Перегляд вихідного коду сторінки SSL

{{IPstack}}
{{Інші значення}}
'''SSL''' ({{lang-en | Secure Sockets Layer}}&nbsp;— рівень захищених сокетів)&nbsp;— [[криптографічний протокол]], який забезпечує встановлення безпечного з'єднання між клієнтом і сервером. SSL спочатку розроблений компанією ''[[Netscape Communications]] ''. Згодом на підставі протоколу SSL 3.0 був розроблений і прийнятий  [[RFC #Вміст RFC|стандарт RFC]], що отримав ім'я [[Transport Layer Security|TLS]].

Протокол забезпечує конфіденційність обміну даними між клієнтом і сервером, що використовують TCP/IP, причому для шифрування використовується асиметричний алгоритм з  [[Криптографія з відкритим ключем|відкритим ключем]]. При шифруванні з відкритим ключем використовується два ключі, причому будь-який з них може використовуватися для шифрування повідомлення. Тим самим, якщо використовується один ключ для шифрування, то відповідно для розшифрування потрібно використовувати інший ключ. У такій ситуації можна отримувати захищені повідомлення, публікуючи відкритий ключ, і зберігаючи в таємниці секретний ключ.

== Опис ==
Протокол SSL складається з двох підпротоколів: протокол SSL запису і рукостискання. Протокол SSL запису визначає формат, який використовується для передачі даних. Протокол SSL включає рукостискання з використанням протоколу SSL запису для обміну серіями повідомлень між сервером і клієнтом, під час встановлення першого з'єднання. Для роботи SSL потрібно, щоб на сервері був SSL-[[Сертифікат (криптографія)|сертифікат]].

SSL надає канал, що має три основні властивості:

* Автентифікація. Сервер завжди автентифікований, в той час як клієнт автентифікований в залежності від алгоритму.
* Цілісність. Обмін повідомленнями містить у собі перевірку цілісності.
* Конфіденційність каналу. Шифрування використовується після встановлення з'єднання і використовується для всіх наступних повідомлень.

У протоколі SSL всі дані передаються у вигляді записів-об'єктів, що складаються із заголовка і переданих даних. Передача починається із заголовка. Заголовок містить або два, або три байти коду довжини. Причому, якщо старший біт в першому байті коду дорівнює одиниці, то запис не має заповнювача і повна довжина заголовка дорівнює двом байтам, інакше запис містить заповнювач і повна довжина заголовка дорівнює трьом байтам.
Код довжини запису не містить у собі число байт заголовка.
Довжина запису 2-х байтового заголовка:

''RecLength = (byte [0] & 0x7F <<8) | byte [1];''

Тут byte [0] і byte [1] перший і другий отримані байти.

Довжина запису 3-х байтового заголовка:

''RecLength = (byte [0] & 0x3F <<8) | byte [1];''

''Escape = (byte [0] & 0x40)! = 0;''

''Padding = byte [2];''

Тут Padding визначає число байтів доданих відправником до початкового тексту, для того щоб зробити довжину запису кратною розміру блока шифру, при використанні блокового шифру. <br />
Тепер відправник «заповненого» запису додає заповнювач до наявних даних, і шифрує все це. Причому вміст заповнювача ніякої ролі не має. Через те, що обсяг переданих даних відомий, то заголовок може бути сформований з урахуванням Padding. <br />
У свою чергу одержувач запису дешифрує все поле даних і отримує повну вихідну інформацію. Потім обчислюється значення RecLength за відомим Padding, і заповнювач з поля даних видаляється.
Дані запису SSL складаються з трьох компонент:

* MAC_Data [Mac_Size]&nbsp;— (Message Authentication Code)&nbsp;— код аутентифікації повідомлення
* Padding_Data [Padding]&nbsp;— дані заповнювача
* Actual_Data [N]&nbsp;— реальні дані

Коли записи надсилаються відкритим текстом, очевидно, що ніякі шифри не використовуються. Тоді довжина Padding_Data і MAC_Data дорівнюють нулю. При використанні шифрування, Padding_Data залежить від розміру блоку шифру, а MAC_Data залежить від вибору шифру. Приклад обчислення MAC_Data:

''MacData = Hash (Secret, Actual_Data, Padding_Data, Sequence_Number);''

Значення Secret залежить від того, хто (клієнт або сервер) посилає повідомлення. Sequence_Number&nbsp;— лічильник, який інкрементується як сервером, так і клієнтом. Тут Sequence_Number є 32-х бітовий код, який передається хеш-функції у вигляді 4-х байт, причому першим передається старший байт. Для MD2, MD5 MAC_Size дорівнює 16 байтам (128 бітам).
Для 2-х байтового заголовка максимальна довжина запису дорівнює 32767 байтам, а для 3-х байтового заголовка 16383 байти.

