एचटीटीपीएस (HTTPS)
हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल सिक्योर (एचटीटीपीएस) हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल (एचटीटीपी) का एक्सटेंशन है। यह कंप्यूटर नेटवर्क पर सुरक्षित संचार के लिए क्रिप्टोग्राफी का उपयोग करता है और इंटरनेट पर व्यापक रूप से उपयोग किया जाता है।[1][2] एचटीटीपीएस में, संचार प्रोटोकॉल को ट्रांसपोर्ट लेयर सिक्योरिटी (टीएलएस) या पूर्व में सुरक्षित सॉकेट लेयर (एसएसएल) का उपयोग करके एन्क्रिप्ट किया जाता है। इसलिए प्रोटोकॉल को टीएलएस या एसएसएल पर एचटीटीपी के रूप में भी संदर्भित किया जाता है[3]।
एचटीटीपीएस के लिए प्रमुख प्रेरणाएं एक्सेस की गई वेबसाइट के प्रमाणीकरण हैं, और पारगमन के समय एक्सचेंज किए गए डेटा की सूचना गोपनीयता और डेटा अखंडता की सुरक्षा करने में इसका उपयोग होता हैं। यह मैन-इन-द-मिडिल अटैक से बचाता है, और क्लाइंट और सर्वर के बीच संचार के संचालन के द्विदिश ब्लॉक सिफर मोड को ईव्सड्रॉपिंग और स्पष्ट रूप से छेड़छाड़ के विरुद्ध संचार की रक्षा करता है।[4][5] एचटीटीपीएस के प्रमाणीकरण पहलू को सर्वर-साइड public_key_certificate पर हस्ताक्षर करने के लिए विश्वसनीय तीसरे पक्ष की आवश्यकता होती है। यह ऐतिहासिक रूप से महंगा ऑपरेशन था, जिसका मतलब था कि पूरी तरह से प्रमाणित एचटीटीपीएस कनेक्शन सामान्यतः केवल सुरक्षित भुगतान लेनदेन सेवाओं और वर्ल्ड वाइड वेब पर अन्य सुरक्षित कॉर्पोरेट सूचना प्रणालियों पर पाए गए थे।2016 में, वेब ब्राउज़र डेवलपर्स के समर्थन के साथ इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के अभियान ने प्रोटोकॉल को अधिक प्रचलित किया।[6] एचटीटीपीएस अब मूल गैर-सुरक्षित एचटीटीपी की तुलना में वेब उपयोगकर्ताओं द्वारा अधिक बार उपयोग किया जाता है, मुख्य रूप से सभी प्रकार की वेबसाइटों पर पृष्ठ प्रामाणिकता की रक्षा के लिए सुरक्षित खाते और उपयोगकर्ता संचार, पहचान और वेब ब्राउज़िंग निजी रखने के लिए किया जाता हैं।
अवलोकन
यूनिफ़ॉर्म रिसोर्स आइडेंटिफ़ायर (यूआरआई) स्कीम एचटीटीपीएस में एचटीटीपी स्कीम के समान उपयोग सिंटैक्स है। चूंकि, एचटीटीपीएस ट्रैफ़िक की सुरक्षा के लिए एसएसएल/टीएलएस की अतिरिक्त एन्क्रिप्शन परत का उपयोग करने के लिए ब्राउज़र को संकेत देता है। एसएसएल/टीएलएस विशेष रूप से एचटीटीपी के लिए अनुकूल है, क्योंकि यह कुछ सुरक्षा प्रदान कर सकता है, भले ही संचार का केवल पक्ष प्रमाणीकरण हो। यह इंटरनेट पर एचटीटीपी लेनदेन के साथ स्थिति है, जहां सामान्यतः केवल वेब सर्वर को प्रमाणित करने तथा सर्वर के सार्वजनिक कुंजी प्रमाणपत्र की जांच करने वाले क्लाइंट द्वारा किया जाता है।
एचटीटीपीएस असुरक्षित नेटवर्क पर सुरक्षित चैनल बनाता है। यह ईव्सड्रॉपिंग और मैन-इन-द-मिडिल अटैक से उचित सुरक्षा सुनिश्चित करता है, इसके अतिरिक्त पर्याप्त सिफर सूट का उपयोग किया जाता है और सर्वर प्रमाणपत्र सत्यापित और विश्वसनीय है।
