Google แสดงให้เห็นชัดเจนว่าพวกเขาต้องการลดระยะเวลาความถูกต้องของใบรับรอง SSL/TLS ให้เหลือ 90 วัน แม้ว่าสิ่งนี้จะไม่ได้รับการยืนยันว่าจะดำเนินต่อไป หรือเมื่อใด เป็นหัวข้อที่สร้างความตื่นเต้นให้กับการสนทนาที่บ้าคลั่งในแวดวงเทคโนโลยีและนอกเหนือจากนั้น
มันคืออะไรสำหรับคุณ?โดยพื้นฐานแล้ว ตอนนี้ถึงเวลาที่จะทำให้ใบรับรอง SSL/TLS เป็นแบบอัตโนมัติแล้ว ไม่ต้องการอีกต่อไปแล้ว แต่ยังเป็นความต้องการ คุณไม่มีเวลาแล้ว
ประวัติโดยย่อของ SSL/TLS
กาลครั้งหนึ่งไม่มีมาตรฐานในการรักษาความปลอดภัยของเว็บไซต์ ในความเป็นจริง ไม่มีวิธีการใดที่จะป้องกันการส่งข้อมูลละเอียดอ่อนทางออนไลน์ได้เลย ไม่มีอะไรเกิดขึ้นเลยเมื่อ SSL (เลเยอร์ซ็อกเก็ตที่ปลอดภัย) ตัวแรกมาถึงในปี 2537 (และเปิดตัวในปี 2538) ลองจินตนาการถึงการต้อนรับที่ก้าวกระโดดครั้งใหญ่ในโลกของ infosec
เนื่องจากมีการอัพเกรดหลายครั้ง จึงถูกแทนที่ด้วย TLS (ความปลอดภัยของเลเยอร์การขนส่ง) พร้อมด้วยการเปลี่ยนชื่อเพื่อหลีกเลี่ยงปัญหาทางกฎหมายที่อาจเกิดขึ้น ฉันเห็นว่าทำไมผู้คนถึงยังเรียกมันว่าชื่อเก่า มันเหมือนกับการได้รับความนิยมอย่างมากในฐานะ Mariah Carey เมื่อผู้ภักดีของคุณรู้ว่าจะเรียกคุณว่า Mimi
แต่บอกตามตรงเถอะว่า SSL นั้นไม่ได้รับการอัปเดตมาตั้งแต่ปี 2539 ซึ่งเลิกใช้อย่างเป็นทางการแล้ว ในปัจจุบัน องค์กรของคุณต้องใช้ TLS เนื่องจากช่องโหว่ของ SSL (การสกัดกั้นและการแทรกแซงการเข้ารหัส) ผลักดันให้โลกทำเช่นนั้น แน่นอนว่า SSL ยังคงใช้อยู่ในปัจจุบัน แต่ส่วนใหญ่จะอยู่ในระบบเดิม
ใบรับรอง SSL คืออะไร?
เป็น SSL ที่เข้ารหัสการรับส่งข้อมูลเป็นโปรโตคอลที่สร้างขึ้นเพื่อปกป้องการไหลของการสื่อสารระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ ข้อมูลที่มีการป้องกัน SSL ชื่อผู้ใช้ รหัสผ่าน รายละเอียดธนาคาร และข้อมูลลับอื่น ๆ ด้วย SSL ป้องกันสิ่งที่น่าสงสัย เช่น การปลอมแปลงและการดักฟัง
นอกเหนือจากการเข้ารหัสข้อมูลแล้ว SSL ยังช่วยสร้างความน่าเชื่อถือทางออนไลน์ขององค์กรอีกด้วย เป็นสัญญาณบ่งชี้ว่าลูกค้าอยู่ในเว็บไซต์ที่ถูกต้องตามกฎหมายซึ่งพวกเขาสามารถเชื่อถือได้และสามารถซื้อได้อย่างปลอดภัย .
