- Что такое ssl-сертификат
- Cправка по low-code платформе elma365
- Безопасность данных
- Бесплатные доверенные сертификаты
- Где можно получить
- Доверенные ssl-сертификаты – «несгораемый сейф» для ваших данных
- Доверие к сайту
- Доступ к сайтам с самоподписанными сертификатами. | kaspersky community
- Каким сайтам нужен ssl?
- Какой ssl-сертификат выбрать?
- Минусы
- Нерекомендуемые методы
- Обновить корневые сертификаты
- Проверить дату и время на своем гаджете
- Проверить работу антивируса
- Самоподписанные сертификаты
- Следить за сроком действия сертификата
- Типы сертификатов.
Что такое ssl-сертификат
SSL (Secure Sockets Layer — уровень защищённых сокетов) — это протокол шифрования, который позволяет кодировать данные для более безопасного обмена.
Cправка по low-code платформе elma365
Начиная с версии Chrome 58 и Firefox 48 сертификаты, в которых не указан атрибут SAN (SubjectAltName) будут приводить к ошибке «Ваше соединение не защищено».
Выполните следующие действия, чтобы создать сертификат с атрибутом SAN (убедитесь, что в вашей системе установлен OpenSSL):
- Создаем сертификат корневого CA. На его основе будут выпускаться все остальные сертификаты. Заполните появившиеся поля данными, в поле Common Name введите полное доменное имя сервера:
# sudo openssl genrsa -des3 –out /etc/ssl/private/rootCA.key 2048
# sudo openssl req -x509 -new -nodes -key /etc/ssl/private/rootCA.key -sha256 -days 365 –out /etc/ssl/certs/rootCA.pem
- Создаем файл конфигурации /etc/ssl/v3.ext со следующим содержанием, где mydomain.com – полное доменное имя сервера:
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names
[alt_names]
DNS.1 = mydomain.com
- Создаем подписанный сертификат, используя файл конфигурации и корневые сертификаты. Заполните появившиеся поля данными, в поле Common Name введите полное доменное имя сервера:
sudo openssl genrsa -out /etc/ssl/private/selfsigned.key 2048
sudo openssl req –new -key /etc/ssl/private/selfsigned.key -out /etc/ssl/certs/selfsigned.csr
sudo openssl x509 -req –in /etc/ssl/certs/selfsigned.csr -CA /etc/ssl/certs/rootCA.pem -CAkey /etc/ssl/private/rootCA.key -CAcreateserial -out /etc/ssl/certs/selfsigned.crt -days 365 -sha256 -extfile /etc/ssl/v3.ext
- Добавляем сертификат rootCA.pem в список доверенных корневых центров сертификации.
- При установке или обновлении ELMA365 на сервере используется ключ selfsigned.key и сертификат selfsigned.crt
- При выпуске нового сертификата, вам потребуется обновление сертификатов, используется следующая команда:
sudo elma365ctl reload-cert
начало внимание
Самоподписанный сертификат SSL не обеспечивает надежную защиту данных от злоумышленников. Рекомендуется использовать коммерческие SSL-сертификаты от доверенных центров сертификации, таких как Comodo, Symantec, Thawte и т.д.
конец внимание
Безопасность данных
Конечно же, стоит начать с этого пункта, ведь в этом заключается основная цель использования SSL-сертификатов. Если вы работаете с персональными данными пользователей, вам просто необходимо их шифровать при передаче к серверу. Само по себе использование сертификата не лекарство от всех бед, злоумышленники могут перехватить данные ещё до момента передачи их на сервер на заражённом компьютере или устройстве посетителя сайта. Однако использование протокола шифрования — значительный вклад в снижение уязвимости сайта.
Бесплатные доверенные сертификаты
Такие SSL-сертификаты можно оформить довольно быстро. Часто ими пользуются стартапы, чтобы понять, что вообще такое SSL и как это работает. Бывают только одного вида — DV SSL (Domain Validation). Это сертификаты, удостоверяющие доменное имя.
Где можно получить
Самые известные бесплатные сертификаты от доверенных центров предоставляют Let’s Encrypt и CloudFlare.
Доверенные ssl-сертификаты – «несгораемый сейф» для ваших данных
Доверенные сертификаты от крупных удостоверяющих центров – единственное надежное решение для защиты всех совершаемых онлайн транзакций. Дополнительная защита от злоумышленников – пиннинг сертификата. Под пиннингом подразумевается указание всех центров сертификации, которые имеют право выпускать сертификаты для заданных доменных имен. Такой подход рекомендуется для всех крупных организаций и корпораций.
