Vem kan utfärda en SSL?

SSL eller Secure Sockets Layer är ett protokoll (en uppsättning regler och riktlinjer) för överföring av information digitalt via Internet. SSL innebär att kryptera informationen så att någon som avlyssnar kommunikationen inte kan läsa den. SSL kan användas för säker kommunikation, t.ex. vid överföring av personliga eller finansiella data.

Public-Key Cryptography

SSL bygger på idén om public key-kryptering. Detta fungerar av webbplatser och webbplatsanvändare med en kombination av en offentlig nyckel och en privat nyckel. Trots namnet är den offentliga nyckeln mer som ett lås: det berättar för folk hur man krypterar information som de skickar till mottagaren. Systemet innebär att alla kan ta reda på hur man krypterar data för att skicka till mottagaren, men endast mottagaren (med den privata nyckeln) kan dekryptera den. En bra analogi är att föreställa sig en person som skickar ett hänglås till person B (och håller nyckeln) och sedan person B med hjälp av detta hänglås för att säkra ett paket innan det skickas tillbaka till personen En komplett med hänglåset. Paketet förblir säkert även om nyckeln aldrig lämnar person A.

Digital signatur

En digital signatur, som används i SSL, tar en nyckelkryptering ytterligare ett steg. Istället för att bara kryptera data, ser det till att det inte har manipulerats. I denna uppsättning skickar avsändaren ett meddelande med den privata nyckeln och publicerar sedan den offentliga nyckeln. Mottagaren kan kontrollera den privata nyckeln mot den offentliga nyckeln för att bekräfta att det verkligen var avsändaren som skickade meddelandet.

Nackdel

Ett problem med de digitala signaturerna är att det inte automatiskt garanteras att någon som publicerar en offentlig nyckel är äkta. I teorin kunde någon publicera en offentlig nyckel som faktiskt tillhör någon annan. Detta kan göra det möjligt för dem att lura människor att kommunicera med dem online, till exempel på en falsk webbplats. Användare kan luras på att besöka en säker webbplats som de tycker är en legitim källa som en bank. Även om användaren skulle kommunicera säkert skulle deras data gå till någon som de inte visste.

Lösning

SSL-certifikat utfärdas av en tredje part och bekräftar att den person som använder en digital signatur är den som de påstår sig vara. Dessa tredje parter är kända som certifieringsmyndigheter och kommer att verifiera en digital signatur, vanligtvis genom att skicka den listade administrativa kontakten till det relevanta webbplatsens domännamn. När du besöker en säker webbplats, kommer din webbläsare att kontrollera sitt SSL-certifikat för att se till att du verkligen kommunicerar med organisationen som hävdar att du kör webbplatsen.

emittenter

Certifieringsmyndigheterna är kommersiella företag som själva genomgår regelbundna säkerhetsrevisioner. Eftersom SSL-certifikat kontrolleras av webbläsare är det faktiskt de största webbläsarproducenterna som bestämmer vilka företag som kan fungera som SSL-certifieringsmyndigheter. Även om flera dussin bolag erkänns på detta sätt domineras marknaden av fyra huvudgrupper: Symantec (vars varumärken inkluderar Verigisn), Comodo, Go Daddy och Globalsign. Mellan dem emitterar dessa grupper cirka 90 procent av alla SSL-certifikat per maj 2013.