Як захистити свій сайт від витоку інформації і несанкціонованого доступу третіми особами

Безпека інформації в Інтернеті - одна з найсерйозніших проблем в наш час. Як захистити свій сайт від витоку інформації і несанкціонованого доступу третіми особами? 

Для цього сайти для своєї роботи використовують спеціальні протоколи.

Протоколи це свого роду програмне забезпечення, яке встановлюється на серверах і призначене для виконання певної задачі.

HTTP (від англ. HyperText Transfer Protocol - протокол передачі гіпертексту) - це прикладний протокол передачі даних в мережі, на поточний момент використовується для отримання інформації з веб-сайтів. 

Протокол HTTP заснований на використанні технології «клієнт-сервер»: клієнт, що відправляє запит, є ініціатором з'єднання; сервер, який отримує запит, виконує його і відправляє клієнту результат.

HTTPS (HyperText Transfer Protocol Secure) - це розширення протоколу HTTP, що підтримує шифрування. Дані, що передаються по протоколу HTTP, «упаковуються» в криптографічний протокол SSL. 

Отже, щоб Ваш сайт зміг використовувати захищений HTPS  протокол, адміністратор повинен отримати і встановити в систему SSL сертифікат. Сертифікат складається з двох частин (двох ключів) - public і private.

Public-частина сертифіката використовується для шифрування трафіку від клієнта до сервера в захищеному з'єднанні; private-частина - для розшифрування отриманого від клієнта зашифрованого трафіку на сервері.

Після того як пара ключів приватний / публічний згенерована, на основі публічного ключа формується запит на отримання SSL-сертифікату в Центрі сертифікації.

Ось посилання на сайт, який видає сертифікати в Україні.

https://www.ukrnames.com/ukr/certs/ssl_certificates.jsp

SSL-сертифікат - це свого роду унікальна цифровий підпис вашого сайту. Такий сертифікат потрібен, в першу чергу, банкам, платіжним системам і іншим організаціям, що працюють з персональними даними, - для захисту транзакцій і запобігання несанкціонованого доступу до інформації.

SSL-сертифікат містить наступну інформацію:

доменне ім'я, на яке оформлено SSL-сертифікат;

юридична особа, яка володіє сертифікатом;

фізичне місцезнаходження власника сертифіката (місто, країна);

термін дії сертифіката;

реквізити компанії-постачальника SSL-сертіфікатa.

Іншими словами, SSL-Сертифікат підтверджує, що домен належить реальній компанії і що його власник має право користуватися секретним ключем на законних підставах.

Існує кілька типів SSL-сертифікатів:

SSL-сертифікати з перевіркою домену (Domain Validation) - це сертифікати початкового рівня, є найпоширенішими в світі, а швидкість видачі таких сертифікатів варіюється від 2 до 10 хвилин, залежить від бренду. Щоб отримати такий сертифікат, не потрібно спеціальних документів. Такі сертифікати підійдуть для невеликих сайтів і маленьких проектів, коли немає необхідності у великій довірі з боку клієнтів та відвідувачів сайту. 

Для отримання сертифікату, потрібно підтвердити володіння доменом:

- перевірка через електронну пошту (DCV Email) - центр сертифікації висилає верифікаційного лист, в якому буде посилання для підтвердження володінням домену. Вислати такий лист можуть або на пошту, вказану у Whois вашого домену, або на один із золотої п'ятірки: admin @, administrator @, hostmaster @, postmaster @, webmaster @ вашого сайту;

- перевірка за допомогою DNS-записи (DNS CNAME) - спосіб для тих, у кого налаштований мейл-сервер, а пошта у Whois закрита приватній реєстрацією. Необхідно створити особливу запис у вашому DNS, і центр сертифікації його перевірить. Метод повністю автоматичний;

- перевірка за допомогою хеш-файлу (HTTP CSR Hash) - користувачеві буде надано спеціальний .txt файл, який необхідно завантажити на свій сервер, при цьому центр сертифікації переконається в його наявності та сертифікат буде виданий. Метод повністю автоматичний.

Є багато інших видів сертифікатів:

- Business Validation SSL SSL сертифікати з перевіркою компанії;

- Extended Validation Certificates SSL сертифікати розшіреної Перевірки (EV);

- WildCard SSL Certificates з підтрімкою субдоменів;

- Multi Domain SSL Certificates SSL сертифікати з розшірюванім числом доменів;

- SGC SSL Certificates SSL сертифікати з SGC захистом;

- Code Signing SSL Certificates cертифікати для розробніків ПЗ;

- SAN SSL Certificates SSL сертифікати з підтрімкою SAN Names

Отже реєструючись на якомусь сайті, варто поглянути на адресний рядок, який протокол обслуговує цей сайт HTTP  чи HTTPS? І зробити висновок, чи варто довіряти свої дані цьому ресурсу.