Если Вы делаете ставку на безупречную надежность, стабильность работы и защиту от перехвата данных, мы рекомендуем Вам приобрести для себя доверенные SSL-сертификаты от известных центров сертификации. Лучше потратиться один раз на качественное решение, чем потом вкладывать астрономические суммы в восстановление своего бизнеса и своей репутации в сети.
Доверие к сайту
Пользователи привыкают, что все крупные проекты используют SSL-сертификаты. Надпись «Защищено» и замочек дают посетителю сайта представление о том, что он и его данные находятся в безопасности.
Доступ к сайтам с самоподписанными сертификатами. | kaspersky community
У меня подобная проблема случилась с pSense, тоже касперский перестал
пускать в админку.
Нашёл такое решение, у нас есть сайт с собственным доменом xxx.com
Хост с pFsence называется pfsence.xxx.com
В настройках KES 11 сделал следующее:
Настройка – Общие параметры – Параметры сети – <Доверенные домены> добавил
наш домен *.xxx.com
Заработало, кривовато, но работает, по ip-адресу касперский всё так же не пускает,
а вот, если в браузере набрать pfsence.xxx.com, то касперский пропускает,
остаются только сообщения браузера о не доверенном сертификате, которые можно игнорировать.
Каким сайтам нужен ssl?
SSL-сертификат необходимо подключать к сайтам, которые работают с финансами и персональными данными пользователей. Это интернет-магазины, банки, платёжные системы, социальные сети, почтовые сервисы и любые другие проекты.
SSL-сертификат лучше ставить с самого начала, чтобы иметь более высокие позиции в поисковых системах. Если всё же изначально не использовался сертификат, то переехать можно быстро, а вот поисковики могут увидеть это только спустя пару месяцев. Тем более сегодня поставить SSL можно и бесплатно.
Какой ssl-сертификат выбрать?
Итак, мы определились с тем, что SSL-сертификаты различаются между собой не только брендом и ценой. Сегодняшний ассортимент предложений предусматривает широкий круг задач, для которых может потребоваться SSL.
Например, если вы просто хотите уберечь пользователей вашего веб-сайта от навязчивых предупреждений браузера о посещении непроверенного сайта, будет достаточно за несколько минут получить простой DV (Domain Validation) сертификат. Если же вы используете свою интернет-площадку для операций, требующих повышенного уровня безопасности данных компании и клиентов — стоит задуматься об EV (Extended Validation) сертификате.
Для выбора оптимального сертификата для определённого сайта нужно изучить, что предлагают центры сертификации, обращая внимание на следующие аспекты:
- насколько SSL совместим с основными браузерами;
- на каком уровне происходит защита данных пользователей;
- насколько масштабная проверка организации проводится;
- есть ли печать доверия.
Минусы
- Небольшой срок действия. Например, сертификаты Let`s Encrypt необходимо перевыпускать каждые 3 месяца.
- Сложности с продлением. Хостеры автоматически продлевают некоторые бесплатные сертификаты. Но здесь бывают проблемы. Перед выпуском сертификационный центр обращается к сайту за специальным файлом. Иногда он в системе не обнаруживается: не было места на диске и файл не записался, во время проверки почему-то закрылся доступ к сайту и пр. Итог один — сертификат не обновляется, а вы даже не узнаете об этом, если не решите вдруг проверить срок действия вручную.
- Отсутствие поддержки. Для корректной работы SSL-сертификата важна грамотная полноценная поддержка (по телефону, по email, в чатах). Она недоступна для бесплатных SSL. На официальных сайтах удостоверяющих центров, как правило, размещены ответы на часто задаваемые вопросы, которые в основном описывают общие случаи и могут быть бесполезны для решения конкретной проблемы. Также есть неофициальная информация на тематических форумах, но среди неё ещё надо найти нужную.
- Есть вероятность не заметить, что сертификат не работает. Как мы писали выше, посмотреть сроки действия сертификата можно вручную. Есть и другой способ: проверять даты с помощью специального скрипта, который не так просто создать. Поддержки нет. Если не проверять сроки, можно пропустить время продления, и сертификаты будут аннулированы. В безопасности сайта появятся дыры, посетители, увидев уведомление о ненадёжности сайта, станут покидать сайт и трафик снизится.
В 2021 году кредитное бюро Equifax сообщило о масштабном взломе: хакеры украли данные 143 млн человек — почти половины населения США. Это произошло отчасти из-за истечения срока действия сертификата, который был неактивным в течение 19 месяцев.
