Jos olet huolissasi tietojesi turvallisuudesta muodostaessasi internet-yhteyden Windowsista, on normaalia hämmentyä käsitteistä, kuten TLS, SSL, VPN, OpenVPN ja IPsec . Ensi silmäyksellä ne näyttävät samoilta (ne kaikki "salaavat" jotain), mutta todellisuudessa ne ratkaisevat eri ongelmia ja niitä käytetään eri viestintäkerroksissa.
Ennen kuin kiirehdit asentamaan VPN-sovellusta tai säätämään selaimesi lisäasetuksia, on hyvä ymmärtää tarkalleen, mitä TLS on, mikä VPN on, mihin protokollia, kuten SSL tai IPsec, käytetään , ja ennen kaikkea, missä tilanteissa kutakin niistä tulisi käyttää Windows-tietokoneellasi. Katsotaanpa asiaa rauhallisesti, mutta ilman tarpeetonta teknistä ammattikieltä.
Mikä on TLS ja miten se eroaa SSL:stä?
Kun kuulet "SSL-varmenteesta", "suojatusta verkkosivustosta" tai näet selaimessasi lukkokuvakkeen, nykyään käytetään itse asiassa TLS:ää (Transport Layer Security) , standardiprotokollaa, joka salaa tiedot laitteesi ja internetissä olevan palvelimen välillä. SSL oli sen edeltäjä, mutta sitä pidetään nykyään turvattomana ja se on poistettu käytöstä nykyaikaisissa järjestelmissä.
Voimme sanoa, että TLS on siirtokerroksen salausprotokolla , joka varmistaa, että kolmannet osapuolet eivät voi helposti lukea tai manipuloida asiakkaan ja palvelimen välillä kulkevaa dataa. Se tekee kaksi keskeistä asiaa: se suojaa datan luottamuksellisuutta ja takaa, ettei sitä ole muokattu matkan varrella.
SSL:stä ja TLS:stä on ollut vuosien varrella eri versioita. SSL on kuitenkin vanhentunut jo kauan sitten. Itse asiassa se on poistettu käytöstä hyvämaineisissa selaimissa ja palveluissa. Jotkut palveluntarjoajat viittaavat edelleen "SSL-varmenteisiin" tottumuksesta, vaikka käytännössä ne ovat TLS-varmenteita ja käyttävät vain protokollan moderneja versioita.
TLS:n toimintaperiaate: salaus, kättely ja varmenteet
Jotta TLS-yhteys toimisi (esimerkiksi verkkosivustoa käytettäessä HTTPS-protokollaa), selaimesi ja palvelimesi välillä tapahtuu automaattinen prosessi, jota kutsutaan TLS-kättelyksi . Se on sinulle läpinäkyvä, mutta se on kaiken tietoturvan perusta.
Tämän kättelyn aikana asiakas ja palvelin vaihtavat tietoja valitakseen salausalgoritmeja, todentaakseen toisensa ja luodakseen väliaikaisia avaimia , joita käytetään vain kyseisessä istunnossa. Tämä neuvottelu perustuu julkisen avaimen salaukseen ja varmentajien (CA) myöntämiin digitaalisiin varmenteisiin.
Varmenteiden avulla selaimesi voi varmistaa palvelimen identiteetin. Ne sisältävät verkkotunnuksen nimen, julkisen avaimen, varmenteen myöntäjän, omistajan, voimassaolopäivät ja muita tietoja, kuten aliverkkotunnukset ja sallitut käyttötarkoitukset. Ilman voimassa olevaa varmennetta selaimesi näyttää tietoturvavaroituksia.
Turvallisuuden kannalta TLS kattaa kolme peruspilaria:
- todennus (tiedä kenen kanssa puhut).
- luottamuksellisuus (että kukaan ei lue tietoja).
- eheys (varmistaen, että sisältöä ei ole muokattu). Tämä saavutetaan yhdistämällä symmetrisiä salausalgoritmeja, hajautusfunktioita ja viestin todennuskoodeja (MAC tai HMAC).
TLS-versiot: 1.0 - 1.3
Ajan myötä TLS on kehittynyt korjaamaan haavoittuvuuksia ja parantamaan suorituskykyä. TLS-versiot 1.0 ja 1.1 julkaistiin vuosina 1999 ja 2006, ja niitä pidetään nyt vanhentuneina ja haavoittuvina. Siksi nykyaikaiset selaimet eivät enää tue niitä.
