|
|
@@ -0,0 +1,56 @@
|
|
|
+# HTTPS и SSL
|
|
|
+
|
|
|
+
|
|
|
+### 1. Базовые понятия сетевой безопасности: HTTP vs HTTPS
|
|
|
+
|
|
|
+Базовый стек HTTP представляет собой прикладной инструмент передачи сетевых пакетов, формирующий архитектурную основу для циркуляции потоков данных в глобальной сети. Его ключевая задача заключается в транспортировке информационных запросов от клиентских приложений (веб-браузеров) к серверным нодам и возврате сформированных ответов. Ключевая уязвимость HTTP кроется в трансляции трафика открытым незащищенным массивом, что порождает критические риски безопасности:
|
|
|
+* Несанкционированный съем (Перехват): Сторонние лица способны перехватить незащищенный поток и извлечь приватные реквизиты (пароли, платежные данные, токены сессий).
|
|
|
+* Искажение пакетов (Модификация): Злоумышленники могут встраивать вредоносный код или подменять оригинальный контент веб-страниц непосредственно в процессе транспортировки.
|
|
|
+* Имитация узла (Фальсификация): Киберпреступники могут развернуть ложный сервер и перенаправить на него пользователей под видом легитимного ресурса.
|
|
|
+
|
|
|
+Спецификация HTTPS является защищенным развитием протокола HTTP, гарантирующим безопасное перемещение информационных блоков. Для реализации этой задачи HTTPS базируется на криптографических стандартах SSL и пришедшем ему на смену актуальном протоколе TLS. Архитектурно HTTPS представляет собой классический протокол HTTP, помещенный внутрь безопасной криптографической оболочки SSL/TLS.
|
|
|
+
|
|
|
+### 2. Механика функционирования криптослоя SSL/TLS
|
|
|
+
|
|
|
+Инструменты криптографии SSL/TLS изолируют информационный обмен, закрывая три ключевые уязвимости:
|
|
|
+* Конфиденциальность (Кодирование): Информационный поток между пользователем и сервером преобразуется в стойкий шифр, поддающийся расшифровке исключительно законными участниками сессии.
|
|
|
+* Верификация (Аутентификация): Сервер подтверждает свои права путем предоставления электронного SSL/TLS-аттестата, верифицированного аккредитованным центром (CA). Это защищает пользователя от взаимодействия с фишинговыми дубликатами.
|
|
|
+* Неизменность (Целостность): Алгоритмы контролируют постоянство структуры данных в пути следования с помощью криптографического хэширования и вычисления цифровых подписей.
|
|
|
+
|
|
|
+### 3. Порядок установления защищенного сеанса (TLS-Handshake)
|
|
|
+
|
|
|
+Процедура инициализации безопасного канала между клиентом и веб-сервером реализуется в несколько последовательных фаз:
|
|
|
+1. Запрос безопасной сессии: Клиентское приложение отправляет веб-серверу уведомление о намерении переключиться на защищенное соединение.
|
|
|
+2. Объявление доступных алгоритмов: Серверная сторона передает список поддерживаемых версий протокола TLS и доступных криптографических наборов (Cipher Suites).
|
|
|
+3. Выбор криптонабора: Браузер сопоставляет данные и утверждает наиболее защищенный общий алгоритм шифрования трафика.
|
|
|
+4. Проверка подлинности (Обмен ключами): Сервер транслирует свой цифровой сертификат с открытым криптоключом. Браузер запрашивает подтверждение легитимности сертификата у доверенного CA. После этого клиент генерирует случайный мастер-ключ и шифрует его открытым ключом сервера.Активация шифрованного канала: Браузер пересылает зашифрованный мастер-ключ обратно. Сервер извлекает его с помощью своего секретного приватного ключа. Теперь обе стороны обладают общим сессионным ключом.
|
|
|
+5. Защищенный трафик: Весь последующий обмен полезными данными шифруется с применением созданного общего секретного сессионного ключа.