== Історія та розвиток ==
Протокол SSL був спочатку розроблений компанією Netscape. Версія протоколу 1.0 публічно не випускалася. Версія 2.0 була випущена в лютому 1995 року, але «містила багато недоліків з безпеки, які, в кінцевому рахунку, привели до створення версії 3.0», яка була випущена в 1996 році. Тим самим версія SSL 3.0 послужила основою для створення протоколу [[Transport Layer Security|TLS]] 1.0, стандарт протоколу Internet Engineering Task Force ([[IETF]]) вперше був визначений в [[RFC]] 2246 в січні 1999 року. Visa, Master Card, American Express і багато інших організацій, що працюють з інтернет грошима, мають ліцензію на використання протоколу SSL, для комерційних цілей в мережі Інтернет.

SSL працює модульним способом. Тим самим SSL розширюваність згідно з проектом про підтримку передньої і зворотної сумісності та переговорів між сполуками в однорангової мережі.

== Застосування ==
Значне використання протоколу SSL призвело до формування протоколу [[HTTPS]] (Hypertext Transfer Protocol Secure), що підтримує шифрування. Дані, які передаються по протоколу [[HTTPS]], «упаковуються» в криптографічний протокол SSL або [[Transport Layer Security|TLS]], тим самим забезпечуючи захист цих даних. Такий спосіб захисту широко використовується у світі Веб для додатків, в яких важлива безпека з'єднання, наприклад у платіжних системах. [[HTTPS]] підтримується всіма браузерами. На відміну від [[HTTP]], для [[HTTPS]] за замовчуванням використовується [[TCP]]-порт 443.

Спочатку віртуальні приватні мережі ([[VPN]]) на основі SSL розроблялися як додаткова і альтернативна технологія віддаленого доступу на основі [[IPsec]] VPN. Однак, такі фактори як достатня надійність і дешевизна зробили цю технологію привабливою для організації VPN.
Також SSL отримав широке застосування в електронній пошті.
== Основні цілі протоколу в порядку пріоритетності ==
# Криптографічна безпека: SSL встановлює безпечне з'єднання між двома сторонами.
# Відкритість: Програмісти, незалежно один від одного, можуть створювати додатки, що використовують SSL, які згодом будуть здатні успішно обмінюватися криптографічними параметрами без всякого знання коду чужих програм.
# Розширюваність: SSL прагне забезпечити робочий простір, в якому нові відкриті ключі і трудомісткі методи шифрування можуть бути додані при необхідності.
# Відносна ефективність: робота протоколу на основі SSL вимагає великих швидкостей від CPU, зокрема для роботи з відкритими ключами. Тому до SSL протоколу була включена необов'язкова схема кешування сесій для зменшення кількості з’єднань, які необхідно встановлювати з нуля. Крім того, велика увага приділяється тому, щоб зменшити мережеву активність.

== Типи SSL-сертифікатів ==
SSL-cертифікати розрізняють за центром сертифікації, типом захисту та рівнем перевірки.

За типом захисту SSL-сертифікати поділяють на:

# Сертифікати із захистом доменів (звичайні сертифікати). Використовуються для шифрування інформації '''одного домену''' без піддоменів. 
# Сертифікати із захистом піддоменів (Wildcard-сертифікати). Використовуються для шифрування інформації '''всіх піддоменів одного домену'''. 
# Сертифікати із захистом кількох доменів (SAN-сертифікати). Використовуються для шифрування інформації '''одразу кількох доменів''' без піддоменів. 
# Сертифікати програмного коду (Code Signing). Використовуються для '''підпису програмного забезпечення'''. 
# Сертифікати з підтримкою IDN. Використовуються для шифрування інформації '''кириличних або інших доменів''', які містять літери нелатинських алфавітів.
# Сертифікати із захистом електронної пошти та документів. Використовуються для '''автентифікації відправника''' та запобігають змінам у документах з боку правопорушників (спам, фішинг, підроблені рахунки).

