Https портът е защитен комуникационен протокол в компютърна мрежа, широко използвана в интернет. HTTPPS се състои от хипертекстовия протокол за трансфер (http) в рамките на криптирана връзка за сигурност на транспортния слой (или слой със защитени сокети). Основната цел на https порта е удостоверяването на посещавания уебсайт и защитата на поверителността и целостта на обменните данни. HTTPPS осигурява удостоверяване на уебсайта и свързания с него уеб сървър, с който обменят данни. Също така, този протокол осигурява двупосочно криптиране на съобщения между клиента и сървъра, което е защитено от подслушване и подправяне на съдържанието на съобщението. На практика това гарантира, че потребителят комуникира с желания сайт (не фалшив сайт) и че обменът на данни между потребителя и ресурса е поверителен.

Http порт: историческа помощ

Https създава Netscape Communications през 1994 г. за уеб браузъра на Netscape Navigator. Първоначално е използван https с SSL. Тъй като SSL се превърна в система за сигурност на транспортния слой (TLS), HTTPS беше официално идентифициран от RFC 2818 през май 2000 г.

В миналото https-връзките се използват главно за платежни транзакции в световната мрежа чрез електронна поща и за поверителни транзакции в корпоративни информационни системи. В края на 2000-те и началото на 2010 г. протоколът https започна да се използва широко за защита на автентичността на страниците на всички видове уебсайтове, сигурно счетоводствозаписи и поверителност на потребителите, лични данни и лично сърфиране в уеб страници.

Използване на уебсайтове

Към юни 2017 г. 217% от уебсайтовете с над 100 000 потребители използват стандартния https. 431% от най-популярните уебсайтове в интернет са 141387 потребители, които имат сигурна https реализация. Според доклада за телеметрията на Firefox 45% от натоварванията на страниците използват https-logging. Според Mozilla доклади от януари 2017 г., повече от половината от уеб трафика, предаден в криптирана форма.

Интеграция на браузъра

Повечето браузъри показват предупреждение, ако получат неправилен сертификат. Старите браузъри, когато се свързват с сайт с невалиден сертификат, трябва да предоставят на потребителя диалогов прозорец, който иска дали да продължи да преминава към ресурса. Новите браузъри показват сигнали в целия прозорец.

По-новите браузъри виждат и информацията за сигурността на сайта в адресната лента. Разширените сертификати за проверка показват зелената адресна лента в новите браузъри. Повечето браузъри показват предупреждение на потребителя, когато посещават сайт, който съдържа смес от криптирано и некриптирано съдържание.

https port security

https сигурност е основен TLS, който обикновено използва дългосрочни публични и частни ключове за генериране на краткосрочен сесиен ключ, който след това се използва за криптиране на потока от данни междуклиент и сървър. Сертификатите X. 509 се използват за удостоверяване на сървъра (а понякога и на клиента). В резултат на това те и сертификатите за публични ключове са необходими за проверка на връзката между сертификата и неговия собственик, както и за създаването, подписването и администрирането на валидността на сертификатите.
Важна характеристика в този контекст е пряката секретност, която гарантира, че криптираните съобщения, записани в миналото, не могат да бъдат възстановени и декриптирани, ако в бъдеще бъдат компрометирани дългосрочни секретни ключове или пароли. Не всички уеб сървъри осигуряват пряка секретност - това зависи от това към кой порт се използва https връзката.

Ограничения

Пристанището HTTP е уязвимо за редица атаки с анализ на трафика. Този вид атака се случва отстрани на канала, зависи от промяната на времето и размера на трафика и дискредитирането на свойствата на криптираното съдържание. Анализът на трафика е възможен, защото SSL /TLS криптирането променя трафика, но има минимално въздействие върху неговия размер и време. През май 2010 г. изследователи от Microsoft Research и Университета на Индиана откриха, че подробни поверителни данни на потребителите могат да бъдат получени от странични канали, като например размери на опаковките. Експертите са открили, че подслушващото устройство може да получава чувствителни потребителски данни. През юни 2014 г. група изследователи от Калифорнийския университет в Бъркли и Intel, оглавявана от Брад Милър, демонстрираха общ подход към анализа на https-порт-трафика, основан на машинно обучение. Изследователите са показали, че атаката е била използванана различни уебсайтове, включително популярен ресурс като YouTube. Установено е, че един нападател може да посети същите уеб страници като жертва, за да събере мрежов трафик, който служи като учебни данни.

След това нападателят идентифицира приликите в размерите на пакети и поръчките между трафик на жертва и трафик на данни за трафика, който позволява на нападателя да покаже точната страница, която посещава жертвата. Установено е също, че атака не може да се използва за откриване на потребителски стойности, вградени в уеб страница. Например, много банки предлагат уеб интерфейси, които позволяват на потребителите да виждат салдата по сметките. Нападателят ще може да открие, че потребителят е прегледал страницата за баланса на профила, но няма да може да разбере точния баланс на потребителя или номера на сметката.