Allt du behöver veta – TLS vs SSL

Vad är SSL och TLS?

SSL (Secure Socket Layer) och TLS (Transport Layer Security) är båda kryptografiska protokoll som krypterar och autentiserar data som skickas från klienten (dvs. din enhet som begär en webbplats) till en server, maskin eller applikation.

SSL är TLS föregångare. SSL släpptes för första gången till allmänheten 1995. Den hade dock många sårbarheter och ersattes därför av SSL v3.0 ett år senare. Den senare var inte heller perfekt, så TLS introducerades 1999. De flesta enheter och webbläsare har nu gått över till TLS v1.2. Men många är så vana vid termen SSL att de hänvisar till TLS som SSL. De flesta använder nu termen SSL/TLS för att underlätta övergången.

Varför behöver webbplatser SSL/TLS?

SSL TLS går hand i hand med HTTP och är det som lägger till S:et för “säkerhet” i HTTPS. HTTP (Hypertext Transfer Protocol) är ett tillämpningsprotokoll som överför data från en webbläsare till en webbserver, eller enklare uttryckt, levererar dina sökresultat till din webbläsare.

HTTP-anslutningar är dock inte säkra på egen hand. Det är som att skicka data rakt ut i det fria – vem som helst kan se dem. HTTP är sårbart för man-i-mitten-attacker, vilket innebär att vem som helst som snokar i trafiken kan stjäla dina inloggnings- eller kreditkortsuppgifter.

Det är därför HTTPS introducerades. Det är en kombination av HTTP, som hanterar mekaniken för dataöverföring, och SSL TLS, som hanterar kryptering. Med SSL TLS-kryptering är dina data mycket säkrare – den som snokar i din trafik kan nu bara se krypterad data. Numera använder de flesta webbplatser HTTPS. Även NordVPN använder den! Ta en titt på webbadressfältet.

Hur SSL fungerar

SSL TLS-kryptering kan delas in i två steg: SSL/TLS-handskakningen och SSL/TLS record layer. Låt oss titta närmare på dessa:

Vad är SSL-handskakning?

En SSL/TLS-handshake eller handskakning på svenska är en form av kommunikation mellan en klient och server där de två bestämmer vilken protokollversion som ska användas för deras fortsatta kommunikation. Hur fungerar en TLS-handskakning i praktiken?

1. Klienten skickar en “hej”-förfrågan till en webbserver som den vill kommunicera med. Den innehåller de typer av chiffer (krypteringsalgoritmer) som klienten kan stödja.
2. Servern skickar ett “hej” tillbaka med sitt SSL-certifikat och sin offentliga nyckel. Klienten och servern använder här asymmetrisk kryptering för att utbyta säkra meddelanden. Detta innebär att klienten behöver serverns offentliga nyckel för att kryptera meddelandena och servern behöver två nycklar – en privat och en offentlig – för att dekryptera dem. Ingen som som snokar i trafiken kan dechiffrera deras meddelanden.
3. Klienten använder sedan serverns offentliga nyckel för att skapa en premaster secret och skickar den till servern. Denna kommer att användas för att skapa sessionsnycklar och höja kommunikationen till symmetrisk kryptering. Båda ändarna använder nu bara privata nycklar. Symmetrisk kryptering kommer att göra kommunikationen mycket snabbare och använda mindre resurser.
4. Servern dekrypterar premaster secret, använder den för att skapa en symmetrisk nyckel och utbyter den med klienten. Med symmetrisk kryptering etablerad kan de nu utbyta krypterad kommunikation. Webbplatsens trafik är nu säker.

SSL TLS record layer

Det är här krypteringen sker. Uppgifterna skickas från användarens program och krypteras. Beroende på krypteringen kan den också komprimeras. Därefter skickas den vidare till transportskiktet som avgör hur data ska skickas till målenheten.

Vad är SSL-certifikat och varför behövs det?

Webbservrar som stöder TLS har “SLS-certifikat”, även om det kanske är mer korrekt att kalla dem SSL TLS-certifikat. De erhålls från webbhotellsplattformar och behövs under SSL TLS-handskakningen för att verifiera att de verkligen är leverantörer av säkra anslutningar.

Protokoll är dock inte samma som certifikat. Vilket protokoll som ska användas under anslutningen, SSL eller TLS, bestäms av din webbläsare och målserverns konfigurationer, inte av webbplatsens certifikat. Det är möjligt att ansluta till en webbplats som har HTTPS men använder ett föråldrat SSL v3.0-protokoll.

Sådana anslutningar är sårbara för attacker. De flesta nya webbläsare informerar om detta i adressfältet. Håll utkik efter det gröna hänglåset och HTTPS-symbolerna. Om du är orolig för att av misstag ansluta till en webbplats som bara stöder SSL v3.0 kan du inaktivera SSL-anslutningar manuellt. Detta kan dock leda till störningar i anslutningen.

FAQ – vanliga frågor och svar

Vad är skillnaden mellan TLS och SSL?

SSL star för Secure Sockets Layer och TLS står för Transport Layer Security. SSL och TLS är båda kryptografiska protokoll som autentiserar dataöverföring mellan servrar, system, applikationer och användare. Till exempel krypterar ett kryptografiskt protokoll data som utbyts mellan en webbserver och en användare.

Vilken av SSL och TLS är bättre?

De är tätt sammankopplade och TLS är egentligen bara den mer moderna, säkra versionen av SSL Även om SSL fortfarande är den dominerande termen på Internet menar de flesta egentligen TLS när de säger SSL, eftersom de båda offentliga versionerna av SSL inte är säkra och sedan länge föråldrade.

Hur fungerar SSL TLS?

Varje TLS-certifikat består av ett nyckelpar som består av en offentlig nyckel och en privat nyckel. Servern skickar sedan tillbaka en bekräftelse krypterad med sessionsnyckeln för att starta den krypterade sessionen. Server och webbläsare krypterar nu all överförd data med hjälp av sessionsnyckeln.