SSL-сертифікати за рівнем перевірки власника поділяються на:

# '''DV-сертифікати''' (domain validation) – перевірка за доменом. Підтверджують факт володіння доменом. Використовуються для блогів, лендінгів, сайтів-візиток та портфоліо. 
# '''OV-сертифікати''' (organization validation) – перевірка організації. Підтверджують власника домену та компанію, яка за ним стоїть. Перевірка організації зазвичай використовується для бізнес-сайтів, які приймають платежі.
# '''EV-сертифікати''' (extended validation) – розширена перевірка організації. Крім перевірки домену та організації, перевіряється, чи має компанія право на володіння своєю назвою. Використовуються для фінансових, урядових, банківських, страхових та ecommerce-сайтів<ref>{{Cite web|url=https://hostpro.ua/blog/ua/ssl-certificates-types/|title=Які бувають SSL-сертифікати? Переваги й недоліки кожного типу • Блог Hostpro|last=Honcharenko|first=Diana|date=2024-04-17|website=Блог Hostpro|language=uk-UA|access-date=2024-04-17}}</ref>.

SSL-сертифікати різних типів захисту та рівнів перевірки можна отримати в центрах сертифікації, зокрема Certum, Comodo (після ребрендингу Sectigo), RapidSSL, GeoTrust і Thawte. 

== Автентифікація і обмін ключами ==
SSL підтримує 3 типи аутентифікації:
* Автентифікація обох сторін (клієнт&nbsp;— сервер),
* Автентифікація сервера з нерозпізнаних клієнтом
* Повна анонімність.
Кожного разу, коли сервер автентифіковані, канал безпечний проти спроби перехоплення даних між вебсервером і браузером, але повністю анонімна сесія за своєю суттю вразлива до такої атаки. Анонімний сервер не може автентифікувати клієнта. Якщо сервер аутентифікований, то його повідомлення сертифікації має забезпечити вірний сертифікаційний ланцюжок, що веде до прийнятного центру сертифікації. Простіше кажучи, аутентифікований клієнт повинен надати допустимий сертифікат сервера. Кожна сторона відповідає за перевірку того, що сертифікат іншого боку ще не закінчився і не був скасований.

Головна мета процесу [[обмін ключами|обміну ключами]]&nbsp;— це створення секрету клієнта (pre_master_secret), відомого тільки клієнту і серверу. Секрет (pre_master_secret) використовується для створення спільної таємниці (master_secret). Загальний секрет необхідний для того щоб створити повідомлення для перевірки сертифіката, ключів шифрування, секрету  [[MAC підпис|MAC]] (message authentication code) і повідомлення «finished». При посилці вірного повідомлення «finished», тим самим сторони доведуть що вони знають вірний секрет (pre_master_secret).

=== Анонімний обмін ключами ===
Повністю анонімна сесія може бути встановлена при використанні алгоритму RSA або Діффі-Хеллмана для створення ключів обміну. У разі використання RSA клієнт шифрує секрет (pre_master_secret) за допомогою відкритого ключа несертифікованого сервера. Відкритий ключ клієнт дізнається з повідомлення обміну ключами від сервера. Результат надсилається в повідомленні обміну ключами від клієнта. Оскільки перехоплювач не знає закритого ключа сервера, то йому буде неможливо розшифрувати секрет (pre_master_secret). При використанні алгоритму Діффі-Хеллмана відкриті параметри сервера містяться в повідомленні обміну ключами від сервера, і клієнтові посилають в повідомленні обміну ключами. Перехоплювач, який не знає приватних значень, не зможе знайти секрет (pre_master_secret).

=== Обмін ключами при використанні RSA і автентифікація ===
У цьому випадку обмін ключами та автентифікація сервера може бути скомбінована. Відкритий ключ також може міститися в сертифікаті сервера або може бути використаний тимчасовий ключ [[RSA]], який посилається в повідомленні обміну ключами від сервера. Коли використовується тимчасовий ключ RSA, повідомлення обміну підписуються server's RSA або сертифікат DSS. Сигнатура включає поточне значення повідомлення Client_Hello.random, таким чином старі сигнатури і старі тимчасові ключі не можуть повторюватися. Сервер може використовувати тимчасовий ключ RSA тільки одного разу для створення сесії. Після перевірки сертифіката сервера клієнт шифрує секрет (pre_master_secret) за допомогою відкритого ключа сервера. Після успішного декодування секрету (pre_master_secret) створюється повідомлення «finished», тим самим сервер демонструє, що він знає приватний ключ відповідний сертифікату сервера.