ใบรับรอง TLS คืออะไร?
ในช่วงเวลาที่ภาพยนตร์ Fight Club เปิดตัวในปี 2542 TLS ได้รับการปรับปรุงอย่างถูกต้องตาม SSL และแทนที่ด้วย ความแตกต่างที่สำคัญ? ออกโดยหน่วยงานบุคคลที่สามที่เชื่อถือได้ เหมือนกับทนายความ แต่ได้รับการยอมรับทั่วโลกทางออนไลน์ เอนทิตีนี้เรียกว่าผู้ออกใบรับรอง (CA)
ใบรับรอง TLS มีข้อมูลที่เกี่ยวข้องกับข้อมูลประจำตัวของเจ้าของเว็บไซต์และคีย์สาธารณะสำหรับการสื่อสารที่จะเข้ารหัส เมื่อใดก็ตามที่เบราว์เซอร์เชื่อมต่อกับเว็บไซต์ด้วย TLS เบราว์เซอร์จะยืนยันผ่านรหัสสาธารณะของ CA เมื่อตรวจสอบสิทธิ์แล้ว เบราว์เซอร์จะสร้างการเชื่อมต่อที่ปลอดภัยกับเว็บเซิร์ฟเวอร์โดยใช้ข้อมูลในใบรับรอง TLS นี่เป็นช่วงเวลาพิเศษที่เกิดขึ้นในช่วงสั้นๆ เกือบจะเหมือนกับการจับมือที่เริ่มต้นการประชุม เพื่อให้ทั้งสองฝ่ายรับทราบซึ่งกันและกัน กำหนดเงื่อนไขของความสัมพันธ์ของพวกเขา (ต้องใช้อัลกอริธึมการเข้ารหัส) และตกลงเกี่ยวกับวิธีการดำเนินการ (คีย์เซสชั่น). สิ่งนี้จะปกป้องการเชื่อมต่อของพวกเขาจากอินพุตที่ไม่พึงประสงค์ซึ่งไม่มีธุรกิจอยู่ในธุรกรรมหรือความสัมพันธ์นั้น อาชญากรไซเบอร์ ฉันกำลังดูคุณอยู่
SSL กับ TLS
ตามที่ได้กำหนดไว้ ทั้ง SSL และ TLS เป็นโปรโตคอลการเข้ารหัสออนไลน์ที่เปิดใช้งานการเชื่อมต่อที่ปลอดภัยระหว่างไคลเอนต์และเซิร์ฟเวอร์ เพื่อจุดประสงค์เดียวกัน พวกเขามีความแตกต่างที่สำคัญ
| SSL | TLS | |
| การพัฒนา | ครั้งแรกในประเภทนี้: สร้างโดยบริษัท Netscape Communications (2537) | วัตถุประสงค์ที่ชัดเจนคือการแทนที่ SSL: พัฒนาโดย Internet Engineering Task Force (2542) |
| การรับรองความถูกต้อง | การรับรองความถูกต้องเฉพาะเซิร์ฟเวอร์ | รวมวิธีการตรวจสอบความถูกต้องที่มีประสิทธิภาพมากขึ้นในการออกแบบ รับรองความถูกต้องทั้งเซิร์ฟเวอร์และเบราว์เซอร์ไคลเอ็นต์ |
| การส่งต่อความลับที่สมบูรณ์แบบ (PFS), | None | ไม่มี, หากคีย์ส่วนตัวถูกบุกรุก PFS จะรับรองว่าการสื่อสารก่อนหน้านี้จะยังคงปลอดภัย แต่ละเซสชันจะสร้างคีย์เฉพาะซึ่งจะคงอยู่สำหรับเซสชันนั้นเท่านั้น |
| อัลกอริทึม, | Weak WeakSSL 3.0 ใช้ RSA และ RC4, | Strong TLS 1.2 ใช้ ECDHE และ AES |
| การเลิกใช้งาน,/td> | ไม่ปลอดภัย เลิกใช้แล้วอย่างเป็นทางการ, | Safe Globally ได้รับการยกย่อง |
เมื่อใบรับรอง SSL ของฉันหมดอายุแล้ว
เมื่อหมดอายุ SSL ของคุณจะไม่สามารถเชื่อถือได้เพื่อรักษาความปลอดภัยการเชื่อมต่อของคุณอีกต่อไป และผู้โจมตีอาจสามารถสกัดกั้นและดูข้อมูลที่ถูกส่งระหว่างเบราว์เซอร์และเซิร์ฟเวอร์ได้ เหตุการณ์ดังกล่าวจะออกคำเตือนด้านความปลอดภัย ซึ่งสามารถส่งผลให้ผู้เยี่ยมชมเว็บไซต์ของคุณออกไปได้ ไม่สามารถกล่าวเกินจริงได้ว่าการต่ออายุ SSL ของคุณมีความสำคัญเพียงใดก่อนที่จะหมดอายุ
ฉันจะตรวจสอบได้อย่างไรว่า SSL ของฉันหมดอายุแล้ว?
