SSL/TLS: что это, сертификат и рукопожатие

SSL/TLS — это криптографический протокол, который шифрует канал связи между клиентом (браузером, приложением) и сервером и подтверждает подлинность сервера с помощью цифрового сертификата. SSL — исторический предшественник, все версии которого официально признаны небезопасными; протокол, реально работающий сегодня под привычным названием «SSL», — это TLS (Transport Layer Security), сейчас в версиях 1.2 и 1.3.

Протокол разработала компания Netscape в середине 1990-х годов для защиты веб-трафика: SSL 2.0 вышел в 1995 году, SSL 3.0 — в 1996-м. В 1999 году развитие протокола перешло к IETF, которая стандартизировала его продолжение под новым названием — TLS 1.0 (RFC 2246), по сути прямой преемник SSL 3.1.

С тех пор название «SSL» осталось в обиходе — в маркетинге хостингов, в термине «SSL-сертификат» — хотя формально это уже другой, TLS-протокол.

↔ таблицу можно прокрутить вбок

TLS 1.0 и TLS 1.1 официально выведены из доверия в марте 2021 года документом RFC 8996; современные браузеры и серверы по умолчанию поддерживают только TLS 1.2 и TLS 1.3, и соединение по более старым версиям протокола обычно завершается ошибкой ещё на этапе рукопожатия.

Отдельно стоит термин HTTPS — это не самостоятельный протокол, а обычный HTTP, обёрнутый в зашифрованное TLS-соединение (RFC 2818, «HTTP over TLS»). Когда браузер показывает в адресной строке замок и «https://», это означает, что HTTP-запросы и ответы передаются через установленный TLS-канал, а не в открытом виде.

TLS-рукопожатие (handshake) — это обмен сообщениями в начале соединения, в ходе которого клиент и сервер договариваются о параметрах шифрования, сервер предъявляет сертификат, а стороны вычисляют общий сеансовый ключ. Схема построена в два слоя: асимметричная криптография отвечает за аутентификацию сервера — сервер доказывает, что владеет закрытым ключом, соответствующим сертификату, — и за безопасное согласование ключа, а весь дальнейший трафик сессии шифруется быстрым симметричным алгоритмом.

• ClientHello. Клиент отправляет серверу список поддерживаемых версий TLS, наборов шифров (cipher suites) и случайное число для последующего вычисления ключа.
• ServerHello и сертификат. Сервер выбирает версию протокола и набор шифров, отправляет собственный цифровой сертификат и параметры для согласования ключа.
• Проверка цепочки доверия. Клиент проверяет, что сертификат подписан удостоверяющим центром, которому браузер доверяет, что срок действия не истёк и что имя в сертификате совпадает с запрошенным доменом.
• Аутентификация сервера (CertificateVerify). Сервер отдельно доказывает, что владеет закрытым ключом сертификата, а не просто прислал чужой публичный сертификат: он подписывает часть данных рукопожатия своим закрытым ключом, и клиент проверяет эту подпись открытым ключом из сертификата — асимметричная операция, отдельная от согласования ключа сессии.
• Согласование ключа. Стороны вычисляют общий сеансовый ключ — в TLS 1.3 почти всегда через эфемерный алгоритм Диффи — Хеллмана, что обеспечивает прямую секретность: если сегодняшний ключ будет скомпрометирован, трафик прошлых сессий это не раскроет.
• Finished и переход на симметричное шифрование. После обмена контрольными сообщениями весь дальнейший трафик сессии шифруется симметричным алгоритмом с общим ключом — это на порядки быстрее асимметричной криптографии.

TLS 1.3 сократил число раундов обмена по сравнению с TLS 1.2 — рукопожатие занимает один цикл обмена вместо двух (1-RTT против 2-RTT), что заметно ускоряет установление соединения. Целостность самих сообщений рукопожатия, включая финальное сообщение Finished, подтверждается кодом аутентификации на основе хеш-функции (HMAC/HKDF) — по нему стороны проверяют, что параметры соединения не подменили по пути.

Целостность и подлинность уже зашифрованных данных сессии обеспечивает не HMAC, а сами шифры сессии — режимы с одновременным шифрованием и проверкой подлинности (AEAD), такие как AES-GCM или ChaCha20-Poly1305: если код аутентификации, встроенный в шифротекст, не сходится, получатель отбрасывает пакет как подменённый.

Цифровой сертификат (SSL/TLS-сертификат) — это электронный документ, который удостоверяющий центр (CA) выдаёт владельцу домена: он связывает открытый ключ сервера с именем домена, подписан электронной подписью центра и подтверждает, что сервер — тот, за кого себя выдаёт. Разные типы сертификатов отличаются не стойкостью шифрования, а глубиной проверки заявителя.

Где посмотреть сертификат в браузере: значок замка в адресной строке открывает сведения о соединении, а из них — детали сертификата: кем выдан, кому выдан, срок действия и цепочка доверия до корневого центра.

В России помимо международного TLS применяется TLS с российскими криптоалгоритмами — так называемый ГОСТ TLS (RFC 9189 для TLS 1.2, RFC 9367 для TLS 1.3), а для выпуска сертификатов организациям, столкнувшимся с проблемами у иностранных удостоверяющих центров, работает национальный удостоверяющий центр Минцифры России.

• ГОСТ TLS. Наборы шифров на отечественных алгоритмах описаны в двух RFC по версиям протокола: RFC 9189 — для TLS 1.2, RFC 9367 — для TLS 1.3. Используемые алгоритмы: ГОСТ Р 34.10-2012 — для электронной подписи и обмена ключом (межгосударственный ГОСТ 34.10-2018 без буквы «Р» — его более поздний преемник, действующий в РФ как национальный стандарт с 1 июня 2019 года), ГОСТ Р 34.11-2012 «Стрибог» — для хеширования, ГОСТ Р 34.12-2015/34.13-2015 («Кузнечик», «Магма») — для симметричного шифрования сессии.
• Национальный удостоверяющий центр (НУЦ Минцифры России). Заработал в 2022 году и выдаёт TLS-сертификаты российским организациям через портал госуслуг — в том числе тем, кто столкнулся с отказом или сложностями продления сертификатов у иностранных центров сертификации на фоне санкций.
• Разрыв доверия в браузерах. Корневой сертификат НУЦ Минцифры по умолчанию не входит в список доверенных у основных международных браузеров (Chrome, Firefox, Safari); чтобы сайт с таким сертификатом открывался без предупреждения, пользователю нужно установить корневой сертификат вручную либо использовать браузер с уже встроенным доверием — например, Атом от Ростелекома или Яндекс Браузер.
• Криптошлюзы на ГОСТ. Устройства и ПО, реализующие ГОСТ TLS или ГОСТ VPN для защиты канала связи, сертифицируются ФСБ России как СКЗИ классов КС1–КА и применяются как компонент VPN-решений там, где действуют требования к криптографической защите каналов.