SSL-сертификат: назначение и принцип работы¶
SSL-сертификат — цифровой сертификат, выпускаемый удостоверяющим центром (УЦ) и подтверждающий подлинность публичного ключа веб-сервера, что обеспечивает защищённое соединение по протоколам SSL/TLS между клиентом и сервером. Сертификат связывает доменное имя (или IP-адрес) с данными владельца и криптографическим ключом, позволяя браузеру проверить, что сервер действительно принадлежит заявленному владельцу и что данные передаются по зашифрованному каналу.
¶Назначение
Основные задачи SSL-сертификата:
- Шифрование трафика. Данные, передаваемые между браузером и сервером (реквизиты карт, пароли, переписка), преобразуются в нечитаемый вид с помощью симметричного ключа, согласованного по каналу TLS.
- Аутентификация сервера. Сертификат подтверждает, что сервер принадлежит заявленному домену, что защищает пользователей от подмены сервера (man-in-the-middle).
- Целостность соединения. Механизмы TLS гарантируют, что переданные данные не были изменены по пути.
Без SSL-соединения браузеры, начиная с определённых версий Google Chrome и Mozilla Firefox, помечают сайты как «Небезопасные», что критично для интернет-магазинов, банков и любых ресурсов, работающих с персональными данными.
¶Как работает SSL/TLS
Протокол TLS (наследник SSL 3.0, откуда и привычное название «SSL») реализует механизм рукопожатия (handshake):
- Клиент отправляет список поддерживаемых шифров и случайное число.
- Сервер отвечает своим сертификатом, случайным числом и выбранным набором шифров.
- Клиент проверяет сертификат: подпись УЦ, срок действия, соответствие домену, отсутствие в списке отозванных.
- Стороны вычисляют общий симметричный ключ (обычно по алгоритму ECDHE) и переходят к зашифрованному обмену.
Современные версии протокола — TLS 1.2 и TLS 1.3; TLS 1.3 сокращает рукопожатие до одного раунда и убирает устаревшие шифры.
¶Типы сертификатов
| Тип | Что подтверждает | Пример использования |
|---|---|---|
| Domain Validation (DV) | Только контроль над доменом | Блоги, лендинги |
| Organization Validation (OV) | Домен и существование организации | Корпоративные сайты |
| Extended Validation (EV) | Строгая проверка юрлица | Банки, платёжные системы |
| Wildcard | Домен и все поддомены (*.example.ru) | Крупные порталы |
| SAN (Subject Alternative Name) | Несколько доменов в одном сертификате | Мультисервисные проекты |
| С самоподписанным ключом | Ничего не подтверждает | Внутренние системы |
DV-сертификаты выпускаются автоматически и часто бесплатно (например, через проект Let's Encrypt), OV и EV требуют ручной проверки документов.
¶Удостоверяющие центры и цепочка доверия
Корневые УЦ (DigiCert, Sectigo, GlobalSign, «КриптоПро» в России) входят в доверенные списки операционных систем и браузеров. Промежуточные УЦ выдают сертификаты конечным пользователям, формируя цепочку доверия. Проверка подлинности сертификата основана на асимметричной криптографии: клиент проверяет цифровую подпись УЦ, используя его открытый ключ, уже встроенный в систему.
В России действуют собственные УЦ, аккредитованные в соответствии с требованиями регулятора; сертификаты на основе отечественных криптопримитивов (ГОСТ) применяются в первую очередь для государственных и корпоративных информационных систем.
¶Срок действия и продление
С 2020 года максимальный срок выпуска сертификата, признаваемого современными браузерами, — 398 дней (ограничение CA/Browser Forum). Многие УЦ предлагают автоматическое продление через ACME-протокол, что упрощает обслуживание сайтов.
¶Что произойдёт без SSL
- Браузер покажет предупреждение «Соединение не защищено».
- Поисковые системы понижают сайт в выдаче (HTTPS — фактор ранжирования Google с 2014 года).
- Платёжные системы и эмитенты карт не допустят приём платежей на незащищённый домен.
¶История
Протокол SSL разработан компанией Netscape: SSL 2.0 вышел в 1995 году, SSL 3.0 — в 1996-м. После передачи разработки IETF протокол был переименован в TLS (RFC 2246, 1999). Устаревшие версии SSL 2.0 и 3.0 официально запрещены к использованию (RFC 7568, 2015).
¶Источники
- RFC 5246 — The Transport Layer Security (TLS) Protocol Version 1.2
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3
- CA/Browser Forum Baseline Requirements
- Документация Let's Encrypt
- Рекомендации ГОСТ Р 34.10-2012 по криптографической защите