ไม่ว่าคุณจะใช้ Windows, Linux หรือ Mac OS การตรวจสอบวันหมดอายุ SSL ของคุณผ่านเบราว์เซอร์จะมีประโยชน์มากกว่ามาก การทำเช่นนี้หมายความว่าคุณไม่จำเป็นต้องดาวน์โหลดโปรแกรมเพื่อตรวจสอบอย่างหนัก
ตรวจสอบวันหมดอายุ SSL บน Google Chrome
- คลิกไอคอนแม่กุญแจในแถบที่อยู่ของเว็บไซต์
- คลิกที่การเชื่อมต่อมีความปลอดภัย
- คลิกที่ใบรับรองถูกต้อง
- ใต้ช่วงเวลาที่มีผล ให้ทำเครื่องหมายที่ “หมดอายุในวันที่” เพื่อตรวจสอบว่าใบรับรอง SSL เป็นปัจจุบัน
กำลังตรวจสอบวันหมดอายุ SSL บน Microsoft Edge
- หลังจากคลิกที่ไอคอนรูปแม่กุญแจ ให้คลิกที่ การเชื่อมต่อมีความปลอดภัย
- คลิกไอคอนใบรับรองที่อยู่ตรงข้าม การเชื่อมต่อมีความปลอดภัย
- ค้นหาใบรับรอง
ตรวจสอบวันหมดอายุ SSL บน Firefox
- คลิกการเชื่อมต่อที่ปลอดภัย
- คลิกข้อมูลเพิ่มเติม
- คลิกดูใบรับรอง
- ค้นหาความถูกต้อง
ผลกระทบจากช่องโหว่การหมดอายุของใบรับรอง SSL
มันเหมือนกับการมีหนังสือเดินทางที่หมดอายุ: นอกเหนือจากการมีความถูกต้องที่น่าสงสัยแล้ว หมายความว่าคุณไม่สามารถปฏิบัติตามมาตรฐานความปลอดภัยล่าสุดได้ ซึ่งนำไปสู่ช่องโหว่ทุกประเภทตามมา ดูสิ ใบรับรอง SSL จะประกาศว่าคุณเป็นผู้โดยสารที่เชื่อถือได้ ซึ่งเป็นเว็บไซต์ที่เชื่อถือได้ ซึ่งแล่นผ่านอินเทอร์เน็ตทั้งเจ็ด เว็บไซต์ของคุณถูกต้องตามกฎหมาย เว็บไซต์ของคุณถูกตัดขาดเหนือส่วนที่เหลือ ลูกค้าสามารถมอบความปลอดภัย - ตัวตนและรายละเอียดทางการเงินของพวกเขา ให้กับคุณได้ ดูสิ ไอคอนที่เลือกสำหรับ SSL ไม่ใช่แค่รูปแม่กุญแจแบบสุ่มเท่านั้น
การหมดอายุของ SSL อาจนำไปสู่การหยุดทำงานที่อาจสร้างความเสียหายต่อชื่อเสียง ความไว้วางใจของลูกค้า และรายได้ มีการรายงานข่าวหลายกรณี: เหตุการณ์จริงของการลืมต่ออายุเกิดขึ้นกับแพลตฟอร์มคลาวด์ขนาดใหญ่ บริษัทซอฟต์แวร์ที่มีอิทธิพลคล้ายคลึงกัน บริการสตรีมเพลงรายใหญ่ที่ให้คุณเข้าถึงเพลงนับล้านได้ฟรี และอื่นๆ อีกมากมาย ค้นดูสิ.