क्योंकि एचटीटीपीएस पिग्गीबैक एचटीटीपी पूरी तरह से टीएलएस के शीर्ष पर है, अंतर्निहित एचटीटीपी प्रोटोकॉल की संपूर्णता को एन्क्रिप्ट किया जा सकता है। इसमें अनुरोध का यूआरएल, क्वेरी पैरामीटर, हेडर और कुकीज़ सम्मलित हैं (जिसमें अधिकांशतः उपयोगकर्ता के बारे में जानकारी की पहचान होती है)। चूंकि, क्योंकि वेबसाइट के पते और पोर्ट (कंप्यूटर नेटवर्किंग) नंबर आवश्यक रूप से अंतर्निहित टीसीपी/आईपी प्रोटोकॉल का हिस्सा हैं, एचटीटीपीएस उनके प्रकटीकरण की रक्षा नहीं कर सकता है। व्यवहार में इसका मतलब है कि सही ढंग से कॉन्फ़िगर किए गए वेब सर्वर पर भी, ईव्सड्रॉपर्स वेब सर्वर के आईपी पते और पोर्ट नंबर का अनुमान लगा सकते हैं, और कभी -कभी डोमेन नाम भी (जैसे www.example.org, लेकिन बाकी यूआरएल नहीं)एक उपयोगकर्ता के साथ संचारित डेटा की मात्रा और संचार की अवधि के साथ संवाद कर रहा है, चूंकि संचार की सामग्री नहीं है।[4]
वेब ब्राउज़रों को पता है कि प्रमाणपत्र प्राधिकरण के आधार पर एचटीटीपीएस वेबसाइटों पर भरोसा कैसे किया जाए जो उनके सॉफ़्टवेयर में पूर्व-स्थापित आते हैं। प्रमाणपत्र प्राधिकरण इस तरह से वेब ब्राउज़र रचनाकारों द्वारा मान्य प्रमाण पत्र प्रदान करने के लिए भरोसा किया जा रहा है। इसलिए, उपयोगकर्ता को किसी वेबसाइट पर एचटीटीपीएस कनेक्शन पर विश्वास करना चाहिए यदि और केवल यदि सभी निम्नलिखित हैं:
- उपयोगकर्ता का भरोसा है कि उनका डिवाइस, ब्राउज़र की मेजबानी और ब्राउज़र को स्वयं प्राप्त करने के लिए विधि, समझौता नहीं किया जाता है (अर्ताथ कोई आपूर्ति श्रृंखला हमला नहीं है)।
- उपयोगकर्ता विश्वास करता है कि ब्राउज़र सॉफ्टवेयर सही ढंग से एचटीटीपीएस को सही ढंग से पूर्व-स्थापित प्रमाणपत्र अधिकारियों के साथ लागू करता है।
- उपयोगकर्ता केवल वैध वेबसाइटों के लिए प्रमाणपत्र प्राधिकरण पर भरोसा करता है (अर्ताथ प्रमाणपत्र प्राधिकरण से समझौता नहीं किया गया है और प्रमाण पत्रों का कोई गलत अनुमान नहीं है)।
- वेबसाइट वैध प्रमाण पत्र प्रदान करती है, जिसका अर्थ है कि यह विश्वसनीय प्राधिकारी द्वारा हस्ताक्षरित था।
- प्रमाण पत्र सही ढंग से वेबसाइट की पहचान करता है (जैसे, जब ब्राउज़र एचटीटीपीएस://example.com पर जाता है, तो प्राप्त प्रमाणपत्र उदाहरण के लिए ठीक से है।
- उपयोगकर्ता का भरोसा है कि प्रोटोकॉल की एन्क्रिप्शन लेयर (एसएसएल/टीएलएस) ईव्सड्रॉपर्स के विरुद्ध पर्याप्त रूप से सुरक्षित है।
एचटीटीपीएस विशेष रूप से असुरक्षित नेटवर्क और नेटवर्क पर महत्वपूर्ण है जो छेड़छाड़ के अधीन हो सकता है। असुरक्षित नेटवर्क, जैसे कि सार्वजनिक वाई-फाई एक्सेस पॉइंट्स, किसी को भी उसी स्थानीय नेटवर्क पर पैकेट एनालाइज़र के लिए अनुमति देते हैं। पैकेट-सिनिफ़ और एचटीटीपीएस द्वारा संरक्षित संवेदनशील जानकारी की खोज करें। इसके अतिरिक्त, कुछ फ्री-टू-यूज़ और पेड वायरलेस लैन नेटवर्क को अन्य वेबसाइटों पर अपने स्वयं के विज्ञापनों की सेवा करने के लिए पैकेट इंजेक्शन में संलग्न करके वेबपेजों के साथ छेड़छाड़ देखी गई है। इस अभ्यास का कई मायनों में दुर्भावनापूर्ण रूप से शोषण किया जा सकता है, जैसे कि वेबपृष्ठों पर मैलवेयर को इंजेक्ट करके और उपयोगकर्ताओं की निजी जानकारी चोरी करना।[7]