Коли RSA використовується для обміну ключами, для аутентифікації клієнта використовується повідомлення перевірки сертифіката клієнта. Клієнт підписується значенням, обчисленим з master_secret і всіх попередніх повідомлень протоколу рукостискання. Ці повідомлення рукостискання включають сертифікат сервера, який ставить у відповідність сигнатурі сервера, повідомлення Server_Hello.random, якому ставить у відповідність сигнатуру поточному повідомленням рукостискання.

=== Обмін ключами при використанні протоколу Діффі-Геллмана і автентифікація ===
{{Main|Протокол Діффі-Геллмана}}

У цьому випадку сервер може також підтримувати алгоритм Діффі-Хеллмана або може використовувати повідомлення обміну ключами від сервера для посилки набору часових параметрів, підписаних сертифікатами DSS або RSA. Тимчасові параметри хешують з повідомленням hello.random перед підписанням, для того щоб зловмисник не зміг вчинити повтор старих параметрів. У будь-якому випадку клієнт може перевірити сертифікат або сигнатуру, для впевненості, що параметри належать серверу.

Якщо клієнт має сертифікат, що містить параметри [[Протокол Діффі-Геллмана|протоколу Діффі-Геллмана]], то сертифікат також має інформацію необхідну для того, щоб завершити обмін ключами. Зауважимо, що в цьому випадку клієнт і сервер повинні будуть згенерувати ті ж результати алгоритму Діффі-Геллмана (pre_master_secret) щоразу, коли вони встановлюють з'єднання. Для запобігання перебування секрету (pre_master_secret) у пам'яті комп'ютера на час, довший за необхідний, секрет має бути переведений в загальний секрет (master_secret) настільки швидко, наскільки це можливо. Для роботи обміну ключами параметри клієнта повинні бути сумісні з тими, які підтримує сервер.

== Протокол запису (Record Layer) ==
Протокол запису&nbsp;— це рівневий протокол. На кожному рівні повідомлення включають поля для довжини, опису і перевірки. Протокол запису приймає повідомлення, які потрібно передати, фрагментує дані в керовані блоки, розумно стискає дані, застосовуючи MAC (message authentication code), шифрує і передає результат. Отримані дані він розшифровує, перевіряє, розпаковує, збирає і доставляє верхнім рівням клієнта.

Існує чотири протоколи запису: протокол рукостискання (Handshake Protocol), протокол тривоги (Alert Protocol), протокол зміни шифру (The Change Cipher Spec Protocol), протокол даних додатку (Application Data Protocol). Якщо SSL реалізація отримує тип запису, який їй невідомий, то цей запис просто ігнорується.

=== Протокол рукостискання (Handshake Protocol) ===
SSL клієнт і сервер домовляються про встановлення зв'язку за допомогою процедури рукостискання. Під час рукостискання клієнт і сервер домовляються про різні параметри, які будуть використані, щоб забезпечити безпеку з'єднання.

* Рукостискання починається тоді, коли клієнт підключається до SSL сервера. Запит безпечного з'єднання являє собою список підтримуваних шифрів та хеш-функцій.

* З цього списку сервер вибирає найсильніший шифр та хеш-функцію, яку він також підтримує, і повідомляє клієнтів про прийняте рішення.

* Сервер відсилає це рішення у вигляді цифрового сертифікату. Сертифікат, звичайно, містить ім'я сервера, довірений Центр Сертифікації, і відкритий ключ шифрування сервера. Клієнт може зв'язатися з сервером, який видав сертифікат і переконатися, що сертифікат є справжнім, перш ніж продовжити.