ใบรับรอง SSL ของฉันมีอายุการใช้งานสูงสุดคือเท่าใด?
ไม่สามารถออกใบรับรอง SSL/TLS ได้นานเกิน 13 เดือน (397 วัน) . การเปลี่ยนแปลงนี้ประกาศโดยเบราว์เซอร์ยอดนิยม ได้แก่ Google และ Apple ที่ CA/Browser Forum ในเดือนมีนาคม 2563
การเปลี่ยนแปลงในพื้นที่ SSL
ระยะเวลาของความถูกต้องของ SSL เคยสูงถึงสองปี แต่โลกของ infosec ยังคงทำงานต่อไปเพื่อปกป้องการเชื่อมต่อโดยการย้ายระยะเวลาที่ถูกต้องให้สั้นลงเรื่อยๆ ซึ่งเป็นไปตามแนวทางปฏิบัติที่ดีที่สุดในอุตสาหกรรมซึ่งมีไว้เพื่อปกป้องทุกคนเท่านั้น โชคดีที่แนวทางปฏิบัติคำนึงถึงความแตกต่างของโซนเวลาและป้องกันไม่ให้ CA เช่น GlobalSign ออกใบรับรองผิดพลาดซึ่งเกินข้อกำหนดด้านความถูกต้อง ปรับเป็นหนึ่งปี และเร็วๆ นี้จะลดลงเหลือ 90 วัน
ความถูกต้อง 90 วัน: มันจะสำคัญกับคุณเมื่อใด?
แม้ว่าจะยังไม่มีวันที่อย่างเป็นทางการสำหรับการเปลี่ยนแปลงนี้ แต่ Google ได้เผยแพร่แบบสำรวจไปยัง CA ที่ฟอรัม CA/B และกำลังขความคิดเห็นเกี่ยวกับแผนการที่ระบุไว้ บริษัทเทคโนโลยีข้ามชาติมีแนวโน้มที่จะพิจารณาความคิดเห็นของทุกคน หลังจากนั้นจะประกาศวันที่บังคับใช้สำหรับการเปลี่ยนแปลงที่เสนอทั้งหมด ไม่ต้องกังวล เรากำลังจับตาดูสิ่งนี้อยู่ เรากำลังแจ้งให้คุณทราบเกี่ยวกับการพัฒนาทั้งหมด
แนวทางปฏิบัติ SSL ที่ดีที่สุดใน APAC
เลือก CA ที่เชื่อถือได้
CA ที่ดีที่สุดนอกเหนือไปจากความจริงที่ว่าพวกเขาเป็นหนึ่งใน CA ที่มีอายุยืนยาวที่สุดในโลก CA ที่ดีที่สุดภายใต้สัญญาและส่งมอบมากเกินไป
พวกเขาบอกว่าพวกเขาสนับสนุนเหรอ? สำหรับการสนับสนุนด้านเทคนิคตลอด 24 ชั่วโมงทุกวัน พวกเขามาที่ประเทศของคุณอย่างแท้จริงและสร้างสถานะในท้องถิ่นที่แข็งแกร่ง
พวกเขาบอกว่าพวกเขาสะเทือนใจไปทั่วโลกใช่ไหม? พวกเขาสร้างโครงสร้างพื้นฐานใหม่อย่างต่อเนื่องเพื่อคาดหวังความสำเร็จมหาศาลให้กับองค์กรของคุณ ซึ่งมาพร้อมกับความต้องการที่เปลี่ยนแปลงตลอดเวลา
พวกเขาเดินพูดคุย พวกเขาผ่านการตรวจสอบจากบุคคลที่สามอย่างระมัดระวังเป็นพิเศษเพื่อรักษาตำแหน่งความปลอดภัยไว้ พวกเขาให้ความสำคัญกับชื่อเสียงของตนเอง พวกเขารักษาตัวเองไม่ให้ถูกตำหนิ ดังนั้นพวกเขาจึงสามารถยกระดับคุณไปสู่ระดับนั้นได้เช่นกัน .