TOR (नेटवर्क) पर कनेक्शन के लिए एचटीटीपीएस भी महत्वपूर्ण है, क्योंकि दुर्भावनापूर्ण टॉर नोड्स अन्यथा असुरक्षित फैशन में उनके माध्यम से गुजरने वाली सामग्री को नुकसान या बदल सकते हैं और कनेक्शन में मैलवेयर को इंजेक्ट करते हैं। यह कारण है कि इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन और टीओआर परियोजना ने हर जगह एचटीटीपीएस का विकास शुरू किया,[4] जो टोर ब्राउज़र में सम्मलित है।[8] जैसा कि वैश्विक जन निगरानी और अपराधियों को व्यक्तिगत जानकारी चुराने के बारे में अधिक जानकारी सामने आती है, सभी वेबसाइटों पर एचटीटीपीएस सुरक्षा का उपयोग इंटरनेट कनेक्शन के प्रकार की परवाह किए बिना तेजी से महत्वपूर्ण हो रहा है।[9][10] भले ही व्यक्तिगत पृष्ठों के बारे में मेटाडेटा, जो उपयोगकर्ता के दौरे को संवेदनशील नहीं माना जा सकता है, जब एकत्र किया जाता है तो यह उपयोगकर्ता के बारे में बहुत कुछ प्रकट कर सकता है और उपयोगकर्ता की गोपनीयता से समझौता कर सकता है।[11][12][13]
एचटीटीपीएस को तैनात करने से एचटीटीपी/2 (या इसके पूर्ववर्ती, अब-वंचित प्रोटोकॉल स्पाइडी) का उपयोग करने की अनुमति मिलती है, जो कि पेज लोड समय, आकार और विलंबता को कम करने के लिए डिज़ाइन की गई एचटीटीपी की नई पीढ़ी है।
यह एचटीटीपी के साथ एचटीटीपी सख्त परिवहन सुरक्षा (एचएसटीएस) का उपयोग करने की सिफारिश की जाती है जिससे कि उपयोगकर्ताओं को मानव-इन-मध्य अटैक से बचाने के लिए, विशेष रूप से मौक्सी मार्लिन स्पाइक एसएसएल स्ट्रिपिंग।[13][14] एचटीटीपीएस को RFC 2660 में निर्दिष्ट शायद ही कभी उपयोग किए जाने वाले सुरक्षित हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल (S-एचटीटीपी) के साथ भ्रमित नहीं होना चाहिए।
वेबसाइटों में उपयोग
As of April 2018[update], 33.2% एलेक्सा शीर्ष 1,000,000 वेबसाइटों में डिफ़ॉल्ट रूप से एचटीटीपीएस का उपयोग करें,[15] इंटरनेट के 137,971 सबसे लोकप्रिय वेबसाइटों में से 57.1% एचटीटीपीएस का सुरक्षित कार्यान्वयन है,[16] और 70% पेज लोड (फ़ायरफ़ॉक्स टेलीमेट्री द्वारा मापा गया) एचटीटीपीएस का उपयोग करें।[17] चूंकि 2018 में टीएलएस 1.3 की रिलीज के अतिरिक्त, गोद लेना धीमा हो गया है, कई अभी भी पुराने टीएलएस 1.2 प्रोटोकॉल पर बने हुए हैं।[18]
ब्राउज़र एकीकरण
अधिकांश वेब ब्राउज़र चेतावनी प्रदर्शित करते हैं यदि वे अमान्य प्रमाण पत्र प्राप्त करते हैं।पुराने ब्राउज़र, जब अमान्य प्रमाण पत्र के साथ साइट से जुड़ते हैं, तो उपयोगकर्ता को संवाद बॉक्स के साथ पेश करते हुए पूछते हैं कि क्या वे जारी रखना चाहते हैं। नए ब्राउज़र पूरी खिड़की पर चेतावनी प्रदर्शित करते हैं। नए ब्राउज़र भी एड्रेस बार में साइट की सुरक्षा जानकारी को प्रमुखता से प्रदर्शित करते हैं। विस्तारित सत्यापन प्रमाणपत्र प्रमाणपत्र जानकारी पर कानूनी इकाई को दिखाते हैं। अधिकांश ब्राउज़र साइट पर जाने पर उपयोगकर्ता को चेतावनी भी प्रदर्शित करते हैं जिसमें एन्क्रिप्टेड और अनएन्क्रिप्टेड सामग्री का मिश्रण होता है। इसके अतिरिक्त, कई सामग्री-नियंत्रण सॉफ़्टवेयर निषिद्ध वेबसाइटों पर जाने पर सुरक्षा चेतावनी देते हैं।
