Yksi yleisimmistä tavoista suojata liikenne käyttäjän ja verkkosivuston välillä on TLS, Transportation Layer Security (aiemmin tunnettu nimellä SSL, Secure Sockets Layer). TLS suojauksella voidaan suojata normaalin HTTP (www) liikenteen lisäksi hakemistopalvelujen tarpeeseen kehitettyn LDAP (Light Directory Access Protocol) pohjaisia yhteyksiä. Sillä voidaan lisäksi suojata myös sähköpostien käyttämiä POP, IMAP ja SMTP yhteyksiä.
TLS-yhteyksien pohjana ovat tiettyjen yritysten myöntämät SSL-varmenteet joilla varmistetaan sivuston omistajan identiteetti. Sertifikaatti on tiedosto joka asennetaan fyysisesti sivustoa pyörittävälle palvelimelle. Selainvalmistajat puolestaan ylläpitävät listaa luotetuista SSL-varmenteen myöntäjistä.
TLS-yhteyden keskeisiä ominaisuuksia
- salattu liikenne kryoptografiaan perustuvan suojauksen ansiosta
- yhteyden suojausavaimet luodaan yksilöllisesti jokaista datayhteyttä varten
- hakkereiden on mahdotonta muokata SSL-suojattua dataa tulematta havaituiksi
- keskustelevien osapuolten identiteetti voidaan varmentaa julkisen avaimen avulla
- SSL-yhteyden yli lähettty data sisältää tarkistusavaimen jolla varmistetaan että tieto ei ole muuttunut lähetyksen aikana esimerkiksi tietoverkon ongelmista johtuen
SSL:n käyttö www-liikenteessä
Käytettäessä SSL-suojattua yhteyttä, kaikki liikenne käyttäjän ja www-palvelimen kautta kryptataan. Käyttäjälle tämä näkyy selaimessa etuliitteenä "https", tämä indikoi suojattua yhteyttä. HTTPS on yleisesti käytössä ja käyttäjä voidaan palvelinpuolella pakottaa käyttämään SSL-suojausta. Tämä pakote tulisikin olla käytössä kaikissa automaation sovelluksissa joissa yrityksen sisäverkossa olevia laitteita tai dataa hallinnoidaan etäyhteyden yli. HTTPS on yleisesti käytössä kaikkialla missä liikkuu sensitiivistä dataa, esimerkiksi terveydenhupoltoalan sovellukset sekä pankki- ja vakuutusalan sovellukset.
Tunnettuja SSL/TLS liittyviä haavoittuvuuksia
Vaikka SSL suojausta pidetäänkin erittäin luotettavana, kautta historian siihen on liittynyt joitakin haavoittuvuuksia jotka SSL:n luonteesta johtuen ovat olleet hyvinkin vahingollisia. Tunnetuin näistä on ollut Heartbleed jossa ohjelmointivirheestä johtuen hyökkääjä kykeni varastamaan palvelimelta yksityisiä SSL-avaimia joiden tulisi normaalisti olla suojattuja. Tällaiset tapaukset vaikka onkin ratkaistu, korostavat entisestään tietoturvan jatkuvan monitoroinnin merkitystä.
Yleisiä SSL sovelluksia