איך HTTP, TLS ותעודה קשורים
HTTP מתאר את התקשורת היישומית בין לקוח לשירות. TLS מוסיף הגנות לחיבור, ותעודה משתתפת בתהליך אימות זהות השרת עבור השם המבוקש. המונח SSL עדיין מופיע בממשקי אחסון ובשפה יומיומית, אך בהקשר של HTTPS מודרני מדברים בדרך כלל על TLS.
לשם המארח יש משמעות: חיבור לדומיין הראשי אינו בדיקה לכל תת-דומיין. גם מצב שבו יש תעודה בממשק הניהול אינו מוכיח שהמערכת שאליה מגיע הלקוח כבר מגישה אותה. בדיקה מתאימה בוחנת את החיבור בפועל ואת הכתובת שנדרשה.
הגנת תעבורה לעומת הגנת יישום
אפשר להגן על הקשר ועדיין להפעיל טופס שפועל לא נכון או חשבון מנהל בעל הרשאה רחבה מדי. אתר מתחזה יכול גם הוא להשתמש ב-HTTPS. לכן אין לפרש חיבור תקין כהמלצה למסור מידע, וכפתור או סמל בדפדפן אינם תחליף לאימות ההקשר.
| שכבה | שאלה | מה נשאר מחוץ למסקנה |
|---|---|---|
| חיבור | האם התקשורת המאובטחת תקינה | אמינות העסק והתוכן |
| תעודה | האם השם והאמון מתאימים | הרשאות וקוד יישום |
| יישום | האם הפעולה העסקית מתנהגת נכון | מצב כל מערכת אחרת |
| בעלות | מי שולט בשירות ובחשבונות | אינה נקבעת מסמל חיבור |
מה משתנה כאשר יש פרוקסי או CDN
בחיבור דרך מתווך יש כמה מקטעים. הדפדפן עשוי לדבר עם הקצה, והקצה עם שרת מקור. צריך להבין איזה רכיב מציג תעודה ואיפה נאכפת הבדיקה. הצפנה במקטע הראשון אינה טענה אוטומטית על ההגדרות במקטע השני.
לדוגמה, Cloudflare מתארת דרישות לתעודת מקור במצב Full (strict). זו התנהגות מוצר מוגדרת. היא אינה מבטלת את הצורך לבדוק הרשאת גישה למקור, יישום ותלויות. לא משנים מצב הצפנה באופן גורף רק כדי להעלים שגיאה.
דוגמה: אתר מוצפן עם טופס שאינו מוסר הודעות
זו המחשה בלבד. דף האתר נטען בחיבור תקין, אך הודעת הטופס לא מגיעה ליעד כי חיבור הדואר הוגדר לא נכון. TLS תקין אצל הגולש לא בדק את כל מסלול המסירה. מגדירים בדיקת קבלה של הודעת ניסיון בנפרד.
באותו אופן, שגיאת תעודה אינה הוכחת פריצה. מתעדים את ההודעה, הכתובת והשינויים האחרונים ופונים לאחראי. אין להורות למשתמש להזין פרטים רגישים דרך אזהרה כחלק מבדיקת תפקוד.
איך HTTPS קשור ל-HSTS ול-DNSSEC
HSTS הוא מנגנון מדיניות בדפדפן לשימוש ב-HTTPS; הוא אינו התעודה עצמה. DNSSEC עוסק באימות נתוני DNS ולא בהצפנת תוכן האתר. המנגנונים עונים על שאלות שונות, ולכן קיומו של אחד אינו מוכיח שהאחר הוגדר.
לעסק חשוב למפות אחריות על תעודה, חידוש ומקטעי חיבור. בעלות על דומיין ויכולת לשנות DNS הן תלויות נוספות. למדריך פתרון אזהרה יש כוונת פעולה נפרדת מערך זה, והוא מפרט מה לתעד ומתי לעצור שינוי עצמאי.