Wat is een SSL-certificaat?

Secure Sockets Layer, gewoonlijk SSL genoemd, is een beveiligingsstandaard voor het versleutelen van de communicatie tussen een webserver en de webbrowser van de klant. Hoewel de term nog steeds in het gewone spraakgebruik wordt gebruikt, is het SSL-protocol in feite vervangen door het TLS-protocol, wat staat voor Transport Layer Security.

Elke website met een HTTPS-webadres gebruikt het SSL / TLS-protocol. Telkens wanneer de webbrowser een geldig SSL-certificaat ziet, wordt er een groen hangslotpictogram naast het adres weergegeven. Dit is een visuele aanwijzing voor de desktopgebruiker dat alle communicatie tussen hun browser en de webserver verloopt via een gecodeerd kanaal.

Waarom SSL-certificaten gebruiken?

Alle informatie die via internet wordt verzonden, gaat door verschillende tussencomputers voordat deze de bestemmingswebserver bereikt. Dit betekent dat al deze tussenliggende computers toegang hebben tot verzonden gegevens, waaronder informatie zoals gebruikersnamen en wachtwoorden, en andere gevoelige informatie. SSL-certificaten verkleinen dit risico door ervoor te zorgen dat alle informatie die via internet wordt verzonden, zodanig wordt gecodeerd dat alleen de beoogde ontvanger er toegang toe heeft.

In feite zijn bepaalde websites, zoals bank- en betalingsportalen, wettelijk verplicht om bepaalde stappen te ondernemen voordat ze gebruikers om gevoelige informatie kunnen vragen. Een van deze vereisten is het gebruik van correct gevalideerde SSL-certificaten.

Zelfs als u gebruikers niet om gevoelige informatie vraagt, loont het om een SSL-certificaat te gebruiken. In 2014 kondigde Google aan dat de zoekmachine in zijn poging om het internet veiliger te maken, HTTPS was gaan gebruiken als een rangschikkingssignaal. Dit betekent dat sites die een geldig SSL-certificaat gebruiken, als beter worden beschouwd en hoger scoren in de zoekresultaten, waardoor een SSL-certificaat in feite een eenvoudige maar essentiële SEO-tool is.

Wat bevat een SSL-certificaat?

Technisch gezien is een SSL-certificaat een gegevensbestand op de webserver dat verschillende stukjes informatie bevat. Het meest cruciale aspect van het certificaat is de openbare sleutel van de website.

Dit gaat vergezeld van de domeinnaam waarvoor het certificaat is uitgegeven en details over het individu of de organisatie waaraan het is uitgegeven. Het certificaat bevat ook details over de autoriteit die het heeft uitgegeven, samen met de digitale handtekening. Andere belangrijke details zijn de uitgiftedatum van het certificaat, de geldigheidsduur en de vervaldatum van het certificaat.

De openbare sleutel (en de bijbehorende privésleutel) zijn in wezen lange tekenreeksen die helpen bij het versleutelen en ontsleutelen van de verzonden gegevens. Het is belangrijk op te merken dat gegevens die zijn versleuteld met de openbare sleutel, alleen kunnen worden ontsleuteld met de privésleutel.

Wanneer een webbrowser probeert te communiceren met de server, roept hij het certificaat op om de identiteit van de server te verifiëren en vervolgens de openbare sleutel te verkrijgen. Het gebruikt het vervolgens om een gecodeerd kanaal tussen zichzelf en de webserver te creëren. Alle gegevens die via dit kanaal worden verzonden, kunnen alleen worden gedecodeerd door de webserver met de privésleutel.

Wie geeft SSL's uit?

SSL-certificaten worden uitgegeven door een vertrouwde certificeringsinstantie (CA). De webbrowsers, besturingssystemen en tegenwoordig zelfs mobiele apparaten houden een lijst bij met vertrouwde CA-rootcertificaten.

Een rootcertificaat is erg waardevol omdat elk SSL-certificaat dat is ondertekend met zijn privésleutel automatisch wordt vertrouwd door de webbrowsers. Omgekeerd, als de CA niet wordt vertrouwd, zal de browser niet-vertrouwde foutmeldingen aan de eindgebruiker presenteren.

