TLS er etterfølgeren til SSL, og HTTPS bruker TLS til å beskytte forbindelsen mellom nettleseren og nettstedet. Beskyttelsen gjelder data under overføring. Den er ikke en garanti for at nettstedets innhold er sant, at en nettbutikk er pålitelig, eller at mottakeren vil behandle opplysningene dine slik du ønsker.
SSL, TLS og HTTPS er ikke tre navn på samme ting
| Begrep | Hva det betyr |
|---|---|
| SSL | Secure Sockets Layer, den eldre protokollfamilien som TLS etterfulgte. |
| TLS | Transport Layer Security, protokollen som etablerer en beskyttet kanal mellom to parter. |
| HTTPS | HTTP brukt over en TLS-beskyttet forbindelse. |
RFC 8446, spesifikasjonen for TLS 1.3 fra 2018, beskriver en kanal som skal beskytte mot avlytting, endring av data og forfalskede meldinger. Den fastslår også at SSL 2.0 og SSL 3.0 ikke skal forhandles, fordi sikkerheten er utilstrekkelig.
Når noen bruker uttrykket «SSL-sertifikat», bør du derfor skille mellom betegnelsen og protokollen forbindelsen faktisk bruker. Det viktige er ikke at ordet SSL står i en produktbeskrivelse, men at forbindelsen har en forsvarlig TLS-konfigurasjon og at sertifikatet blir kontrollert.
Dette skal TLS beskytte
TLS-spesifikasjonen beskriver tre sentrale egenskaper:
- Autentisering: Tjeneren blir autentisert som del av opprettelsen av kanalen. Klientautentisering er valgfritt.
- Konfidensialitet: Innholdet i data som sendes over den etablerte kanalen, skal bare være synlig for endepunktene.
- Integritet: En angriper skal ikke kunne endre data underveis uten at det blir oppdaget.
For en vanlig nettside er endepunktene nettleseren og tjenesten forbindelsen går til. Før trafikken beskyttes, gjennomfører partene et håndtrykk: De avtaler blant annet protokollversjon og kryptografiske parametere og etablerer nøkler for forbindelsen.
Sertifikatkontrollen er viktig. Spesifikasjonen advarer om at bruk av en sertifikatnøkkel uten validering, og uten en annen autentiseringsmekanisme, gjør forbindelsen sårbar for angrep der en uvedkommende legger seg mellom partene.
Dette forteller ikke HTTPS deg
En sikker forbindelse til feil nettsted er fortsatt en forbindelse til feil nettsted. Som et tenkt eksempel kan en falsk butikk motta informasjon gjennom en kryptert kanal. Krypteringen beskytter overføringen, men avgjør ikke om butikken vil levere varen.
Dette følger av skillet mellom kanalbeskyttelse og det tjenesten gjør med dataene. TLS beskytter kommunikasjonen mellom endepunktene; mottakeren må kunne lese innholdet for å bruke det.
TLS gir heller ikke full anonymitet. Spesifikasjonen forklarer at protokollen ikke automatisk skjuler lengden på dataene som overføres, og at lengde og tidspunkt kan brukes til trafikkanalyse. Kryptert innhold og skjult nettaktivitet er dermed forskjellige mål.
Hvis en melding ber deg åpne en innloggingsside, vurder avsenderen og adressen i tillegg til forbindelsen. Se guiden til falsk e-post og SMS. Skal du inn i e-postkontoen, viser Hotmail- og Outlook-guiden en offisiell vei til innlogging.
Skillet er nyttig også når du leser sammenligninger på Norske casinosider: HTTPS beskytter forbindelsen, men avgjør ikke om en omtale er uavhengig, vilkårene passer deg eller et tilbud har norsk tillatelse. Slike spørsmål må undersøkes hver for seg.
Hva gjør du ved en sikkerhetsadvarsel?
- Ikke skriv inn passord, betalingsopplysninger eller andre følsomme data mens advarselen er uavklart.
- Kontroller at adressen er den du hadde tenkt å besøke. Åpne den offisielle inngangen selv fremfor å følge en uventet melding.
- Les advarselen og noter hva nettleseren sier er feil, fremfor å anta at alle slike feil har samme årsak.
- Be tjenesten eller ansvarlig IT-hjelp om avklaring hvis problemet vedvarer. Ikke omgå kontrollen bare for å komme videre.
HTTPS erstatter ikke oppdateringer og kontosikkerhet
NSMs sikkerhetsråd fra 2022 anbefaler raske sikkerhetsoppdateringer, særlig for operativsystemer og programmer som leser eksterne data, som nettlesere og e-postprogrammer. Rådene anbefaler også å unngå svake passord og bruke multifaktorautentisering der det er mulig.
For deg som bruker nettet, er dette separate tiltak: TLS beskytter forbindelsen, oppdateringer retter sårbarheter i programvaren, og ekstra innloggingsbekreftelse beskytter kontotilgangen. Bruk veiledningen til totrinnsbekreftelse for neste steg. Flere praktiske sikkerhetsguider finnes under Trygg på nett.