Wat is SSL?
Het SSL-protocol (Secure Sockets Layer) creëert een versleutelde verbinding tussen een browser en een webserver, zodat alle gegevens die door beide worden uitgewisseld, vertrouwelijk blijven. Het SSL-protocol is de voorloper van het TLS-protocol (Transport Layer Security), maar SSL is nog steeds bekender en wordt vandaag de dag nog steeds gebruikt.
Wat betekent Secure Sockets Layer en waarom is het belangrijk?
Allereerst is het belangrijk om te begrijpen wat er gebeurde voordat het SSL-protocol in 1995 werd geïntroduceerd. Daarvoor was het zo, dat als de browser van een klant verbonden was met de server van een bedrijf, alle gegevens in platte tekst werden verzonden. Dit betekende dat als een kwaadwillend persoon de gegevens tijdens de overdracht kon onderscheppen, ze deze konden lezen – inclusief creditcardgegevens en andere gevoelige persoonlijke informatie. Een dergelijke hack stond bekend als een ‘man-in-the-middle’-aanval.
Om te proberen deze ‘man’ permanent te elimineren, creëerde browserontwikkelaar Netscape in de jaren 90 het internetbeveiligingsprotocol Secure Sockets Layer. Het bedrijf was vastbesloten om een protocol aan te maken dat de privacy en integriteit van gegevens zou garanderen en tevens een betrouwbaar authenticatieproces zou bieden voor zowel de browsergebruiker als de servereigenaar, d.w.z. de klant en het bedrijf.
Het is gelukt: het SSL-protocol wordt door bedrijven over de hele wereld gebruikt om interacties met hun klanten mogelijk te maken en te beveiligen. En de ‘tussenpersoon’? Als hij al data onderschept die wordt overgedragen, dan zorgt Secure Socket Layer ervoor dat hij alleen maar een hoop onzin ziet. Hij is buitenspel gezet.
Wat is het verschil tussen SSL en TLS?
Voor de meeste mensen niet veel. In 1999 werd Transport Layer Security (TLS) geïntroduceerd om SSL-encryptie te vervangen. Het heeft nieuwere beveiligingsfuncties: het pakt o.a. bekende SSL-kwetsbaarheden voor bepaalde aanvallen aan, het introduceert betere encryptiealgoritmen en nog veel meer. Hoewel elk apparaat nu TLS gebruikt – technisch gezien is SSL-encryptie niet meer beschikbaar – wordt de benaming SSL nog steeds gebruikt door het grootste deel van de IT-wereld en door certificeringsleveranciers. Dit komt omdat SSL in de volksmond synoniem is voor gegevensbeveiliging – en daarom gebruiken we SSL hier en op onze productpagina's, terwijl we het eigenlijk over TLS hebben.
Hoe weet u of een website met SSL-encryptie beveiligd is?
Er zijn twee belangrijke aanwijzingen voor wat een SSL is. De eerste is een hangslotpictogram in de adresbalk van de browser, meestal links van het webadres. Klik erop en u krijgt informatie te zien over de versie van het SSL-certificaat van de site met de optie om het Secure Sockets Layer-certificaat zelf te bekijken. Hierin staat de vervaldatum van het certificaat. Als het verlopen is, is het SSL-protocol niet actief. Gebruikers kunnen dan beter onmiddellijk vertrekken. De tweede: in plaats van 'http://' aan het begin van het webadres, ziet u 'https://'. De "s" geeft aan dat het SSL-protocol aanwezig is en dat de verbinding met SSL beveiligd is.
Hoe werkt het SSL-protocol?
Om authenticiteit te garanderen, creëert Secure Sockets Layer een ‘handshake’-proces tussen de browser en de server bij de start van een verbindingspoging. Dit is onderverdeeld in zes stappen:
1. Client hallo
De client – of klant – gebruikt zijn webbrowser om te proberen verbinding te leggen met de SSL-server van de bedrijfswebsite. Voordat er verbinding kan worden gemaakt, vraagt de browser eerst de identiteit van de server op. In feite zegt de client ‘hallo’.
2. Server hallo
Om zichzelf te identificeren bij de browser, verzendt de website de details van zijn SSL-certificaat plus de publieke sleutel van de server. Zo zegt de server "hallo".
3. Certificaatcontrole
De browser controleert dit certificaat automatisch aan de hand van een lijst met vertrouwde certificeringsinstanties van Secure Sockets Layer om zo het SSL-certificaat te verifiëren.
4. Sessiesleutel
Als de controle van het SSL-certificaat succesvol is, dan weet de browser dat de server nu te vertrouwen is. De browser maakt dan een symmetrische sessiesleutel middels de publieke sleutel van de server. Deze wordt naar de server verstuurd.
5. Sleuteldecryptie
De server van de website ontvangt de sessiesleutel en decodeert deze. Daarna wordt een bevestiging teruggestuurd, die ook is versleuteld met de sessiesleutel van de client.
6. Sessiestart
Nu de ‘digitale handshake’ is voltooid, kan de sessie officieel beginnen. Alle data die tussen de browser van de klant en de server van het bedrijf verzonden worden, zijn dankzij SSL versleuteld.
Waarom is een SSL Secure Sockets Layer belangrijk voor uw bedrijf?
Een woord – vertrouwen. Het laat klanten zien dat het bedrijf gegevensbeveiliging serieus neemt. Dit draagt op zijn beurt bij aan het vertrouwen van de klant en vergroot de kans dat deze een bestelling plaatst. Bekijk het zo: als een bedrijf geen certificaat heeft, vertelt dit de klant dat het bedrijf hun angsten en zorgen over online beveiliging niet belangrijk vindt. Dat ziet er voor geen enkele organisatie fraai uit.