(विभिन्न प्रकार के एसएसएल/टीएलएस प्रमाणपत्रों के बीच तुलना)
फ़ायरफ़ॉक्स (यहां दिखाया गया है) सहित कई वेब ब्राउज़र उपयोगकर्ता को यह बताने के लिए पता बार का उपयोग करते हैं कि उनका कनेक्शन सुरक्षित है, एक विस्तारित सत्यापन प्रमाणपत्र को प्रमाणपत्र के लिए कानूनी इकाई की पहचान करनी चाहिए।
फ़ायरफ़ॉक्स और अन्य ब्राउज़र के एड्रेस बार पर केवल एक सामान्य प्रमाणपत्र के साथ साइट तक पहुँचने पर, एक "लॉक" चिन्ह दिखाई देता है।
अमान्य सुरक्षा प्रमाणपत्र वाली साइटों पर जाने पर अधिकांश वेब ब्राउज़र उपयोगकर्ता को सचेत करते हैं।
इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन, यह बताते हुए कि आदर्श दुनिया में, प्रत्येक वेब अनुरोध को एचटीटीपीएस के लिए डिफ़ॉल्ट किया जा सकता है, ने मोज़िला फ़ायरफ़ॉक्स, गूगल क्रोम, क्रोमियम (वेब ब्राउज़र), और एंड्रॉइड (ऑपरेटिंग सिस्टम) के लिए हर जगह एचटीटीपीएस नामक ऐड-ऑन प्रदान किया है,जो सैकड़ों बार -बार उपयोग की जाने वाली वेबसाइटों के लिए डिफ़ॉल्ट रूप से एचटीटीपीएस को सक्षम बनाता है।[19][20]
एक वेब ब्राउज़र को केवल एचटीटीपीएस सामग्री को लोड करने के लिए मजबूर करना फ़ायरफ़ॉक्स में संस्करण 83 में शुरू किया गया है।[21] संस्करण 94 से शुरू होकर, गूगल क्रोम सदैव ब्राउज़र की सेटिंग्स में टॉगल होने पर सुरक्षित कनेक्शन का उपयोग करने में सक्षम है।[22][23]
सुरक्षा
एचटीटीपीएस की सुरक्षा अंतर्निहित टीएलएस की है, जो सामान्यतः अल्पकालिक सत्र कुंजी उत्पन्न करने के लिए दीर्घकालिक सार्वजनिक-कुंजी क्रिप्टोग्राफी और निजी कुंजी का उपयोग करती है, जिसका उपयोग तब क्लाइंट और सर्वर के बीच डेटा प्रवाह को एन्क्रिप्ट करने के लिए किया जाता है। X.509 सर्टिफिकेट का उपयोग सर्वर (और कभी -कभी क्लाइंट के साथ -साथ) को प्रमाणित करने के लिए किया जाता है। परिणामस्वरूप, प्रमाणपत्र प्राधिकरण और सार्वजनिक कुंजी प्रमाणपत्र प्रमाण पत्र और उसके मालिक के बीच संबंध को सत्यापित करने के लिए आवश्यक हैं, साथ ही प्रमाण पत्र की वैधता को उत्पन्न करने, हस्ताक्षर करने और प्रशासित करने के लिए किया जाता है। चूंकि यह ट्रस्ट के वेब के माध्यम से पहचान को सत्यापित करने की तुलना में अधिक लाभकारी हो सकता है, 2013 के मास की जाँच के खुलासे ने प्रमाण पत्र अधिकारियों पर ध्यान आकर्षित किया, जो संभावित कमजोर बिंदु के रूप में मानव-इन-द-मिडिल अटैक की अनुमति देता है।[24][25] इस संदर्भ में महत्वपूर्ण संपत्ति आगे की गोपनीयता है, जो यह सुनिश्चित करती है कि अतीत में दर्ज किए गए एन्क्रिप्ट किए गए संचार को पुनर्प्राप्त नहीं किया जा सकता है और भविष्य में लंबे समय तक गुप्त कुंजियों या पासवर्डों को डिक्रिप्ट किया जाना चाहिए। सभी वेब सर्वर आगे गोपनीयता प्रदान नहीं करते हैं।[26][needs update]