* Для того, щоб згенерувати ключі сеансу, використовується безпечне з'єднання. Клієнт шифрує випадкове число за допомогою відкритого ключа (ВК) сервера і відправляє результат на сервер. Тільки сервер в змозі розшифрувати його (з його закритим ключем (ЗК)), і тільки цей факт робить ключі прихованими від третьої сторони, так як тільки сервер і клієнт мали доступ до цих даних. Клієнт знає відкритий ключ і випадкове число, а сервер знає закритий ключ і (після розшифровки повідомлення клієнта) випадкове число. Третя сторона, можливо, знає тільки відкритий ключ, якщо закритий ключ не був зламаний.

* З випадкового числа обидві сторони створюють ключові дані для шифрування та розшифрування.

На цьому рукостискання завершується, і починається захищене з'єднання, яке зашифровується і розшифровується за допомогою ключових даних. Якщо будь-що з перерахованих вище дій не вдається, то рукостискання SSL не вдалося, і з'єднання не створюється.

=== Протокол зміни параметрів шифрування (The Change Cipher Spec Protocol) ===
Він існує для сигналізації переходу в режим шифрування. Протокол містить єдине повідомлення, яке зашифроване і стиснуте при поточному встановленому з'єднанні. Повідомлення складається тільки з одного біта зі значенням 1.

struct {
enum {change_cipher_spec (1), (255)} type;
} ChangeCipherSpec;

Повідомлення зміни шифру посилається і клієнтом і сервером для сповіщення приймаючої сторони, що наступні записи будуть захищені відповідно до нових домовленостей про CipherSpec і ключі. Прийняття цього повідомлення змушує одержувача віддати наказ рівня запису негайно копіювати стан відкладеного читання у стан поточного читання. Відразу після послання цього повідомлення, той хто послав повинен віддати наказ рівня запису перевести режим відкладеної запису в режим поточного запису. Повідомлення зміни шифру надсилається під час рукостискання, після того як параметри захисту були передані, але перед тим як буде надіслано повідомлення 'finished'.

=== Протокол тривоги (Alert Protocol) ===
Один з типів перевірки, які підтримуються в протоколі SSL запису,&nbsp;— це протокол тривоги. Повідомлення тривоги передає труднощі, які виникли у повідомленні, та опис тривоги. Повідомлення тривоги з критичним рівнем негайно перериває з'єднання. У цьому випадку інші з'єднання, відповідної сесії, можуть бути продовжені, але ідентифікатор сесії повинен бути визнаний недійсним. Як і інші повідомлення, повідомлення тривоги зашифровано і стиснуто, як тільки вказано поточний стан з'єднання.

=== Протокол даних додатку (Application Data Protocol) ===
Повідомлення з даними додатка опрацьовуються на рівні запису. Вони фрагментуються, стискаються і шифруються на основі поточного стану з'єднання. Повідомлення вважаються прозорими для рівня запису.

== Помилки в протоколі SSL ==
У протоколі SSL обробка помилок дуже проста. Коли помилка виявлена, той, хто її виявив, посилає про це повідомлення своєму партнерові. Непереборні помилки вимагають від сервера і клієнта розриву з'єднання. Протокол SSL визначає наступні помилки:

# '''Unsupported_Certificate_Type_Error''': така помилка виникає, коли клієнт / сервер отримує тип сертифіката, який не підтримується. Помилка переборна (тільки для аутентифікації клієнта).
# '''No_Cipher_Error''': помилка виникає, коли сервер не може знайти розмір ключа або шифр, який підтримується також і клієнтом. Помилка непереборна.
# '''Bad_Certificate_Error''': така помилка виникає, коли сертифікат вважається приймаючою стороною поганим. Це означає, що або некоректний підпис сертифіката, або він має некоректне значення. Помилка переборна (тільки для аутентифікації клієнта).
# '''No_Certificate_Error''': якщо надіслано повідомлення Request_Certificate, то ця помилка може бути надіслана через те, що клієнт не має сертифіката. Помилка переборна.

== Атаки ==
Опишемо ряд атак, які можуть бути проведені проти протоколу SSL. Однак, SSL стійкий до цих атак за умови використання довірених центрів сертифікації.

=== Розкриття шифрів ===
Як відомо, SSL залежить від різних криптографічних параметрів. Шифрування з відкритим ключем RSA необхідно для пересилки ключів і аутентифікації сервера / клієнта. Для шифрування використовуються різні криптографічні алгоритми. Таким чином, якщо здійснити успішну атаку на ці алгоритми, то SSL не може вже вважатися безпечним. Атака проводиться записом сесії, і потім, протягом довгого часу підбирається ключ сесії або ключ RSA. Використання SSL робить таку атаку невигідною, так як витрачається велика кількість часу і грошей.

