Od května 2016 je Let's Encrypt k dispozici jako plná verze a nabízí každému provozovateli webových stránek možnost nastavit SSL zdarma. Ale co odlišuje bezplatný certifikát SSL od placeného? Technicky nic, ale organizace o to víc.

Nejdůležitější odpověď hned na začátku: Ne, bezplatný certifikát SSL není o nic nejistější než placený. Ale jaký je klíčový rozdíl? Certifikáty SSL zdarma musí být nějakým způsobem spolufinancovány. Na to existuje také rychlá odpověď: prostřednictvím sponzorství. Let's Encrypt ukazuje, jak systém funguje.

Poslání iniciativy Let's Encrypt lze shrnout takto: Šifrovaná komunikace by měla být základním právem na internetu. Až do roku 2016 museli uživatelé obvykle platit za šifrování komunikace mezi webovým serverem a prohlížečem. Volný přístup k osvědčením proto nebyl zaručen.

S Let's Encrypt však od loňského roku existuje nový certifikační úřad, který vydává bezplatný certifikát SSL každému uživateli a zpřístupní tak šifrování každému majiteli webových stránek po celém světě. To se hodně mění: S bezplatnými certifikáty jsou požadavky na HTTPS jako nový standard na internetu na dosah.

Pro provozovatele obchodů nebo společnosti byl zámek v adresní liště vždy důležitým ukazatelem důvěry – pouze z právních důvodů. Každý provozovatel webových stránek, ať už blogger, freelancer nebo provozovatel obchodu, by se však měl spoléhat na šifrování. Je to proto, že nabízí širokou škálu výhod bez ohledu na náklady na certifikát. Typy certifikátů se neliší, pokud jde o technické základy šifrování.

V tomto článku budu diskutovat o výhodách a technických základech ověřování a šifrování SSL.

Certifikát SSL činí vaši stránku bezpečnější a je dobrý pro Google

Za především je bezpečnostní aspekt v kontextu protokolu SSL klíčový. Na jedné straně certifikát potvrzuje pravost kontrolovaného serveru. Na druhou stranu je šifrována komunikace mezi webovým serverem a klientem, tj. prohlížečem. To chrání komunikaci před přístupem a úpravami, a tím činí osobní údaje, jako jsou adresy nebo bankovní informace, nepřístupnými.

Certifikát SSL také hraje důležitou roli při optimalizaci pro vyhledávače. Ačkoli není známo, do jaké míry je SSL relevantní jako kritérium hodnocení pro Google, bylo prokázáno, že HTTPS je signálem hodnocení. Před více než dvěma lety Google oznámil, že ve výsledcích vyhledávání upřednostní šifrované stránky a tento trend postupně rozšíří.

Kromě toho se nedávno ukázalo, že prohlížeč Google Chrome brzy označí nešifrované stránky s "Není zabezpečeno" v adresním řádku. Alespoň pokud stránky, na kterých jsou požadována hesla nebo informace o kreditní kartě, nejsou šifrovány. Již na vývojářské konferenci Google I / O, v lednu 2016, vývojáři bezpečnostní společnosti CloudFlare představili screenshot, který dává ochutnávku toho, co Google plánuje.

V neposlední řadě Google také preferuje HTTPS při procházení.

Díky certifikátu SSL je váš web rychlejší a důvěryhodnější

Protokol HTTPS znamená, že komunikace webového serveru s klientem je šifrována. To však neznamená, že SSL je zabiják výkonu. Naopak, protože je zaveden standard HTTP/2, šifrované stránky běží mnohem rychleji než nezašifrované stránky. To platí i pro jejich mobilní verze. Pokud jste se tedy dosud zdrželi šifrování z výkonnostních důvodů, dovolte mi říci: obava je neopodstatněná!

Nakonec má certifikát SSL vždy psychologický vliv na návštěvníky vašeho webu. Ikona zámku v adresním řádku a dobrý pocit ze šifrování mají vliv na převody. Člověk by si rád myslel, že šifrování je proto relevantnější pro systémy obchodů, poskytovatele plateb atd. Nejpozději od té doby, co Let's Encrypt nabízí bezplatné certifikáty SSL, blogeři a další internetoví profesionálové také těží z výhod HTTPS - a bez dalších nákladů.