एचटीटीपीएस के प्रभावी होने के लिए, साइट को पूरी तरह से एचटीटीपीएस पर होस्ट किया जाना चाहिए। यदि साइट की कुछ सामग्री एचटीटीपी (स्क्रिप्ट या छवियों, उदाहरण के लिए) पर लोड की जाती है, या यदि केवल निश्चित पृष्ठ जिसमें संवेदनशील जानकारी होती है, जैसे कि लॉग-इन पेज, एचटीटीपीएस पर लोड किया जाता है जबकि बाकी साइट लोड की जाती है सादे एचटीटीपी पर, उपयोगकर्ता अटैक और निगरानी के लिए असुरक्षित होगा। इसके अतिरिक्त, एचटीटीपीएस के माध्यम से परोसी जाने वाली साइट पर एचटीटीपी कुकी को सुरक्षित कुकी सक्षम होना चाहिए। उस साइट पर जिस पर संवेदनशील जानकारी हो, उपयोगकर्ता और सत्र हर बार उस साइट को एचटीटीपीएस के अतिरिक्त एचटीटीपी के साथ एक्सेस किया जाएगा।[13]
तकनीकी
एचटीटीपी से अंतर
एचटीटीपीएस यूआरएल एचटीटीपीएस से शुरू होता है और डिफ़ॉल्ट रूप से टीसीपी और यूडीपी पोर्ट नंबर 443 की सूची का उपयोग करें, जबकि, एचटीटीपी यूआरएल एचटीटीपी से शुरू होता है और डिफ़ॉल्ट रूप से पोर्ट 80 का उपयोग करता है।
एचटीटीपी को एन्क्रिप्ट नहीं किया गया है और इस प्रकार यह मानव-इन-द-मिडिल और ईव्सड्रॉपिंग अटैक के लिए असुरक्षित है, जो हमलावरों को वेबसाइट खातों और संवेदनशील जानकारी तक पहुंच प्राप्त कर सकता है, और मैलवेयर या विज्ञापनों को इंजेक्ट करने के लिए वेबपेजों को संशोधित कर सकता है। एचटीटीपीएस को इस तरह के अटैक का सामना करने के लिए डिज़ाइन किया गया है और उन्हें उनके विरुद्ध सुरक्षित माना जाता है (एचटीटीपीएस कार्यान्वयन के अपवाद के साथ जो एसएसएल के पदावनति संस्करणों का उपयोग करते हैं)।
नेटवर्क परतें
एचटीटीपी टीसीपी/आईपी मॉडल की उच्चतम परत पर संचालित होता है- एप्लिकेशन लेयर;जैसा कि ट्रांसपोर्ट लेयर सिक्योरिटी प्रोटोकॉल (एक ही परत के कम सबलेयर के रूप में कार्य कर रहा है), जो ट्रांसमिशन से पहले एचटीटीपी संदेश को एन्क्रिप्ट करता है और आगमन पर संदेश को डिक्रिप्ट करता है। सख्ती से, एचटीटीपीएस अलग प्रोटोकॉल नहीं है, लेकिन एन्क्रिप्शन एसएसएल/टीएलएस कनेक्शन पर साधारण एचटीटीपी के उपयोग को संदर्भित करता है।
एचटीटीपीएस एचटीटीपी हेडर और अनुरोध/प्रतिक्रिया डेटा सहित सभी संदेश सामग्री को एन्क्रिप्ट करता है। नीचे दिए गई सीमें के अनुभागों में वर्णित संभावित चुने हुए-सिफर्टेक्स्ट अटैक क्रिप्टोग्राफिक अटैक के अपवाद के साथ, हमलावर को यह पता लगाने में सक्षम होना चाहिए कि दो दलों के बीच कनेक्शन हो रहा है, साथ ही उनके डोमेन नाम और आईपी पते भी हैं।
सर्वर सेटअप
एचटीटीपीएस कनेक्शन स्वीकार करने के लिए वेब सर्वर तैयार करने के लिए, व्यवस्थापक को वेब सर्वर के लिए सार्वजनिक कुंजी प्रमाण पत्र बनाना होगा। इस प्रमाणपत्र को वेब ब्राउज़र के लिए विश्वसनीय प्रमाणपत्र प्राधिकरण द्वारा बिना किसी चेतावनी के स्वीकार करने के लिए हस्ताक्षरित किया जाना चाहिए। प्राधिकरण प्रमाणित करता है कि प्रमाणपत्र धारक वेब सर्वर का ऑपरेटर है जो इसे प्रस्तुत करता है। वेब ब्राउज़रों को सामान्यतः रूट प्रमाणपत्र की सूची के साथ वितरित किया जाता है जिससे कि वे उनके द्वारा हस्ताक्षरित प्रमाणपत्रों को सत्यापित कर सकें।