=== Зловмисник посередині ===
Також відома як MitM (Man-in-the-Middle) атака. Передбачає участь трьох сторін: сервера, клієнта і зловмисника, що знаходиться між ними. У даній ситуації зловмисник може перехоплювати всі повідомлення, які слідують в обох напрямках, і підміняти їх.
Зловмисник представляється сервером для клієнта і клієнтом для сервера. У разі обміну ключами по [[Протокол Діффі-Геллмана|алгоритму Діффі-Хелмана]] дана атака є ефективною, оскільки цілісність прийнятої інформації і її джерело перевірити неможливо. Однак така атака неможлива при використанні протоколу SSL, так як для перевірки автентичності джерела (зазвичай сервера) використовуються сертифікати, завірені центром сертифікації.

Атака буде успішною, якщо:

* Сервер не має підписаного сертифіката.
* Клієнт не перевіряє сертифікат сервера.
* Користувач ігнорує повідомлення про відсутність підпису сертифіката центром сертифікації або про розбіжності сертифіката з кешованою копією.

Зауваження. Робота [[HTTPS]]-фільтра (який встановлює тунель в обидві сторони і віддає свій сертифікат клієнту) в [[Microsoft Forefront Threat Management Gateway|MS Forefront TGM]], що працює за цією схемою, не є атакою, але є засобом захисту та контролю.

=== Атака відгуку ===
Зловмисник записує комунікаційну сесію між сервером і клієнтом. Пізніше, він намагається встановити з'єднання з сервером, відтворюючи записані повідомлення клієнта. Але SSL відбиває цю атаку за допомогою особливого унікального ідентифікатора з'єднання (ІЗ). Звичайно, теоретично третя сторона не в силах передбачити ІЗ, тому що він заснований на наборі випадкових подій. Однак, зловмисник з великими ресурсами може записати велику кількість сесій і спробувати підібрати «правильну» сесію, ґрунтуючись на коді nonce, який послав сервер в повідомлення Server_Hello. Але коди nonce SSL мають, щонайменше, довжину 128 біт, а значить, зловмисникові необхідно записати <math>2^{64}</math> кодів nonce, щоб отримати ймовірність вгадування 50%. Але <math>2^{64}</math> досить велике число, що робить ці атаки безглуздими.

=== Атака проти протоколу рукостискання ===
Зловмисник може спробувати вплинути на обмін рукостисканнями для того, щоб сторони обрали різні алгоритми шифрування, а не ті, що вони обирають зазвичай. Через те, що багато реалізацій підтримують 40-бітове експортне шифрування, а деякі навіть 0-шифрування або MAC-алгоритм, ці атаки представляють великий інтерес.

Для такої атаки зловмисникові необхідно швидко підмінити одне або більше повідомлень рукостискання. Якщо це відбувається, то клієнт і сервер обчислять різні значення хеш повідомлення рукостискання. У результаті чого сторони не приймуть один від одного повідомлення ''Finished''. Без знання секрету зловмисник не зможе виправити повідомлення ''Finished'', тому атака може бути виявлена.