Tällä hetkellä yleisin versio on TLS 1.2 , joka julkaistiin vuonna 2008. Se on edelleen erittäin vankka ja asennettu useimpiin palvelimiin ja palveluihin. Siitä huolimatta on jo suositeltavaa siirtyä TLS 1.3:een uusissa ympäristöissä tai palvelua päivitettäessä.
Vuonna 2018 julkaistun TLS 1.3:n myötä protokollaa yksinkertaistettiin ja heikkoja algoritmeja poistettiin. Suorituskykyä parannettiin myös vähentämällä kättelyvaiheiden määrää ja turvallisuusvaatimuksia tiukennettiin. Lisäksi tuetaan moderneja salausmenetelmiä, kuten AES-GCM ja ChaCha20-Poly1305, ja postkvanttialgoritmien tuleva integrointi helpottuu.
Tärkeä huomio on, että TLS 1.3 ei ole enää taaksepäin yhteensopiva SSL:n kanssa , mikä estää alemman version hyökkäykset, joissa hyökkääjä pakottaa käyttämään vanhempia, turvattomia versioita, kuten POODLE-tyyppisten haavoittuvuuksien tapauksessa kävi.
SSL:n ja TLS:n väliset keskeiset erot
Vaikka SSL ja TLS toimivat käsitteellisesti samalla tavalla, on olemassa teknisiä vivahteita, jotka tekevät kaiken eron. TLS parantaa vanhempaa SSL:ää useilla osa-alueilla, sekä turvallisuuden että suorituskyvyn suhteen , ja siksi siitä on tullut nykyinen standardi.
- KättelyprosessiTLS tuo mukanaan nopeampia ja tehokkaampia menetelmiä, jotka vähentävät viivettä verrattuna SSL-kättelyihin, jotka olivat vähemmän optimoituja ja rankaisivat verkkosivujen latausaikaa enemmän.
- Todennus ja eheysSSL nojasi vahvasti algoritmeihin, jotka ovat nykyään rikkinäisiä tai heikkoja, kuten MD5, kun taas TLS käyttää HMAC:tä vahvemmilla tiivistefunktioilla ja moderneilla salaussarjoilla. Tämä vähentää huomattavasti välikäsihyökkäysten riskiä.
- VirheilmoituksetVanhemmissa versioissa monet hälytykset lähetettiin selkotekstinä, minkä TLS 1.3 korjaa salaamalla kaikki hälytysviestit yhteyden muodostamisen jälkeen, jotta hyökkääjä ei voi saada tietoja istunnon toiminnasta.
- SalauspaketitTLS valitsee ja valvoo vahvempaa salausta hylkäämällä SSL:ltä perityt heikommat vaihtoehdot. Tämä minimoi virhemarginaalin palvelimen virheellisen määrityksen yhteydessä ja ylläpitää johdonmukaisempaa suojaustasoa.
Käyttääkö HTTPS todella SSL:ää vai TLS:ää?
Vuosien ajan HTTPS:ää kutsuttiin "HTTP over SSL" -protokollaksi, mutta vuoteen 2026 mennessä käytännössä mikään vakavasti otettava verkkosivusto ei enää ylläpitänyt SSL-tukea . Nykyään laajalti käytetään HTTPS:ää TLS 1.2:n ja yhä useammin TLS 1.3:n kautta.
Alle 1 % verkkosivustoista tukee edelleen SSL:ää jossain muodossa, kun taas lähes kaikki toimivat TLS 1.2:n kanssa ja suuri enemmistö tukee myös TLS 1.3:a. Käyttäjätasolla näet vain lukon ja "https://", mutta kulissien takana tämä suojausprotokolla on käytössä.
Kun siirryt verkkosivustolle ja kirjoitat korttinumerosi, tunnistetietosi tai henkilötietosi, TLS salaa nämä tietoliikenneyhteydet , joten vaikka joku sieppaisi verkkoliikenteen, hän näkee vain käsittämätöntä tietoa.