|
|
|
+
|
|
|
+### 4. Цифровые SSL/TLS-сертификаты
|
|
|
+
|
|
|
+Электронный сертификат SSL/TLS — это верифицированный цифровой документ, удостоверяющий легитимность веб-ресурса и содержащий его публичный ключ. Выпуском этих документов занимаются специализированные Центры сертификации (CA), выступающие независимыми арбитрами безопасности.
|
|
|
+В зависимости от строгости проверки выделяют три класса сертификатов:
|
|
|
+* Domain Validation (DV): Экспресс-проверка, подтверждающая лишь право владения конкретным доменным именем.
|
|
|
+* Organization Validation (OV): Комплексная проверка, подтверждающая существование юридического лица и его права на домен.
|
|
|
+* Extended Validation (EV): Максимально глубокий аудит организации, гарантирующий наивысшую степень безопасности и доверия к ресурсу.
|
|
|
+
|
|
|
+### Плюсы внедрения HTTPS:
|
|
|
+
|
|
|
+1. Приватность: Полная изоляция персональных и платежных данных от перехвата третьими сторонами.
|
|
|
+2. Стабильность данных: Защита от подмены содержимого провайдерами или хакерами в процессе доставки пакетов.
|
|
|
+3. Защита от фишинга: Однозначная идентификация сервера, исключающая кражу учетных записей на поддельных сайтах.
|
|
|
+4. Лояльность аудитории: Наличие символа безопасного соединения (замочка) в веб-браузере повышает доверие пользователей.
|
|
|
+5. Поисковая оптимизация (SEO): Крупные поисковые системы (включая Google) ранжируют сайты с HTTPS выше в поисковой выдаче.
|
|
|
+
|
|
|
+### Минусы внедрения HTTPS:
|
|
|
+
|
|
|
+1. Вычислительная нагрузка: Математические операции кодирования и декодирования трафика могут вызвать незначительное снижение скорости отклика сервера.
|
|
|
+2. Финансовые издержки: Покупка бизнес-сертификатов (OV/EV класса) требует регулярных затрат, хотя базовые DV-варианты доступны бесплатно.
|
|
|
+3. Сложность администрирования: Первичная конфигурация криптослоя на веб-сервере требует специфических навыков и внимания к деталям.
|
|
|
+
|
|
|
+### Список использованных источников:
|
|
|
+1. Баранова, Е. К. Информационная безопасность и защита информации : учебное пособие для студентов учреждений высшего образования / Е. К. Баранова, А. В. Бабаш. — 4-е изд., перераб. и доп. — Москва : РИОР : ИНФРА-М, 2018. — 336 с. — (Высшее образование). — ISBN 978-5-369-01761-6.
|
|
|
+2. Олифер, В. Г. Безопасность компьютерных сетей : учебное пособие для вузов / В. Г. Олифер, Н. А. Олифер. — Москва : Горячая линия - Телеком, 2016. — 643 с. — ISBN 978-5-9912-0420-0.
|
|
|
+3. Спецификация протокола Transport Layer Security (TLS). Версия 1.3 : RFC 8446 = The Transport Layer Security (TLS) Protocol Version 1.3 / Internet Engineering Task Force (IETF) ; разработано E. Rescorla. — 2018. — URL: https://ietf.org (дата обращения: 04.11.2026). — Текст : электронный.
|
|
|
+4. Различия сертификатов проверки домена (DV), организации (OV) и расширенной проверки (EV) / Глобальный центр сертификации GlobalSign : официальный сайт. — Леовен, 2024. — URL: https://globalsign.com (дата обращения: 04.11.2026). — Текст : электронный.
|
|
|
+5. Руководство по развертыванию HTTPS на веб-серверах / Электронный ресурс Google для разработчиков (Google Developers). — 2025. — URL: https://google.com (дата обращения: 04.11.2026). — Текст : электронный.
|
