TLSyhteyksissä

TLS-yhteydet tarkoittavat TLS-protokollaa käyttävien tietoliikenneyhteyksien turvallisuutta parantavaa mekanismia. Transport Layer Security (TLS) tarjoaa salauksen, eheyden ja autentikoinnin siten, että tieto pysyy luottamuksellisena ja muuttumattomana sekä palvelin että asiakas voivat varmistua toistensa identiteetistä.

Yhteyden muodostaminen tapahtuu TLS-kättelyn aikana. Palvelin esittää X.509-sertifikaattinsa, ja asiakkaan on mahdollista vahvistaa sertifikaatti luotettavien sertifikaattien (CA) perusteella. Kättelyn aikana sovitaan salausavaimista käyttämällä esimerkiksi elliptic curve Diffie–Hellman Ephemeral (ECDHE) -menetelmää, joka tuottaa uusi avaimen jokaiselle sessiolle. Lopuksi muodostetaan symmetrinen istunta-avain ja data salataan sitä käyttäen, useimmiten AEAD-salausmenetelmillä kuten AES-256-GCM tai ChaCha20-Poly1305. TLS 1.3 yksinkertaistaa ja nopeuttaa kättelyä sekä parantaa turvallisuutta.

Turvallisuusominaisuudet: TLS suojaa salakuuntelua, tiedon muokkausta ja palvelimen identiteetin väärää esittämistä. Vahva autentikointi ja luottamusketju liittyvät PKI-järjestelmään; epästandardeja tai vanhentuneita sertifikaatteja tulisi välttää.

Sertifikaatit ja luottamus: asiakkaan luottamus perustuu sertifikaatin kelpoisuuteen sekä sertifikaattiketjuun, jonka muodostavat sertifikaattitarjoaja ja mahdolliset välivarmentajat. Haavoittuvuuksia voivat aiheuttaa vanhentuneet tai väärät sertifikaatit, puutteellinen ketju tai verkkoympäristön väärä konfiguraatio. Käytännöt kuten sertifikaattipinnoitus tai certificate transparency voivat parantaa luottamusta.

Käyttökohteet: TLS-yhteydet ovat yleisiä web-sovelluksissa HTTPS:n kautta, sekä sähköpostissa STARTTLS:ssä ja muissa protokollissa kuten FTP over TLS sekä IMAP/POP3 with TLS. Turvallinen käyttöönotto vaatii asianmukaista konfiguraatiota palvelimella.

Parhaat käytännöt: käytä mahdollisimman uutta TLS-versiota (TLS 1.3), poista vanhat protokollat (1.0, 1.1), valitse vahvat cipher-suitet sekä AEAD-salaus, käytä forward secrecyä, ota käyttöön HSTS sekä OCSP stapling ja sertifikaattien läpinäkyvyys. Seuranta ja säännöllinen sertifikaattien voimassaolotarkistus ovat suositeltavia.