Salauksen lisäksi selain suorittaa useita kattavia tarkistuksia verkkosivuston varmenteelle: allekirjoituksen eheys, vanhenemispäivämäärä, mahdollinen peruutus (OCSP:n kautta), myöntäjän laillisuus, vastaavuus verkkotunnuksen kanssa, sallitut käyttötavat ja käytäntörajoitukset, muiden muassa. Mikä tahansa kriittinen vika tässä ketjussa johtaa varoitukseen tai yhteyden estoon.
Tämän vahvistusprosessin ansiosta selain muodostaa suojatun HTTPS-yhteyden vain , jos kaikki ehdot täyttyvät. Jos jokin näyttää olevan pielessä, näet viestejä, kuten "sivusto ei ole suojattu", vanhentuneet varmenteet tai vastaavia varoituksia, joita ei pidä jättää huomiotta.
SSL/TLS-varmenteet: Mitä ne ovat ja minkä tyyppisiä on olemassa
HTTPS:ää ja muita suojattuja tietoliikenneyhteyksiä mahdollistavat varmenteet perustuvat julkisen avaimen infrastruktuuriin (PKI) . Varmentaja (CA) myöntää varmenteen tarkistettuaan tietyt hakijan tiedot ja allekirjoitettuaan sen yksityisellä avaimellaan.
Sertifikaatti sisältää elementtejä, kuten Common Name (CN) ja usein Subject Alternative Name (SAN) -päätteet useiden verkkotunnusten tai aliverkkotunnusten suojaamiseksi yhdellä sertifikaatilla. Se määrittää myös validointityypin, voimassaoloajan ja siihen liittyvän julkisen avaimen.
Vahvistustasoja on useita:
- DV (Domain Validation) -sertifikaatit. Ne varmistavat vain, että hakija hallitsee verkkotunnusta.
- OV-sertifikaatit (organisaation validointi)He myös varmistavat yrityksen olemassaolon.
- EV-sertifikaatit (laajennettu validointi). He soveltavat tiukempaa vahvistusprosessia kokonaisuuteen, vaikka heidän visuaalista ilmaisintaan käytetään yhä vähemmän selaimissa.
On myös olemassa erityisvarmenteita, kuten jokerivarmenteita , jotka suojaavat verkkotunnusta ja kaikkia sen ylimmän tason aliverkkotunnuksia, tai SAN-varmenteita, jotka on suunniteltu kattamaan useita eri nimiä (ihanteellinen monimutkaisissa yritysympäristöissä).
Varmennetta luotaessa luodaan ensin varmenteen allekirjoituspyyntö (Certificate Signing Request, CSR) , joka sisältää palvelimen julkisen avaimen ja identiteettitiedot. Tämä pyyntö lähetetään varmenteen myöntäjälle (CA), joka tietojen validoinnin jälkeen myöntää allekirjoitetun varmenteen asennettavaksi palvelimelle.
Mikä on VPN ja mitä se ratkaisee sellaista, mitä TLS ei kata?
Vaikka TLS suojaa tiettyjä yhteyksiä (esimerkiksi selaimesi ja verkkosivuston välillä), VPN suojaa kaikkea verkkoliikennettä laitteeltasi tai verkon osasta . Toisin sanoen se toimii kuin "salattu tunneli", jonka läpi kaikki liikenteesi kulkee ennen internetiin pääsyä.
Teknisesti VPN on julkisen verkon (internetin) yli toimiva virtuaalinen yksityisverkko . Se kapseloi ja salaa datapaketit siten, että ulkopuolelta näyttää siltä, että kaikki tiedot virtaavat tietokoneesi ja VPN-palvelimen välillä, vaikka ne todellisuudessa reititetään useisiin eri palveluihin.
Tämä mahdollistaa useita mielenkiintoisia käyttötarkoituksia: todellisen IP-osoitteesi piilottamisen VPN-palvelimen IP-osoitteen taakse, yrityksen tai kotiverkon sisäisten resurssien etäkäytön , maantieteellisten rajoitusten ohittamisen ja turvallisuuden vahvistamisen yhdistettäessä epäluotettaviin julkisiin WiFi-verkkoihin.
Toisin kuin TLS, joka liittyy tiettyihin protokolliin, kuten HTTPS tai FTPS, VPN toimii verkkopinon alemmilla tasoilla (IP- tai jopa linkkitasolla), joten se "käärii" käytännössä kaiken, mitä tietokoneesi tekee, ilman että sovellusten tarvitsee tietää.
