SSL certifikati – spletni varnostni certifikati

Kaj je SSL certifikat?

Secure Sockets Layer (kratica SSL) je kriptografski protokol, ki omogoča varno komunikacijo na medmrežju, pa naj bo to za brskanje po internetu ali za izmenjavo elektronske pošte. Protokol SSL se najpogostejše uporablja pri spletnih straneh, kjer imamo opraviti z bančnimi transakcijami, kot so spletne banke, spletne trgovine, loterije itd. Vedno pogosteje pa se SSL certifikati uporabljajo tudi na drugih spletnih straneh, predvsem zaradi varne izmenjave podatkov med obiskovalcem in spletno stranjo.

Privzeto vsa izmenjava podatkov med obiskovalcem spletne strani in spletno stranjo poteka preko nešifrirane povezave (http). Če pa spletna stran uporablja SSL certifikat, potem izmenjava med obiskovalcem in spletno stranjo poteka prek šifrirane povezave (https). Tako lahko vsak obiskovalec že na hitro ve, ali spletna stran, ki jo je obiskal, uporablja šifrirano povezavo ali ne na podlagi tega, ali je spletna stran izpisana kot http://www.domena-nekaj.si ali https://www.domena-nekaj.si.

Zakaj je SSL certifikat pomemben?

Pri obisku spletnih strani vedno pride do izmenjave podatkov med obiskovalcem in spletno stranjo, saj moramo na različnih spletnih straneh pogosto za dostopanje do določenih podatkov vnesti gesla, osebne podatke, podatke o kreditnih karticah ipd. Vseeno pa verjetno nočemo, da bi nepridipravi izkoristili varnostno luknjo oziroma spremljali, kaj počnemo po spletu.

Obiskovalci spletnih strani so zadnje čase tudi vse bolj izobraženi in pozorni na varnostne ključavnice HTTPS povezave, kar se najbolj vidno izraža z obiskom določene spletne strani ali izvedbo nakupa preko neke spletne trgovine.

Je namestitev SSL certifikata obvezna?

Google je že leta 2014 sprejel odločitev, da nešifrirane povezave niso varne in da bi morali biti vsi prenosi podatkov po internetu šifrirani.

Tako je v začetku leta 2017 Google, ki je tudi lastnik brskalnika Chrome, spletne strani, ki ne uporabljajo SSL certifikata v brskalniku označil kot manj varne. To pa so kmalu začeli posnemati tudi ostali brskalniki, kot na primer Edge, Firefox, Safari itd.

Več si lahko preberete tudi na: SSL certifikat za spletno stran je postal obvezen.

Če pa imate spletno trgovino oziroma opravljate katero koli drugo dejavnost, za katero izvajate plačilo z kreditnimi karticami, potem je SSL certifikat obvezen. Banka vam ne bo prej dovolila kartičnega poslovanja, dokler nimate nameščenega SSL certifikata v vašo spletno trgovino.

SSL certifikat – več kot le varnost

SSL certifikati pa ne vplivajo le na varnost podatkov, temveč tudi na pozicije iskalnih poizvedb v spletnem iskalniku Google. Spletne strani z nameščenim SSL certifikatom dosegajo boljše uvrstitve v iskalnikih, saj Google pri svoji formuli za pozicioniranje strani upošteva tudi to, ali ima spletna stran nameščen SSL certifikat ali ne.

Kateri SSL certifikati obstajajo?

1. Samopodpisani certifikat

Gre za certifikat, ki se izda brez preverjanj in si ga lahko vsakdo s tehničnim znanjem izda za svojo lastno uporabo, posledično taki certifikati niso zaupanja vredni.

2. SSL certifikat za domensko verifikacijo

DV SSL certifikati so primerni tako za fizične kot za pravne osebe. Predvsem se uporabljajo za manjše spletne strani. Sami certifikati se izdajo po preverjanju lastništva domene. Certifikate za domensko verifikacijo je možno namestiti le na eno domeno oziroma na eno poddomeno.

3. SSL certifikat za poslovno verifikacijo

OV SSL certifikat je namenjen predvsem pravnim osebam, ki si z dvigom varnosti želijo zgraditi zaupanje obiskovalcev in večjo kredibilnost. Podjetje mora namreč pred pridobitvijo certifikata predložiti ustrezno dokumentacijo o podjetju.