Bedrijven zoals DigiCert, IdenTrust, GlobalSign en Let's Encrypt staan bekend als vertrouwde certificeringsinstanties. Webbrowsers en ontwikkelaars van besturingssystemen, zoals Microsoft, Mozilla, Google, Opera en dergelijke, vertrouwen deze CA's en bij uitbreiding alle SSL-certificaten die zijn ondertekend met hun privésleutels.

Soorten SSL-certificaten

Er zijn een paar verschillende soorten SSL-certificaten die grofweg in drie categorieën kunnen worden ingedeeld.

Domain-Validated (DV) certificaten zijn de instapcertificaten die basisversleuteling en verificatie van het eigendom van de domeinnaamregistratierecords omvatten. Dit type certificaat is het goedkoopst en kan binnen enkele minuten worden uitgegeven.

De volgende zijn de door de organisatie gevalideerde (OV) -certificaten die naast basisversleuteling en verificatie ook details over de eigenaar authenticeren, zoals hun naam en adres. Gezien de handmatige verificatie kan het enkele uren tot meerdere dagen duren om een OV-certificaat te krijgen.

Ten slotte zijn er de Extended Validation (EV) -certificaten die het meest vertrouwd zijn, omdat ze ook het fysieke en operationele bestaan van de eigenaar van de website verifiëren. Ze volgen een reeks strikte richtlijnen voor het verificatieproces, dat enkele weken kan duren.

Bovendien hebben alle soorten SSL-certificaten ook twee varianten. Er is één domeincertificaat dat één volledig gekwalificeerde domeinnaam beveiligt. Het is goedkoper dan een wildcard-certificaat dat meerdere subdomeinen beschermt.

Wat is een zelfondertekend SSL-certificaat?

Nogmaals, technisch gezien kan iedereen zijn eigen SSL-certificaat maken door een publiek-private sleutelparing te genereren. Deze certificaten worden zelfondertekende certificaten genoemd omdat de gebruikte digitale handtekening niet afkomstig is van een externe CA, maar van de eigen privésleutel van de website.

Hoewel ze het handigst zijn en onmiddellijk kunnen worden gegenereerd, beschouwen webbrowsers als webbrowsers zelfondertekende certificaten niet als betrouwbaar, aangezien er geen verificatie door derden bestaat. Dit is de reden waarom, hoewel de communicatie gecodeerd is, webbrowsers de website nog steeds als "niet veilig" zullen markeren. De meeste webbrowsers zullen er op zijn minst voor zorgen dat u begrijpt dat de website een zelfondertekend certificaat gebruikt, voordat de inhoud van de website wordt weergegeven.

Hoe SSL-certificaten verkrijgen?

Dankzij hun rol in de ranking van zoekmachines, is het voor iedereen een goed idee om een SSL-certificaat aan te schaffen.

De eerste stap is om te bepalen welk type certificaat u nodig heeft, grotendeels afhankelijk van het aantal domeinen en subdomeinen dat u moet beveiligen. Het proces is veel belangrijker voor bedrijven in gereguleerde sectoren zoals het bankwezen, die ervoor moeten zorgen dat hun SSL-certificaat voldoet aan de gedefinieerde vereisten.

Er zijn verschillende leveranciers van SSL-certificaten en afhankelijk van het type certificaat en de reputatie en het vertrouwen van de uitgevende certificeringsinstantie, kunnen de kosten van SSL-certificaten variëren van enkele dollars tot enkele honderden dollars per jaar.

Tegenwoordig kun je er echter ook gratis een krijgen, dankzij de Let's Encrypt CA. Het werd opgericht door EFF, Mozilla en de Universiteit van Michigan, met Cisco en Akamai als oprichtende sponsors.

Let's Encrypt is een non-profit CA die sinds april 2016 gratis SSL-certificaten uitdeelt. De certificaten zijn 90 dagen geldig en kunnen tijdens deze geldigheidsperiode op elk moment worden verlengd. Volgens het eigen onderzoek van Let's Encrypt zijn de certificaten grotendeels overgenomen door prijsbewuste gebruikers, waaronder kleinere sites, zoals persoonlijke blogs en kleine bedrijven.