- Несовместимость с некоторыми браузерами. Как правило, такие сертификаты не могут использовать устаревшие версии браузеров и платформ. Это значит, что даже с сертификатом ваш сайт может не открыться у части клиентов. Они увидят предупреждающее об опасности окно и, скорее всего, уйдут с вашей страницы.
- Отсутствие гарантий и компенсаций. При использовании бесплатного сертификата сертификационный центр берёт на себя ответственность за шифрование данных. Но при утечке ответственность будет на вас. Гарантии и компенсацию за взлом вы не получите.
- Для самостоятельного выпуска и установки нужны навыки администрирования. При том, что выпустить и установить сертификат бывает не так трудно, навыки администрирования всё же пригодятся, если вы не хотите просидеть несколько часов за инструкциями.
- Нежелательны для сайтов с платежами. Бесплатные SSL-сертификаты обычно поддерживают технологию SNI (Server Name Identification). С её помощью можно установить сразу несколько сертификатов на один IP-адрес. Иногда это и удобно, но далеко не все платёжные системы работают с такой технологией. Плюс без надёжного SSL-сертификата покупатель не поймёт, кому принадлежит сайт и куда он собирается перевести деньги. Поэтому, если вы работаете с банком, финансовыми организациями, если у вас интернет-магазин или другой сайт, который принимает электронные платежи, не экономьте на SSL-сертификате.
Нерекомендуемые методы
В Интернете можно найти и другие способы решения проблемы с сертификатом сайта – добавление ресурса в список трастовых (доверенных) сайтов, отключение самой проверки, установка пакета собранных автором поста сертификатов и т.д. Используя такие подходы, вы должны понимать, что это высокорисковые решения, и ответственность за сохранность ваших данных полностью ложится на вас.
Обновить корневые сертификаты
Проверка проходит в несколько уровней, и если отсутствуют «главные» корневые сертификаты, то сертификаты сайтов система не распознает. Если у вас отключено автоматическое обновление ПО, то и новые сертификаты вы могли не получить. Обновить их можно, скачав с официальных сайтов производителя вашей операционной системы (скачивание со сторонних ресурсов – небезопасно!).
Проверить дату и время на своем гаджете
Если время на ПК сбилось и не соответствует времени на сервере, сертификат не может пройти проверку. После установки правильного времени компьютер нужно перезагрузить. Если проблема повторяется, возможно, стоит заменить батарейку на материнской плате.
Проверить работу антивируса
Антивирусные программы оценивают безопасность соединения по многим критериям, и иногда могут блокировать доступ к вполне трастовым ресурсам. Попробуйте отключить защиту и зайти на сайт. Но вводить там свои данные можно, только если вы полностью доверяете ресурсу. И, возможно, стоит задуматься о смене антивирусного ПО.
Самоподписанные сертификаты
Самоподписанный (самоизданный, самозаверенный, self-signed) сертификат — тот, который вы сами создали для своего домена или IP-адреса. Многим владельцам сайтов может показаться, что это идеальный вариант:
- Бесплатно.
- Доступно. Такой SSL-сертификат может создать любой владелец домена.
- Без обращения к поставщикам услуг. Не нужно ждать ответа от центра сертификации.
- Быстро. Но только если вы знаете, что делать и как пользоваться специальными программами или библиотеками. Например, для Windows можно воспользоваться криптографическим хранилищем OpenSSL или консолью PowerShell.
- Можно создать сколько угодно сертификатов.
Следить за сроком действия сертификата
SSL-сертификаты выдаются сроком на 1 год. Когда это время истечет, сертификат будет считаться недействительным – его нужно перевыпустить.
Если все установлено правильно, но проблема наблюдается – обратитесь в службу поддержки хостинга. Иначе посетители вашего сайта будут получать столь неприятное сообщение о небезопасности вашего ресурса.
Типы сертификатов.
Допустим, руководствуясь соображениями из 1 части статьи вы решили купить подписанный сертификат. Каково же будет ваше удивление, когда на сайте ЦС вы узнаеете, что они бывают разные 🙂
Типы сертификатов:
Esential SSL — самый не дорогой и быстро оформляемый сертификат. Доступен как для юридических, так и для физических лиц. Проверяется только право владения доменным именем, личные данные или регистрация компании не проверяются. Выдается на 1 домен.
Instant SSL — доступен и для физ. лиц, и для юр. лиц. Проверяется право владения доменом, регистрационные данные компании либо личность физ. лица. Выдается на 1 домен.
SGC SSL-сертификат. — Аналогично Instant SSL, но с поддержкой 40-битных расширений (актуально для старых ОС и браузеров). Выдается на 1 домен, либо wildcard (см. ниже).