Entrust – standardni certifikat

4. SSL certifikat z razširjeno verifikacijo

EV SSL certifikat je certifikat s preverjanjem organizacije v skladu najvišjimi standardi. Ti certifikati so primerni predvsem za spletne strani, preko katerih se opravljajo bančne transakcije. Z vrsto preverjanj in potrjevanj preprečujejo prevare in hkrati gradijo kredibilnost. Posebnost te vrste certifikata je zeleni HTTPS okvirček v naslovu spletne povezave, kakršnega lahko na primer vidite na spletni strani podjetja PayPal (oglejte si sliko na desni).

Entrust – napredni (Advantage) certifikat

Preverjanje lastništva Overovljanje organizacije Standardno preverjanje Stopnja zaupanja
Samopodpisani certifikati  NE   NE   NE nizka  več…
DV SSL certifikati  DA   NE  NE  običajna  več…
OV SSL certifikati  DA  DA   NE visoka  več…
EV SSL certifikati   DA  DA  DA  zelo visoka   več…

5. Wildcard certifikati

Za razliko od SSL certifikatov za domensko verifikacijo, ki omogočajo namestitev na le eno domeno ali poddomeno, Wildcard certifikati poskrbijo za šifriranje podatkov na vseh poddomenah glavne domene. Ravno zaradi omenjene prednosti njihova uporaba narašča.

Entrust – Wildcard

6. Večdomenski UCC/SAN certifikati

Tudi pri tej vrsti certifikatov lahko namen uporabe izluščite iz njihovega imena. Namenjeni so SSL šifriranju podatkov na več domenah in poddomenah.

Entrust – Večdomenski certifikat za poenotene komunikacije

Prednosti Entrust certifikatov

  • Podjetje Entrust Datacard je izdalo že več kot 10 milijonov certifikatov in opravi milijardo varnostnih transakcij letno.
  • Podjetje Entrust ima zelo veliko bazo strank, ki je spoštovanja vredna, saj mu zaupajo tako vladne ustanove, velika podjetja in finančne ustanove; njihova baza strank obsega več kot 5000 podjetij v več kot 150 državah po svetu.
  • Podjetje Entrust izdaja le SSL certifikate, za katere lahko preveri samo podjetje. Tako Entrust izdaja le certifikate za domensko verifikacijo – DV SSL certifikate in certifikate za poslovno verifikacijo – OV SSL certifikate. Podjetje Entrust ne izdaja SSL certifikatov za domensko verifikacijo – DV SSL certifikatov, saj ne vsebujejo popolne informacije o lastniku potrdila. In prav zato so ti DV SSL certifikati manj varni in se jih pogosto uporablja za phising strani. Prav to, da podjetje Entrust uporablja preverjanje na visoki ravni, je naredilo prepoznavnost podjetja Entrust kot zaupanja vrednega izdajatelja SSL certifikatov.
  • Entrust je bil prvi izdajatelj (CA) na svetu, ki je od AICPA in CICA pridobil naziv “WebTrust for CAs Seal of Assurance”.

Več kot 750.000 Lenovo prenosnikov okuženih z vohunsko programsko opremo


GUTE-URLS

Wordpress is loading infos from latesthackingnews

Please wait for API server guteurls.de to collect data from
latesthackingnews.com/2017/09/06/750...

Raziskovalci v Palo Alto so ugotovili, da je na več kot 750.000 Lenovo prenosnikih, ki so bili prodani med avgustom 2014 in junijem 2015, prednameščena vohunska programska oprema, ki se skriva v programčku Visual Discovery. Gre za “man-in-the-middle” vohunsko programsko opremo, ki spremlja, kaj uporabnik brska po internetu.