Windowsissa voit käyttää sisäänrakennettuja VPN-asiakasohjelmia (esimerkiksi IPseciä varten) tai kolmannen osapuolen sovelluksia, jotka toteuttavat protokollia, kuten OpenVPN, WireGuard tai muita omia protokollia . Jokaisella on omat etunsa, mutta niillä kaikilla on yhteinen ajatus salatun tunnelin luomisesta etäpalvelimelle.
SSL/TLS VPN:n ja IPsec VPN:n väliset erot
VPN-maailmassa on kaksi pääperhettä, jotka tulisi erottaa toisistaan: SSL/TLS VPN:t ja IPsec-pohjaiset VPN:t . Molemmat tarjoavat salatun tunnelin, mutta ne tekevät sen kerroksittain ja eri tekniikoilla.
SSL/TLS VPN -verkot (usein kutsutaan yksinkertaisesti "SSL VPN") rakennetaan TLS:n päälle, joka on sama protokolla, jota käytetään HTTPS:ssä. Suositut protokollat, kuten OpenVPN, toimivat tällä tavalla: ne luovat salatun tunnelin, joka tyypillisesti käyttää TCP- tai UDP-porttia 443, mikä helpottaa palomuurien ja välityspalvelimien ohittamista.
Tällaisessa VPN-verkossa todennus ja salaus perustuvat X.509-sertifikaatteihin, julkisiin ja yksityisiin avaimiin sekä parametreihin, kuten Diffie-Hellman, turvalliseen avaintenvaihtoon. Se on erittäin joustava ratkaisu, joka on erityisen hyödyllinen yksittäisten käyttäjien etäkäyttöön Windowsista, macOS:stä tai mobiililaitteista.
Toisaalta IPsec VPN:t käyttävät IPsec (Internet Protocol Security) -protokollaa , joka toimii suoraan verkkotasolla (kerros 3). IPsec tarjoaa IP-paketeille todennuksen, eheyden ja salauksen erilaisten tilojen ja algoritmien avulla.
IPsec VPN -verkot ovat hyvin yleisiä yritysympäristöissä kokonaisten verkkojen (Net-to-Net) yhdistämiseen tai käyttöjärjestelmään integroitujen etäkäyttöratkaisujen toteuttamiseen, koska Windows on tukenut IPseciä jo vuosia.
VPN:n ja TLS:n käyttöä tukevat määräykset ja standardit
Sekä TLS että VPN eivät ole vain tekninen suositus; monissa tapauksissa ne ovat edellytys tietosuojamääräysten ja tietoturvastandardien noudattamiselle. Itse asiassa monet sääntelykehykset mainitsevat ne joko suoraan tai epäsuorasti.
Euroopan unionissa GDPR edellyttää henkilötietojen suojaamista asianmukaisilla teknisillä toimenpiteillä, mukaan lukien salaus. TLS:n käyttö verkkoviestinnässä ja VPN-yhteyksien käyttö arkaluonteisia tietoja sisältävien järjestelmien etäkäytössä sopivat täydellisesti tähän lähestymistapaan.
Terveydenhuoltoalalla säännökset, kuten HIPAA (Yhdysvalloissa), edellyttävät lääketieteellisten tietojen luottamuksellisuuden suojaamista, mikä käytännössä tarkoittaa siirrettävien tietojen salaamista TLS:n avulla ja usein sisäisen käytön kapselointia VPN:n kautta.
Muut standardit, kuten luottokorttitietojen hallintaan tarkoitettu PCI-DSS, edellyttävät selvästi vahvan salauksen käyttöä tietoliikenteessä ja hallinnollisessa etäkäytössä, mikä yleensä tarkoittaa turvallista HTTPS:ää ja oikein konfiguroituja VPN-yhteyksiä.
Monet julkisten tai yksityisten hankintojen tekniset eritelmät edellyttävät nimenomaisesti TLS 1.2:n tai uudemman sekä IPsecin tai SSL/TLS VPN:n käyttöä sivustojen ja käyttäjien välisten yhteyksien turvallisuuden takaamiseksi , mikä osoittaa, että nämä teknologiat ovat jo tosiasiallinen standardi.
Milloin käyttää TLS:ää ja milloin VPN:ää Windowsissa?
