Зачем нужен SSL-сертификат

25 Ноября 2024 4 мин

Когда пользователь заходит на сайт, его компьютер начинает обмениваться данными с веб-сервером этого сайта. Но прежде они «договариваются» между собой, как этот обмен будет происходить — в открытом виде или по зашифрованному каналу.

В интернете для открытой передачи данных используется протокол HTTP, для защищенной — криптографический протокол HTTPS, который сначала кодирует информацию, а только потом передает ее. Таким образом, даже если информацию перехватят мошенники, они не смогут расшифровать ее без специального ключа, а значит не смогут ей воспользоваться.
Чтобы настроить HTTPS, необходимо установить SSL-сертификат.

Что такое SSL-сертификат

Изначально SSL (Secure Sockets Layer) был протоколом для безопасного соединения браузера с сайтом с использованием HTTP. Однако из-за уязвимостей его заменил более надёжный протокол TLS (Transport Layer Security), который используется до сих пор. Несмотря на это, термин «SSL» сохранился и теперь обозначает цифровую подпись, подтверждающую подлинность сайта и защищающую от подмены адресов мошенниками.

Слово «сертификат» вызывает ненужные ассоциации с документом, который можно распечатать и повесить на стену. На самом деле SSL-сертификат — это пакет из трёх файлов, которые сертификационный центр отправляет владельцу домена после того, как проведет проверку частного лица или компании, смотря от кого пришла заявка на получение сертификата. Из чего же состоит SSL-сертификат:

Публичный ключ. Он доступен всем. С его помощью кодируются данные, когда пользователь обращается к веб-серверу.
Секретный ключ. Его знает только владелец домена. С помощью этого ключа расшифровываются данные, передаваемые от пользователей сайта.
Подтверждение подлинности сертификата. Данные о владельце веб-ресурса: имя, адрес, доменное имя. Если доменом владеет организация, то — юридические данные. Также в сертификате содержится информация о сроке действия и центре сертификации, выпустившем его.

После того, как владелец домена получает сертификат, у него появляется возможность грамотно настроить HTTPS-протокол, защитить данные посетителей сайта и предоставить все доказательства того, что посещать его веб-ресурс безопасно.

О том, что сайт защищен, посетители узнают по отсутствию предупреждения от браузера и по визуальным атрибутам в адресной строке.

Как работает SSL-сертификат

Рассмотрим пошаговую схему работы сертификата на примере интернет-браузера.

Браузер пользователя инициирует подключение к защищённому ресурсу (веб-серверу сайта) через HTTPS.
Веб-сервер отправляет клиенту свой SSL-сертификат с публичным ключом.
Браузер проверяет сертификат на подлинность и соответствие домену.
Если сертификат действителен, браузер и веб-сервер выбирают параметры шифрования.
Браузер создает сессионный ключ, шифрует его публичным ключом веб-сервера и отправляет.
Веб-сервер расшифровывает сессионный ключ своим секретным ключом.
Начинается защищённый сеанс, где данные шифруются.

Этот процесс, названный SSL/TLS-рукопожатие, происходит за миллисекунды, создавая защищённое HTTPS соединение.

Если всё в порядке, в адресной строке, рядом с доменным именем сайта, появляется символ «замочек». Так пользователи понимают, что канал передачи информации защищен и можно спокойно вводить свои данные, не боясь, что их перехватят мошенники.

У сайтов с сертификатом в адресной строке появляется «замочек».

Если у сайта нет SSL-сертификата, пользователь не увидит в адресной строке ни «замочка», ни названия компании, а в некоторых случаях ещё и получит уведомление, что ресурс не защищён. Так он поймет, что на этот сайт лучше не заходить.