Na Facebooku ne nasedajte sporočilom glede Fabrizia Brambilla

Precej uporabnikov Facebooka je preko FB Messengerja danes prejelo tole sporočilo:

“Prosim povej vsem tvojim kontaktom v messengerju naj ne sprejemajo ničesar od osebe imenovane Fabrizio Brambilla, Ima sliko s psom, je heker in ima sistem povezan z mesengerjem, Če ga sprejme kateri izmed tvojih kontaktov, boš tudi ti shekan, zato se prepričaj, da to vedo vsi tvoji prijatelji, Hvala. Posredovano kot prejeto, Drži prst na sporočilu, na dnu na sredini bo pisalo posreduj (forward), Pritisni to in nato klikni na imena tvojih stikov in jim bo poslano.”

Ne nasedajte tem sporočilom, saj gre za verižno sporočilo in nič od tega, kar piše, ni res. Fabrizio ne predstavlja nobene grožnje za uporabnike Facebooka in gre za popolno izmišljotino. Zato ne pošiljajte tega sporočila naprej, ker nič, kar piše, ni res.

Gemalto izgubil zasebne ključe

Po dveh letih se je pri Gemalto spet zgodil varnostni škandal. Češki varnostni raziskovalci so namreč uspeli ugotoviti, da so bili zasebni ključi na njihovih pametnih karticah, izdanih po letu 2014, zgenerirani iz naključno izbranega števila, ki pa ni tako zelo naključno, kot bi moralo biti. Kar pomeni, da je s pomočjo javnega ključa zelo hitro izračunati zasebni ključ, kar pa pomeni, da je možno enostavno ponarediti pametno kartico, kot so na primer osebne izkaznice ali potni listi. Kar pa pomeni, da je enostavno prevzeti e-identiteto. Gemalto potne liste med drugim uporabljajo v naslednjih državah: Alžirija, Nizozemska, Finska, Francija, Hong Kong, Italija, Koreja, Maroko, Peru, Portugalska, Norveška, Singapur, Švedska in ZDA.

Lahko se okužite preko LinkedIn Messenger

Raziskovalci Chekpoint so odkrili, da se lahko okužite tudi preko LinkedIn Messengerja. LinkedIn sicer preverja datoteke, ki jih uporabniki pripnejo in pošljejo preko messengerja, toda napadalci znajo tudi zaobiti varnostno preverjanje datotek, ki se pošiljajo preko LinkedIn Messenger. Napadalci to naredijo tako, da skreirajo Power Shell script, ki ga nato shranijo kot .pdf datoteko in jo naložijo na LinkedIn. Naslednja možnost, ki jo imajo hekerji, je, da kreirajo Windows registry datoteko, ki vsebuje PowerShell script, in vse skupaj sranijo kot .pdf datoteko. Tretja možnost je kreiranje XLSM datoteke, ki ima vključen Macro, kar nato shranijo kot XLSX datoteko. In zadnja možnost je, da kreirajo DOCX datoteko z zunanjim objektom.

Poslanih je bilo kar 23 milijonov elektronskih sporočil, okuženih z Locky ransomware, v 24 urah

Locky ransomware se vrača nazaj; v prejšnjem tednu je bilo uporabnikom kot nezaželena pošta poslanih kar 24 milijonov elektronskih sporočil, ki so bila okužena z izsiljevalsko kodo Locky ransomware. Ta napad je zaenkrat eden od največjih napadov v drugi polovici leta 2017. Elektronska pošta, ki so jo dobili uporabniki, je vsebovala ZIP datoteko, v kateri je bila Visual Basic Script (VBS) datoteka. Ko je uporabnik kliknil na datoteko, je VNS skripta z interneta potegnila zadnjo verzijo Locky ransomware. Nato je Locky zakodiral datoteke na uporabnikovem računalniku s končnico [.]lukitus. Od okuženega uporabnika Locky zahteva plačilo 0,5 Bitcoins, kar je trenutno približno 1.900 €.

Pametna naprava je pwned na vsaki 2 minuti

IoT naprava, ki je povezana v internet, je napadena kar vsako drugo minuto, kar je precej zaskrbljujoč podatek. Raziskovalec Johannes Ullrich, ki je izpostavil svoj digitalni snemalnik na internet, je prišel do podatkov, nad katerimi bi se bilo treba zamisliti. Med testiranjem, ki je trajalo 45 ur, so IoT napravo hekerji z uporabo pravilnega uporabniškega imena in gesla napadli kar 1250-krat.

Zanimiv članek o tem testu si lahko preberete na spodnji povezavi.