba de facto standard.
Millal kasutada TLS-i ja millal VPN-i Windowsis?
Windowsi arvutis TLS ja VPN-id ei konkureeri omavahel, vaid pigem täiendavad teineteist. Valik sõltub probleemist, mida soovite lahendada, seega on oluline mõista, mida kumbki tehnoloogia igapäevases kasutuses pakub.
Kui soovite lihtsalt turvaliselt internetis surfata, paroole sisestada või veebisaidil kaardiga maksta, peab teie brauser looma TLS-protokollil põhinevad HTTPS-ühendused . Turvalise veebisaidi vaatamiseks ei ole VPN-i vaja, kui sait on õigesti konfigureeritud.
Teisest küljest, kui teil on vaja kodust ühenduda ettevõtte sisevõrguga, pääseda juurde jagatud kaustadele või kasutada kontoriprintereid, siis räägime tüüpilisest VPN-i kasutusstsenaariumist Windowsis . VPN-tunnel annab teile sisemise IP-aadressi ja marsruudid nende ressurssideni.
Teine põhjus VPN-i kaalumiseks on see, kui ühendute sageli avalike WiFi-võrkudega (kohvikud, hotellid, lennujaamad). Kuigi paljud veebisaidid kasutavad HTTPS-i, ei krüpteeri mõned teenused ja rakendused ikkagi kogu oma liiklust ning VPN pakub ülejäänud ühendustele täiendavat kaitsekihti.
Lõpuks, kui teie eesmärk on muuta oma nähtavat asukohta (näiteks riigipiiranguga sisule juurdepääsuks), siis TLS teid üldse ei aita. Sellisel juhul vajate kommerts-VPN-i, millel on serverid teid huvitavas piirkonnas, kuna VPN peidab teie tegeliku IP-aadressi kaugserveri IP-aadressi taha.
Kuidas seadistada SSL/TLS VPN-e OpenVPN-iga (ülevaade)
OpenVPN on üks tuntumaid ja laialdasemalt kasutatavaid VPN-protokolle, eriti Linuxi keskkondades, ning see on integreeritud ka paljudesse Windowsi klientidesse. See tugineb SSL/TLS-krüptimise rakendamiseks OpenSSL-i ja X.509-sertifikaatidele .
Selles mudelis luuakse tavaliselt esmalt väike sisemine sertifitseerimisasutus (CA) , kasutades selliseid tööriistu nagu easy-RSA. Seejärel genereeritakse VPN-serveri ja iga kliendi jaoks sertifikaadid ning võtmevahetuseks vajalikud Diffie-Hellmani parameetrid.
Tüüpiliste failide hulka kuuluvad CA sertifikaat (nt ca.crt ), serveri sertifikaat ja selle privaatvõti (server.crt, server.key), DH-parameetrid (dh.pem) ning iga kasutaja kohta tema enda sertifikaat ja võtmepaar (client.crt, client.key).
Serveripoolel on OpenVPN konfigureeritud looma virtuaalse liidese (tun või tap), määratlema VPN-võrgu, määrama iga sertifikaadifaili tee ning lubama või keelama võrkudevahelise marsruutimise . Konfiguratsioon muutub veidi olenevalt sellest, kas kasutatakse marsruutitud (IP-tunnel) või sillatud režiimi.
Windowsi kliendis installitakse OpenVPN tarkvara, vajalikud sertifikaadid kopeeritakse vastavatesse asukohtadesse ja kasutatakse konfiguratsioonifaili, mis määrab serveri IP-aadressi või domeeni, pordi, liidese tüübi (tun/tap) ja sertifikaadi asukoha . Kui ühendus on loodud ja kõik on õigesti, luuakse virtuaalne võrguliides ja liiklus suunatakse tunneli kaudu.
Iga elemendi (TLS, pärand-SSL, SSL/TLS VPN, IPsec) toimimise ja teie Windowsi ühendusstiiliga sobiva toimimise mõistmine võimaldab teil teha palju paremaid otsuseid: millal loota brauseri tabalukule , millal seadistada VPN-tunnel ja kuidas mõlemat konfigureerida, et tasakaalustada turvalisust, jõudlust ja regulatiivset vastavust ilma asju üleliia keeruliseks ajamata.