अधिग्रहण प्रमाण पत्र
कई वाणिज्यिक प्रमाणपत्र प्राधिकरण सम्मलित हैं, जो कि विस्तारित सत्यापन प्रमाणपत्रों सहित कई प्रकारों के एसएसएल/टीएलएस प्रमाणपत्रों के लिए भुगतान की प्रस्तुति करते हैं।
आइए एन्क्रिप्ट, अप्रैल 2016 में लॉन्च किए गए,[27] मुफ्त और स्वचालित सेवा प्रदान करता है जो वेबसाइटों को मौलिक एसएसएल/टीएलएस प्रमाणपत्र प्रदान करता है।[28] इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के अनुसार, आइए एन्क्रिप्ट कमांड जारी करने के रूप में, या बटन पर क्लिक करने के रूप में एचटीटीपी से एचटीटीपीएस में स्विचिंग करेंगे।[29] अधिकांश वेब होस्ट और क्लाउड प्रदाताओं ने अब लीवरेज का लाभ उठाते हैं, अपने ग्राहकों को मुफ्त प्रमाण पत्र प्रदान करते हैं।
एक्सेस कंट्रोल के रूप में उपयोग करें
सिस्टम का उपयोग क्लाइंट प्रमाणीकरण के लिए भी किया जा सकता है जिससे कि अधिकृत उपयोगकर्ताओं को वेब सर्वर तक पहुंच को सीमित किया जा सके। ऐसा करने के लिए, साइट व्यवस्थापक सामान्यतः प्रत्येक उपयोगकर्ता के लिए प्रमाण पत्र बनाता है, जिसे उपयोगकर्ता अपने ब्राउज़र में लोड करता है। सामान्यतः, प्रमाण पत्र में अधिकृत उपयोगकर्ता का नाम और ई-मेल पता होता है और उपयोगकर्ता की पहचान को सत्यापित करने के लिए प्रत्येक कनेक्शन पर सर्वर द्वारा स्वचालित रूप से चेक किया जाता है, संभवतः पासवर्ड की आवश्यकता के बिना भी।
निजी कुंजी की स्थिति में
इस संदर्भ में महत्वपूर्ण संपत्ति आगे की गोपनीयता (पीएफएस) है। एचटीटीपीएस सत्र को स्थापित करने के लिए उपयोग किए जाने वाले दीर्घकालिक असममित गुप्त कुंजियों में से को रखने से अल्पकालिक सत्र कुंजी को प्राप्त करना आसान नहीं होना चाहिए, फिर बातचीत को डिक्रिप्ट करने के लिए, यहां तक कि बाद के समय में भी इसका उपयोग किया जाता था। डिफी -हेलमैन की एक्सचेंज (डीएचई) और इलिप्टिक कर्व डिफी -हेलमैन की एक्सचेंज (ईसीडीएचएच) 2013 में एकमात्र योजनाएं हैं जिन्हें उस संपत्ति के लिए जाना जाता है। 2013 में, फ़ायरफ़ॉक्स, ओपेरा और क्रोमियम ब्राउज़र सत्रों के केवल 30% ने इसका उपयोग किया, और लगभग 0% Apple के सफारी (वेब ब्राउज़र) और इंटरनेट एक्सप्लोरर सत्र।[26]टीएलएस 1.3, अगस्त 2018 में प्रकाशित, आगे की गोपनीयता के बिना सिफर के लिए समर्थन गिरा दिया। As of February 2020[update], 96.6% वेब सर्वर ने सर्वेक्षण किया, आगे की गोपनीयता के कुछ रूप का समर्थन किया, और 52.1% अधिकांश ब्राउज़रों के साथ आगे की गोपनीयता का उपयोग करेंगे।[30]
प्रमाण पत्र निरसन
उदाहरण के लिए, यह समाप्त होने से पहले प्रमाण पत्र रद्द किया जा सकता है, क्योंकि निजी कुंजी की गोपनीयता से समझौता किया गया है। फ़ायरफ़ॉक्स जैसे लोकप्रिय ब्राउज़रों के नए संस्करण,[31] ओपेरा (वेब ब्राउज़र),[32] और विंडोज विस्टा पर इंटरनेट एक्सप्लोरर[33] यह सत्यापित करने के लिए ऑनलाइन प्रमाणपत्र स्थिति प्रोटोकॉल (OCSP) को लागू करें कि यह स्थिति नहीं है। ब्राउज़र सर्टिफिकेट के सीरियल नंबर को सर्टिफिकेट अथॉरिटी या उसके प्रतिनिधि को OCSP (ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल) के माध्यम से भेजता है और प्राधिकरण ने प्रतिक्रिया दी, ब्राउज़र को यह बताता है कि प्रमाण पत्र अभी भी मान्य है या नहीं।