TLSyhteyden

TLSyhteyden on suojatun tiedonsiirron perusta, jossa Transport Layer Security -protokolla tarjoaa salatun, eheyden varmistaman ja todennetun yhteyden asiakkaan ja palvelimen välille. TLS suojaa yleisimmän verkkoliikenteen, kuten verkkosivu- ja sähköpostiliikenteen, riippumatta sovelluksesta.

Toimintaperiaate: kättelyvaiheessa osapuolet vaihtavat aloitustiedot ja valitsevat kryptografiset parametrit sekä muodostavat istunnon salausavaimet. Palvelin esittää asiakkaalle X.509-sertifikaatin, jolla asiakkaan voidaan varmentaa palvelimen identiteetti PKI:n kautta. Avaimet syntyvät ephemereä avaimenvaihdon kautta (esim. ECDHE/DHE), jolloin istunto säilyy salattuna myös tulevia yhteyksiä varten.

Versiot ja turvallisuus: Nykyisin yleisin on TLS 1.3, joka parantaa sekä turvallisuutta että suorituskykyä ja poistaa useita vanhoja, haavoittuvia ominaisuuksia. Salaus toteutetaan AEAD-salausmenetelmillä kuten AES-GCM tai ChaCha20-Poly1305.

Käyttö ja käytännöt: TLSin hallinta kattaa monia protokollia; yleisintä on HTTPS, mutta sitä käytetään myös sähköpostissa STARTTLS:ssa sekä muissa yhteyksissä kuten FTPS ja VPN. Yleinen verkkoliikenteen portti on 443, mutta portteja on monia.

Tietoturva ja parhaat käytännöt: Asianmukainen TLS-konfiguraatio edellyttää luotettavaa sertifikaattien ketjua, voimassa olevia sertifikaatteja sekä päivitettyjä protokollaversioita ja vahvoja salausmenetelmiä. Sertifikaattien kiertoa valvotaan OCSP-staplingin ja/tai sertifikaattien voimassaolotarkistusten avulla. Lisäksi käytetään HSTS:ää ja SNI:tä oikean palvelun osoittamisen varmistamiseksi.