HTTPS - den nye standarden

overskrift bilde

Internett beveger seg mot mer sikkerhet og respekt av personvernet med HTTPS som standard på alle nettsteder. Det er viktig for eiere av nettsider å få installert SSL-sertifikat om de vil henge med i svingene.

Med Google i føringen og nettlesere som nå markerer nettsider uten HTTPS som usikre påvirker det brukernes vaner. Dette har allerede fått betydning, spesielt kanskje i nettbutikker hvor kunder får beskjed om at nettsiden de er på ikke er sikker. Hvor mange av dem forsvinner til en annen nettbutikk?

Dette løses ved å installere et SSL-sertifikat. Men hvilket?

Den mest kjente tilbyderen akkurat nå er nok Let’s Encrypt siden de tilbyr SSL-setifikater gratis. Men det finnes mange ulike typer og mange tilbydere. Vi skal her gå igjennom de mest vanlige:

 

Ulike sertifikatstyper

Når det gjelder å velge en Certificate Authority (CA) finnes det en rekke typer. For å hjelpe deg å avgjøre; her er de viktigste typer SSL-sertifikater å velge mellom:

  • Domain Validation (DV) – Sertifikater knyttet opp mot et domene. De er raske å utstede siden bare domenet må bekreftes for legitimitet. Er den mest brukte sertifikats-typen og passer alle vanlige nettsider og alle nettsider med skjemaer (kontaktformulærer etc.).
  • Wildcard – Et Rot-domene og dets underdomener kan inngå i en enkelt sertifikat. Passer dermed for nettsider som har subdomener, f.eks mittdomene.no samt blogg.mittdomene.no
  • Extended Validation (EV) – lett gjenkjennelig med adresselinjen i nettleseren som blir farget grønt i motsetning til bare https teksten. Både den juridiske identiteten til bedriften eller organisasjonen og domenet må verifiseres for legitimitet. Passer til nettsteder og organisasjoner som må utstråle en stor grad av trygghet, f.eks nettbutikker, banker og større organisasjoner.
  • Organisasjon Validation (OV) – I likhet med Extended Validation (EV) sertifikater der både den juridiske identiteten til bedriften eller organisasjonen og domenet må verifiseres for autentisitet. Forskjellen er at det ikke inneholder en grønn adresselinje. Passer til organisasjoner som vil utstråle trygghet.
  • Unified Communications (UC) – Brukes til å kryptere forbindelsen for bruk med e-post og annen kommunikasjons-programvare. Flere domener kan inkluderes i ett sertifikat, og det er også en type Subject Alternative Name (SAN) sertifikat. Passer bra til mail-servere og er et krav for Microsoft Exchange.
  • Subject Alternative Name (SAN) – Rot-domene og relaterte domener som er tilknyttet, men ikke nødvendigvis sub-domener, kan inkluderes under ett sertifikat. Man kan også inkludere e-postadresser, DNS-navn og IP-adresser. I de fleste tilfeller er det i form av et DNS-navn (f.eks mail.mittdomene.no).

 

Det finnes også ulike typer kryptering

  • Rivest-Shamir-Adleman (RSA) – Oppkalt etter etternavn av sine skapere, er den vanligste formen for kryptering og kommer i 128-bit, 256-bit, og 2048-bit kryptering.
  • Digital signatur algoritme (DSA) – Offentlig standard for kryptering. Nødvendig for nettsteder som må oppfylle dette kriteriet, for eksempel Politiet og Forsvaret.
  • Elliptisk kurve-kryptografi (ECC) – Den kraftigste form for kryptering av de som er mest brukt.

Jo høyere bit-rate desto høyere er sikkerheten. Men, ECC er sterkere enn RSA; så et ECC 256-bit sertifikat er sterkere enn et RSA 2048-bit sertifikat.

Forskjellen mellom RSA og DSA er at den førstnevnte er raskere ved å godkjenne signaturer som er krypterte nøkler som brukes i prosessen med å utstede et SSL-sertifikat. RSA er også tregere til å skape signaturer. DSA kryptering er det motsatte, siden det er raskere på å skape signaturer, men det er tregere når man validerer dem.

 

De mest brukte leverandører av SSL-sertifikater

Let’s Encrypt er en Open Source Certificate Authority som er støttet av selskaper som Automattic, Mozilla, Sucuri, Siteground, Facebook, Chrome og mange flere. De tilbyr RSA 2048-bit kryptering og ECDSA kryptering er for tiden under utvikling. Å få et DV-sertifikat og fornyelse er gratis for alle, og du kan ha så mange du vil. De utstedes for kun 3 måneder av gangen. Mange webhoteller tilbyr Let’s Encrypt via sitt kontrollpanel og man kan da sette opp automatisk fornyelse av Let’s Encrypt sertifikatene så de i praksis aldri utløper. Undersøk med din webhotell-leverandør.

Selv om sertifikater er gratis er de like sikre som de fleste andre tilbyderne av SSL-sertifikater, så det er et bra alternativ hvis du er på lavbudsjett. Dessverre (og forståelig nok), har gratis sertifikater ingen form for garanti eller ekstra funksjoner.

Det er ikke en type sertifikat du kan bruke i enhver situasjon, men er et bra alternativ for mange nettsteder som kun krever domene-validering. Vi bruker for eksempel Let’s Encrypt på glimrende.no.

 

Comodo, Symantec, DigiCert og GeoTrust

Er alle anerkjente merkevarer og de har alle sine styrker. Alle leverer flere typer SSL-sertifikater, ref listen lengre opp i artikkelen.

  • Dersom du har en vanlig nettside med et form av skjema, en personlig side eller en mindre business nettside sjekk ut Let’s Encrypt eller Comodo.
  • Symantec er det beste valget dersom du trenger DSA, ECC eller det høyeste nivået av kryptering. De er også det dyreste alternativet.
  • Dersom du ønsker skanning av nettsiden for sårbarheter eller malware, sjekk Comodo eller Symantec.
  • Comodo, Symantec og GeoTrust har alle den høyeste garantien
  • For ubegrensede server-lisenser sjekk DigiCert eller GeoTrust
  • Comodo, Symantec og DigiCert tilbyr alle logoer som du kan plassere på nettsiden din for å vise at siden din er sikker.

 

ssl-sertifikater

 

Webhjelpen deg både med innkjøp og installasjon av ditt sertifikat.
Kontakt Webhjelpen idag på 23 10 36 26 eller