Windows-tietokoneella TLS ja VPN eivät kilpaile keskenään, vaan ne täydentävät toisiaan. Valinta riippuu ratkaistavasta ongelmasta, joten on tärkeää ymmärtää, mitä kukin teknologia tarjoaa jokapäiväisessä käytössä.
Jos haluat vain selata internetiä turvallisesti, syöttää salasanoja tai maksaa kortilla verkkosivustolla, selaimesi on muodostettava HTTPS-yhteydet TLS:n perusteella . Et tarvitse VPN:ää vain suojatun verkkosivuston katselemiseen, kunhan sivusto on määritetty oikein.
Toisaalta, jos sinun on muodostettava yhteys kotoa käsin yrityksesi sisäiseen verkkoon, käytettävä jaettuja kansioita tai toimiston tulostimia, puhumme tyypillisestä VPN-käyttötilanteesta Windowsissa . VPN-tunneli antaa sinulle sisäisen IP-osoitteen ja reitittää näihin resursseihin.
Toinen syy harkita VPN:ää on se, että käytät usein julkisia Wi-Fi- verkkoja (kahvilat, hotellit, lentokentät). Vaikka monet verkkosivustot käyttävät HTTPS:ää, jotkin palvelut ja sovellukset eivät vieläkään salaa kaikkea liikennettään, ja VPN voi tarjota lisäsuojakerroksen muille yhteyksillesi.
Lopuksi, jos tavoitteenasi on muuttaa näennäistä sijaintiasi (esimerkiksi käyttääksesi maakohtaisesti rajoitettua sisältöä), TLS ei auta sinua lainkaan. Siinä tapauksessa tarvitset kaupallisen VPN:n, jolla on palvelimia haluamallasi alueella, koska VPN piilottaa todellisen IP-osoitteesi etäpalvelimen IP-osoitteen taakse.
SSL/TLS VPN -verkkojen määrittäminen OpenVPN:n avulla (yleiskatsaus)
OpenVPN on yksi tunnetuimmista ja laajimmin käytetyistä VPN-protokollista, erityisesti Linux-ympäristöissä, ja se on integroitu myös moniin Windows-asiakasohjelmiin. Se käyttää OpenSSL- ja X.509-sertifikaatteja SSL/TLS-salauksen toteuttamiseen.
Tässä mallissa yleensä perustetaan ensin pieni sisäinen varmenteiden myöntäjä (CA) esimerkiksi easy-RSA:n kaltaisilla työkaluilla. Tämän jälkeen luodaan varmenteet VPN-palvelimelle ja jokaiselle asiakkaalle sekä avaintenvaihtoon tarvittavat Diffie-Hellman-parametrit.
Tyypillisiä tiedostoja ovat CA-varmenne (esim. ca.crt ), palvelinvarmenne ja sen yksityinen avain (server.crt, server.key), DH-parametrit (dh.pem) ja jokaiselle käyttäjälle oma varmenne ja avainpari (client.crt, client.key).
Palvelinpuolella OpenVPN on määritetty luomaan virtuaalinen rajapinta (tun tai tap), määrittelemään VPN-verkon, määrittämään polun kuhunkin varmennetiedostoon ja ottamaan käyttöön tai poistamaan käytöstä reitityksen verkkojen välillä . Määritykset muuttuvat hieman riippuen siitä, käytetäänkö reititettyä (IP-tunneli) vai silloitettua tilaa.
Windows-asiakasohjelmassa asennetaan OpenVPN-ohjelmisto, tarvittavat varmenteet kopioidaan oikeisiin sijainteihin ja käytetään määritystiedostoa, joka määrittää palvelimen IP-osoitteen tai toimialueen, portin, rajapinnan tyypin (tun/tap) ja varmenteen sijainnin . Kun yhteys on muodostettu ja kaikki on oikein, luodaan virtuaalinen verkkorajapinta ja liikenne reititetään tunnelin läpi.
Ymmärtämällä, mitä kukin osa (TLS, vanha SSL, SSL/TLS VPN, IPsec) tekee ja miten ne sopivat Windows-yhteystyyliisi, voit tehdä paljon parempia päätöksiä: milloin luottaa selaimen lukkoon , milloin VPN-tunneli kannattaa ottaa käyttöön ja miten molemmat konfiguroidaan tasapainottamaan tietoturva, suorituskyky ja määräystenmukaisuus ilman, että asiat monimutkaistuvat liikaa.