เดาว่า CA ใดทำเช่นนี้? คลิกที่นี่. .
เลือกใบรับรอง SSL ที่เหมาะสม
ใบรับรอง SSL มีระดับการตรวจสอบที่แตกต่างกัน คุณเลือกหนึ่งรายการเพื่อให้เหมาะกับวัตถุประสงค์ ไม่ว่าจะเป็นสำหรับไซต์บล็อก เว็บไซต์องค์กร หรือไซต์อีคอมเมิร์ซขนาดใหญ่ เคล็ดลับ เป็นการดีที่สุดที่จะหลีกเลี่ยงใบรับรองหลายเซิร์ฟเวอร์เพื่อป้องกันการทำซ้ำคีย์ส่วนตัว เหตุใดการทำซ้ำจึงเป็นสิ่งที่ไม่-ไม่? หากเซิร์ฟเวอร์ตัวใดตัวหนึ่งถูกโจมตี เซิร์ฟเวอร์อื่นๆ ทั้งหมดที่ได้รับการคุ้มครองโดย SSL ของคุณก็ต้องเผชิญกับความเสี่ยงด้านความปลอดภัยเช่นเดียวกัน
รับประกันการตรวจสอบการหมดอายุ SSL และการจัดการใบรับรองที่มีประสิทธิภาพ
Your organization probably has a menagerie of SSL and other certificates, each with its own date of expiration. องค์กรของคุณอาจมีโรงละคร SSL และใบรับรองอื่นๆ ซึ่งแต่ละใบรับรองมีวันหมดอายุของตัวเอง การจัดการใบรับรองถือเป็นภาระ และขอแนะนำให้คุณดำเนินการโดยอัตโนมัติ เมื่อระยะเวลา 90 วันผ่านไป คุณจะต้องต่ออายุใบรับรองของคุณอย่างน้อยสี่ (4) ครั้งทุกปี
สำหรับกรณีการใช้งานของเราคลิกที่นี่ .
ใบรับรอง SSL/TLS ที่หมดอายุสามารถสร้างความเสียหายและก่อให้เกิดปัญหาด้านความเสี่ยงด้านความปลอดภัยสูงสำหรับทีมของคุณ เครื่องมือรายการใบรับรอง เช่น Atlas Discovery ของ GlobalSign ช่วยให้คุณได้รับภาพรวมที่ครอบคลุมของใบรับรองขององค์กรของคุณ. ด้วยระบบอัตโนมัติของใบรับรองผ่าน ACME คุณจะป้องกันการหยุดทำงานและการหยุดทำงานได้เช่นกัน
ไม่มีอะไรจะมั่นใจได้มากไปกว่าการรู้ว่าใบรับรองดิจิทัลของคุณปลอดภัยด้วยความช่วยเหลือจากผู้เชี่ยวชาญ PKI และพันธมิตรที่น่าเชื่อถือ
อย่ารอให้เหตุการณ์นี้ส่งผลต่อการเข้ารหัสไซต์ของคุณ
อย่ารอเวลาดังกล่าวเมื่อคุณไม่ได้รับการปกป้องอีกต่อไป