[34] सीए लोगों को यह बताने के लिए प्रमाणपत्र निरस्तीकरण सूची भी जारी कर सकता है कि ये प्रमाण पत्र निरस्त कर दिए गए हैं। सीआरएल अब सीए/ब्राउजर फोरम द्वारा आवश्यक नहीं हैं,[35] फिर भी, वे अभी भी सीएS द्वारा व्यापक रूप से उपयोग किए जाते हैं। प्रमाणपत्रों की समाप्ति के तुरंत बाद इंटरनेट पर अधिकांश निरसन की स्थिति विलुप्त हो जाती है।[36]
सीमाएँ
एसएसएल (सुरक्षित सॉकेट लेयर) और टीएलएस (ट्रांसपोर्ट लेयर सिक्योरिटी) एन्क्रिप्शन को दो मोड में कॉन्फ़िगर किया जा सकता है: सरल और पारस्परिक। सरल मोड में, प्रमाणीकरण केवल सर्वर द्वारा किया जाता है।पारस्परिक संस्करण को उपयोगकर्ता को उपयोगकर्ता प्रमाणीकरण के लिए वेब ब्राउज़र में व्यक्तिगत क्लाइंट प्रमाणपत्र स्थापित करने की आवश्यकता होती है।[37] इस स्थिति में, सुरक्षा का स्तर सॉफ़्टवेयर के कार्यान्वयन और उपयोग में सिफर के कार्यान्वयन की शुद्धता पर निर्भर करता है।
एसएसएल/टीएलएस वेब क्रॉलर द्वारा साइट के अनुक्रमण को नहीं रोकता है, और कुछ स्थितियों में एन्क्रिप्टेड संसाधन के समान संसाधन पहचानकर्ता को केवल इंटरसेप्टेड अनुरोध/प्रतिक्रिया आकार जानकर अनुमान लगाया जा सकता है।[38] यह हमलावर को प्लेनटेक्स्ट (सार्वजनिक रूप से उपलब्ध स्थिर सामग्री), और सिफरटेक्स्ट (स्थैतिक सामग्री के एन्क्रिप्टेड संस्करण) तक पहुंचने की अनुमति देता है, जो चुने हुए-सिफर्टेक्स्ट अटैक की अनुमति देता है।
क्योंकि परिवहन परत सुरक्षा एचटीटीपी के नीचे प्रोटोकॉल स्तर पर संचालित होती है और उच्च-स्तरीय प्रोटोकॉल का कोई ज्ञान नहीं है, टीएलएस सर्वर केवल किसी विशेष पते और पोर्ट संयोजन के लिए प्रमाण पत्र प्रस्तुत कर सकते हैं।[39] अतीत में, इसका मतलब यह था कि एचटीटीपीएस के साथ वर्चुअल होस्टिंग नेम आधारित वर्चुअल होस्टिंग का उपयोग करना संभव नहीं था। सर्वर नेम इंडिकेशन (एसएनआई) नामक समाधान सम्मलित है, जो कनेक्शन को एन्क्रिप्ट करने से पहले सर्वर को होस्टनाम भेजता है, चूंकि कई पुराने ब्राउज़र इस एक्सटेंशन का समर्थन नहीं करते हैं।SNI के लिए समर्थन फ़ायरफ़ॉक्स 2, ओपेरा (वेब ब्राउज़र) 8, सफारी (वेब ब्राउज़र) 2.1, गूगल क्रोम 6, और इंटरनेट एक्सप्लोरर 7 विंडोज विस्टा पर उपलब्ध है।[40][41][42] एक वास्तुशिल्प दृष्टिकोण से:
- एक एसएसएल/टीएलएस कनेक्शन पहले फ्रंट मशीन द्वारा प्रबंधित किया जाता है जो टीएलएस कनेक्शन शुरू करता है। यदि, किसी भी कारण (रूटिंग, ट्रैफ़िक अनुकूलन, आदि) के लिए, यह फ्रंट मशीन एप्लिकेशन सर्वर नहीं है और इसे डेटा को समझना है, तो समाधान सर्वर को उपयोगकर्ता प्रमाणीकरण जानकारी या प्रमाण पत्र का प्रचार करने के लिए समाधान मिल जाएंगे, जिसे आवश्यकता हैपता है कि कौन जुड़ा हुआ है।