=== Атаки на SSL 2.0 ===
SSL 2.0 мав низку вразливостей:<ref>{{cite journal|url=http://www.sciencedirect.com/science/article/pii/S0167404802003127|title=On the Security of Today's Online Electronic Banking Systems|author1=Joris Claessens|author2=Valentin Dem|author3=Danny De Cock|author4=Bart Preneel|author5=Joos Vandewalle|journal=Computers & Security|volume=21|issue=3|year=2002|pages=253–265|doi=10.1016/S0167-4048(02)00312-7|accessdate=12 липня 2017|archive-date=17 жовтня 2015|archive-url=https://web.archive.org/web/20151017033726/http://www.sciencedirect.com/science/article/pii/S0167404802003127}}</ref>
* Використання одного ключа для [[Автентифікація повідомлень|автентифікації повідомлень]] та шифрування даних.<!-- please explain how this affects security --> (Протокол SSL 3.0, дозволяє MAC секретам бути довшими за ключі для шифрування, тому секрет може залишатись захищеним навіть якщо буде зламано ключ для шифрування.<ref>RFC 6101</ref>)
* SSL 2.0 має слабкий алгоритм обчислення [[MAC-підпис]]ів, що використовує хеш-функцію [[MD5]] із таємним префіксом, що робить його вразливим до [[атака подовженням повідомлення|атаки подовженням повідомлення]].
* SSL 2.0 не має захисту процесу рукостискання (відкриття сеансу обміну даними), що робить його вразливим до [[атака на пониження|атаки на пониження]].
* SSL 2.0 використовує стандартні механізми протоколу транспортного рівня TCP закриття з'єднання для позначення кінця даних. Це робить його вразливим до атаки на передчасне завершення передачі даних. Зловмисник може примусово обірвати з'єднання підробивши команду TCP FIN, отримувач даних тоді може не дізнатись про отримання неповних даних (у SSL 3.0 цю проблему виправлено&nbsp;— завершення сеансу відбувається явно, за відповідним повідомленням).
* SSL 2.0 передбачає єдиний сертифікат для домену, що робить його несумісним з поширеною практикою віртуального хостингу веб серверів.

SSL 2.0 було вимкнено за замовченням починаючи з [[Internet Explorer 7]],<ref>{{cite web|url=http://blogs.msdn.com/ie/archive/2005/10/22/483795.aspx|title=IEBlog: Upcoming HTTPS Improvements in Internet Explorer 7 Beta 2|accessdate=2007-11-25|last=Lawrence|first=Eric|date=2005-10-22|publisher=[[Microsoft Developer Network|MSDN]] Blogs|archive-date=17 квітня 2013|archive-url=https://www.webcitation.org/6FwL2ooJz?url=http://blogs.msdn.com/b/ie/archive/2005/10/22/483795.aspx}}</ref> [[Mozilla Firefox]] 2,<ref>{{cite web
 | url=https://bugzilla.mozilla.org/show_bug.cgi?id=236933
 | title=Bugzilla@Mozilla&nbsp;— Bug 236933 – Disable SSL2 and other weak ciphers
 | accessdate=2007-11-25
 | publisher=[[Mozilla Corporation]]
 | archive-date=14 лютого 2017
 | archive-url=https://web.archive.org/web/20170214012538/https://bugzilla.mozilla.org/show_bug.cgi?id=236933
 }}</ref> [[Opera (web browser)|Opera]] 9.5,<ref>[http://www.opera.com/docs/changelogs/windows/950/ «Opera 9.5 for Windows Changelog»] {{Webarchive|url=https://web.archive.org/web/20090626142453/http://www.opera.com/docs/changelogs/windows/950/|date=26 червня 2009}} at [[Opera.com]]: «Disabled SSL v2 and weak ciphers.»</ref> та [[Safari]]. Якщо після відправлення повідомлення TLS «ClientHello» Mozilla Firefox виявляє, що сервер не здатний завершити рукостискання, то браузер спробує повернутись до використання SSL 3.0 надіславши повідомлення SSL 3.0 «ClientHello» у форматі SSL 2.0 аби збільшити ймовірність успішного завершення рукостискання зі старішими серверами.<ref>{{cite web|url=https://bugzilla.mozilla.org/show_bug.cgi?id=454759|title=Firefox still sends SSLv2 handshake even though the protocol is disabled|date=2008-09-11|accessdate=12 липня 2017|archive-date=14 лютого 2017|archive-url=https://web.archive.org/web/20170214012541/https://bugzilla.mozilla.org/show_bug.cgi?id=454759}}</ref> Підтримка протоколу SSL 2.0 (та слабких 40- та 56- бітних шифрів) повністю прибрана з браузера Opera 10 версії<!--9.5=disabled, v10=removed, see changelogs-->.<ref>[http://www.opera.com/docs/changelogs/windows/1000/ «Opera 10 for Windows changelog»] {{Webarchive|url=https://web.archive.org/web/20130326080606/http://www.opera.com/docs/changelogs/windows/1000/|date=26 березня 2013}} at [[Opera.com]]: «Removed support for SSL v2 and weak ciphers»</ref><ref>{{cite web
 |url=http://my.opera.com/yngve/blog/2007/04/30/10-years-of-ssl-in-opera
 |title=10 years of SSL in Opera&nbsp;— Implementer's notes |accessdate=2007-11-25
 |last=Pettersen |first=Yngve |date=2007-04-30
 |publisher=[[Opera Software]] |deadurl=yes
 |archiveurl=https://web.archive.org/web/20071012205124/http://my.opera.com/yngve/blog/2007/04/30/10-years-of-ssl-in-opera
 |archivedate=October 12, 2007
}}</ref>