Bezplatný certifikát SSL splňuje stejné technické výhody jako placený

Pokud chcete mluvit o vlastnostech protokolu SSL souvisejících se zabezpečením, je důležité rozlišovat mezi certifikačními certifikáty a certifikáty SSL.

Certifikační úřad nebo certifikační úřad vydává a podepisuje certifikáty potvrzující jejich pravost. V tomto procesu jsou certifikáty uloženy na webovém serveru. Pokud zákazník nyní navštíví web na tomto webovém serveru, může se identifikovat jako vlastník certifikátu.

Prohlížeč pak zkontroluje certifikát uložený na stránce s uloženým "Stromem certifikátů" (viz obrázek níže). Nejvyšší prioritou je tzv. kořenový certifikát. Všechny ostatní certifikáty a nakonec bezplatné certifikáty Let's Encrypt jsou založeny na tomto. Pokud je kořenový certifikát a všechny ostatní certifikáty upstream platné, je vytvořeno šifrované připojení. Certifikační orgány jsou proto fulcrumem ověřování domény. A důvěra je pro tyto případy vše a konec.

Certifikáty se zase používají k ověření komunikačních partnerů – tj. webového serveru a prohlížeče – a k zahájení skutečného šifrovacího mechanismu. Zajišťují, aby webové servery a prohlížeče obdržely správné veřejné a soukromé klíče pro zahájení chráněné komunikace.

Nejprve se server ověří klientovi jako vlastník certifikátu. Poté je vytvořeno asymetrické šifrování a vyměňují se odpovídající klíče. Ty pak umožňují symetrické šifrování. Od tohoto okamžiku je veškerá komunikace mezi klientem a serverem zakódována.

Klíče jsou pravidelně obnovovány po celou dobu komunikace. To udržuje datový tok chráněný před odposloucháváním a úpravami, i když útočník uspěje v jednorázovém hackování.

Ale jak silná je šifra? To zcela závisí na konfiguraci webového serveru hosteru.

Ať už máte bezplatný certifikát SSL nebo ne, záleží na důvěře

Z technického hlediska tedy neexistuje žádný zásadní rozdíl mezi placeným a bezplatným certifikátem SSL. Co je však masivně odlišné, je certifikační orgán. Když je dotázán na důvěru, kterou lze umístit do CA, duchové se rozcházejí.

Za tradičními certifikačními orgány stojí společnost, která je ekonomicky víceméně úspěšná. Nejdůležitějším aktivem této společnosti je důvěra zákazníků a veřejnosti v její certifikační výkonnost.

Let's Encrypt a její mateřská organizace, Internet Security Research Group, nejsou orientované na zisk, ale mají charitativní misi. Za Let's Encrypt jsou však průmysloví giganti jako Chrome, Facebook, Mozilla a Linux.

Otázka důvěry v certifikační orgán je proto do jisté míry otázkou uvážení: důvěřuji společnosti, která provádí marketing, aby maximalizovala důvěru, která je v něj vložena, nebo neziskovému certifikačnímu orgánu, který se spoléhá na pověst průmyslových gigantů, kteří ji podporují?

Závěr: Téměř neexistují žádné technické rozdíly – ale organizační

Ať už pochází od Comodo, Thawte a Co. nebo Let's Encrypt, šifrování SSL přináší vašemu webu mnoho výhod a celkově je konkurenceschopnější. Na technické úrovni se typy certifikátů téměř neliší: HTTPS je HTTPS. Síla šifrování má na druhé straně především s konfigurací webového serveru.

Pokud máte bezplatný certifikát SSL, nemusíte se starat o nevýhody ve srovnání s placeným certifikátem. Vzhledem k tomu, že nejdůležitějším výchozím bodem pro certifikáty ověřené doménou je nejdůležitější výchozí bod pro zabezpečení certifikační úřad, nikoli samotný certifikát. Který certifikační úřad důvěřujete, je opět věcí uvážení. Jak open source iniciativa, kterou sponzorují vedoucí představitelé průmyslu, tak zisková společnost, jejíž nejdůležitější firemní hodnotou je důvěra jejích zákazníků, mají zájem na tom, aby byla považována za co nejdůvěryhodnější.

My, my Raidboxestým, rozhodli jsme se důvěřovat projektu Let's Encrypt. Protože nám umožňuje předávat mnoho výhod SSL přímo – a především zdarma – našim zákazníkům.