SSL-beveiligingscertificering biedt het bedrijf ook zekerheid. Het SSL-protocol vermindert de kans op gegevenslekken aanzienlijk en beperkt ook de mogelijkheden voor onbevoegde gebruikers om met hackpogingen, zoals phishing-aanvallen, binnen te dringen.
Zoekmachines zoals Google vinden een secure socket layer ook belangrijk en geven mogelijk SSL-beveiligde organisaties een hogere ranking. En dan zijn er nog de commerciële en regelgevingsprotocollen. Als een bedrijf bijvoorbeeld creditcardbetalingen accepteert op zijn website, dan is SSL-certificering vereist om te voldoen aan de beveiligingsnormen binnen de sector (bekend als Payment Card Industry-compliance).
Bepaalde gebieden hebben ook regelgevingen die vereisen dat bedrijven goede maatregelen voor gegevensbeveiliging hebben geïmplementeerd. Het niet hebben van deze maatregelen stelt de onderneming aan mogelijke juridische stappen, waaronder boetes, bloot. Met andere woorden, SSL-beveiliging en het SSL-protocol zijn tegenwoordig essentieel in dit tijdperk van e-commerce. Als een organisatie niet SSL ondersteunt, dan zijn er veel financiële, veiligheids- en reputatierisico's.
Wat zijn de verschillende types SSL-certificaten?
Nu de vraag ‘wat betekent ssl?’ beantwoord is, is het tijd om dieper in te gaan op de beschikbare types. Er bestaan verschillende SSL-certificaten, afhankelijk van de aard en de behoeften van de onderneming. Voor elk Secure Sockets Layer-product moet het bedrijf een validatieproces doorlopen om te controleren of het eigenaar is van het domein. In sommige gevallen moet het volledige informatie over de organisatie verstrekken. Certificeringstypen zijn onder andere:
Extended Validation SSL certificate
Deze versie van Secure Sockets Layer is essentieel voor elk bedrijf dat wil benadrukken dat zijn website legitiem is om zo het vertrouwen van bezoekers te vergroten. Om het te verkrijgen, moet de organisatie een validatieproces doorlopen en aantonen dat ze eigenaar zijn van het domein dat ze willen certificeren. Dit SSL-beveiligingscertificaat is cruciaal voor elk bedrijf dat financiële processen op zijn website wil uitvoeren of zeer gevoelige gegevens wil verzamelen.
Organisation Validated SSL certificate
Deze vorm van Secure Sockets Layer is niet geschikt voor financiële transacties, maar wordt in plaats daarvan gebruikt om gegevens over gebruikersactiviteiten te versleutelen, die tussen de server en de webbrowser worden verzonden.
Domain Validation SSL certificate
Deze versie van het Secure Socket Layer-certificaat biedt alleen versleuteling op laag niveau. Omdat u niet weet wie of wat uw versleutelde gegevens ontvangt, is het een basisproduct dat alleen geschikt is voor blogs en persoonlijke websites. Degenen die een uitstekend niveau SSL-encryptie vereisen, moeten elders zoeken.
Wildcard Validation SSL certificate
Met deze Secure Sockets Layer kan een onderneming voor al zijn subdomeinen hetzelfde SSL-protocolcertificaat gebruiken dat voor het domein is gekocht. Dit is voordeliger dan het kopen van een certificaat voor elk subdomein.
Unified Communications SSL certificate
Deze versie van Secure Sockets Layer biedt SSL-certificering voor meerdere domeinen die eigendom zijn van een organisatie. Één certificaat kan tot 100 domeinen afdekken.
Hoe krijg ik een SSL-certificaat?
Om met succes een SSL-certificaat voor een organisatie te verkrijgen, gebruikt u het volgende proces:
- Kies de versie van het SSL-certificaat dat u nodig heeft. Zoals hierboven beschreven, voldoen de verschillende certificaten aan specifieke behoeften. Het is essentieel om te begrijpen wat SSL-encryptie is en om de definitie van SSL te kennen, voordat u een keuze maakt.
- Zorg voor een gekoppelde privé en publieke sleutel. Deze kunnen op uw server worden gegenereerd. De sleutels zijn vereist als onderdeel van een certificaatondertekeningsverzoek (“certificate signing request” of CSR). Dit wordt gebruikt om het certificeringsproces voor de secure sockets layer te starten. Het CSR bevat meestal de naam van het bedrijf, de locatie, het type en de grootte, en de domeinnaam.
- Verzend de CSR naar een certificeringsinstantie (“certificate authority” of CA) en zorg ervoor dat u een instantie kiest die goed bekendstaat. Volg na aankoop de instructies van de certificeringsinstantie om het nieuwe Secure Sockets Layer-certificaat op de server te installeren. Dit omvat het uploaden en testen van het certificaat. Als dit klaar is, kunt u starten.
- Onthoud dat alle SSL-protocolcertificaten een vervaldatum hebben, ongeacht de versie. Zorg er dus voor dat u weet wanneer uw certificaat stopt. Als u dit niet doet, kunnen klanten beveiligingswaarschuwingen ontvangen in hun webbrowsers. Deze melden dat de site niet met SSL is beveiligd en dit kan het vertrouwen schaden.
OVHcloud en SSL
Beveiliging in de cloud is essentieel. Daarom bieden we voor al uw SSL-protocolvereisten eenvoudige beschikbaarheid en simpelere validatieprocessen . We kunnen ook advies geven over welk SSL-aanbod het beste past bij uw specifieke behoeften. OVHcloud biedt haar klanten andere essentiële beveiligingsfuncties, zodat u voor elk deel van uw organisatie kunt profiteren van de nieuwste cyberbeschermingsprocessen.