== Алгоритми, що використовуються в SSL ==
* Для обміну ключами та перевірки їх достовірності застосовуються: [[RSA]], [[Diffie-Hellman]], [[ECDH]], [[SRP]], [[PSK]].
* Для аутентифікації: [[RSA]], [[DSA]], [[ECDSA]].
* Для симетричного шифрування: [[RC2]], [[RC4]], [[IDEA (шифр)|IDEA]], [[DES]], [[Triple DES]] або  [[Advanced Encryption Standard|AES]], [[Camellia]].
* Для хеш-функцій:  [[SHA-2|SHA]], [[MD5]], [[MD4]] і [[MD2]].

== Вартість SSL ==
Вартість SSL-сертифікатів залежить від кількох факторів. Насамперед від типу перевірки та поширення. Найдешевшими є сертифікати з перевіркою тільки домену. Вони коштують від 15 доларів на рік. Далі йдуть сертифікати з перевіркою компанії. Їх вартість — від 45 доларів за один рік користування. Найдорожчі — SSL-сертифікати з розширеною перевіркою. За один рік користування ним потрібно заплатити від 140 доларів.<ref>{{Cite web|title=SSL-сертифікат: гайд по видам, вибору та встановленню SSL на сайт|url=https://freelancehunt.com/blog/ssl-siertifikat-navishcho-potribien-ta-iak-obrati/|website=Просто о фрилансе, штатной работе и не только: блог Freelancehunt|date=2021-04-30|accessdate=2021-07-21|language=ru|archive-date=21 липня 2021|archive-url=https://web.archive.org/web/20210721135224/https://freelancehunt.com/blog/ssl-siertifikat-navishcho-potribien-ta-iak-obrati/}}</ref>

== Як отримати SSL-сертифікат ==
Сертифікати довіри видаються багатьма центрами сертифікації. Серед них можна виділити [[Comodo Group|Sectigo Limited]], DigiCert Inc, [[NortonLifeLock|Symantec]], GeoTrust, RapidSSL, Thawte та інші. Але не обов'язково звертатись до них безпосередньо. Більшість провайдерів пропонують до хостингових тарифів цілий набір сертифікатів на вибір. Такий варіант навіть кращий, тому що провайдер має достатньо досвіду, щоб знайти надійний центр сертифікації та запропонувати найкраще рішення.<ref>{{Cite web|title=SSL-сертифікат: що це, навіщо потрібен та як його вибрати|url=https://cityhost.ua/uk/blog/chto-takoe-ssl-sertifikat-zachem-on-nuzhen-i-kak-vybrat.html|website=cityhost.ua|accessdate=2021-12-08|language=uk|archive-date=8 грудня 2021|archive-url=https://web.archive.org/web/20211208100043/https://cityhost.ua/uk/blog/chto-takoe-ssl-sertifikat-zachem-on-nuzhen-i-kak-vybrat.html}}</ref>

== Див. також ==
{{Навігація
  | Вікіпедія = Захист конфіденційних даних і анонімність в інтернеті
}}
* [[Transport Layer Security|TLS]]
* [[JSSE]]
* [[OpenSSL]]
* [[SSH]]
* [[SSLeay]]

== Примітки ==
{{reflist}}

== Посилання ==

* [https://developer.mozilla.org/en/Introduction_to_SSL Mozilla.org] {{Webarchive|url=https://web.archive.org/web/20111111043027/https://developer.mozilla.org/en/Introduction_to_SSL |date=11 листопада 2011 }}&nbsp;— введення в SSL протокол



{{ВП-портали|Програмування|Інформаційні технології}}
{{Refimprove|дата=березень 2017}}
{{Без джерел|дата=березень 2017}}
{{Internet-stub}}
{{Crypto-stub}}
[[Категорія:Інтернет-протоколи‎]]
[[Категорія:Криптографічні протоколи‎]]