- पारस्परिक प्रमाणीकरण के साथ एसएसएल/टीएलएस के लिए, एसएसएल/टीएलएस सत्र पहले सर्वर द्वारा प्रबंधित किया जाता है जो कनेक्शन शुरू करता है।उन स्थितियों में जहां एन्क्रिप्शन को जंजीर सर्वर के साथ प्रचारित किया जाना है, सत्र टाइमआउट प्रबंधन को लागू करने के लिए बेहद मुश्किल हो जाता है।
- सुरक्षा पारस्परिक एसएसएल/टीएलएस के साथ अधिकतम है, लेकिन क्लाइंट-साइड पर एसएसएल/टीएलएस कनेक्शन को ठीक से समाप्त करने का कोई तरीका नहीं है और सभी संबंधित क्लाइंट एप्लिकेशन को समाप्त करने के लिए सर्वर सत्र की प्रतीक्षा करने के अतिरिक्त उपयोगकर्ता को डिस्कनेक्ट करते हैं।
एसएसएल स्ट्रिपिंग नामक परिष्कृत प्रकार का मैन-इन-द-मिडिल अटैक 2009 ब्लैक हैट ब्रीफिंग में प्रस्तुत किया गया था। इस प्रकार का हमला एचटीटीपीएस द्वारा प्रदान की गई सुरक्षा को बदलकर बदल देता है https: में लिंक http: लिंक, इस तथ्य का लाभ उठाते हुए कि कुछ इंटरनेट उपयोगकर्ता वास्तव में एचटीटीपीएस को अपने ब्राउज़र इंटरफ़ेस में टाइप करते हैं: वे लिंक पर क्लिक करके सुरक्षित साइट पर जाते हैं, और इस तरह यह सोचकर मूर्ख बनाया जाता है कि वे एचटीटीपीएस का उपयोग कर रहे हैं जब वास्तव में वे एचटीटीपी का उपयोग कर रहे हैं। हमलावर तब ग्राहक के साथ स्पष्ट रूप से संवाद करता है।[43] इसने एचटीटीपी में एचटीटीपी सख्त परिवहन सुरक्षा नामक प्रतिवाद के विकास को प्रेरित किया।
एचटीटीपीएस को ट्रैफ़िक विश्लेषण अटैक की श्रृंखला के लिए असुरक्षित दिखाया गया है। ट्रैफ़िक विश्लेषण अटैक प्रकार का साइड-चैनल हमला है जो एन्क्रिप्टेड ट्रैफ़िक के बारे में गुणों का अनुमान लगाने के लिए ट्रैफ़िक के समय और आकार में भिन्नता पर निर्भर करता है। ट्रैफ़िक विश्लेषण संभव है क्योंकि एसएसएल/टीएलएस एन्क्रिप्शन ट्रैफ़िक की सामग्री को बदलता है, लेकिन ट्रैफ़िक के आकार और समय पर कम से कम प्रभाव पड़ता है। मई 2010 में, माइक्रोसॉफ्ट रिसर्च और इंडियाना यूनिवर्सिटी ब्लूमिंगटन के शोधकर्ताओं के शोध पत्र ने पाया कि विस्तृत संवेदनशील उपयोगकर्ता डेटा को पैकेट आकार जैसे साइड चैनलों से अनुमान लगाया जा सकता है। शोधकर्ताओं ने पाया कि, हेल्थकेयर, कराधान, निवेश और वेब खोज में कई हाई-प्रोफाइल, टॉप-ऑफ-द-लाइन वेब अनुप्रयोगों में एचटीटीपीएस सुरक्षा के अतिरिक्त, ईव्सड्रॉपर उपयोगकर्ता की बीमारियों/दवाओं/सर्जरी का अनुमान लगा सकता है, उसकी/उसकी पारिवारिक आय, और निवेश के लिए रहस्यमय हैं।[44] यद्यपि इस कार्य ने ट्रैफ़िक विश्लेषण के लिए एचटीटीपीएस की भेद्यता का प्रदर्शन किया, लेखकों द्वारा प्रस्तुत दृष्टिकोण को मैनुअल विश्लेषण की आवश्यकता थी और विशेष रूप से एचटीटीपीएस द्वारा संरक्षित वेब अनुप्रयोगों पर ध्यान केंद्रित किया गया था।
तथ्य यह है कि गूगल, याहू!, और अमेज़ॅन सहित अधिकांश आधुनिक वेबसाइटें, एचटीटीपीएस का उपयोग करती हैं, कई उपयोगकर्ताओं के लिए समस्याओं का कारण बनती हैं, जो सार्वजनिक वाई-फाई हॉट स्पॉट तक पहुंचने की प्रयास कर रहे हैं, क्योंकि वाई-फाई हॉट स्पॉट लॉगिन पेज लोड करने में विफल रहता है यदि उपयोगकर्ता की प्रयास करता है तो उपयोगकर्ता लोड करने में विफल रहता है। एचटीटीपीएस संसाधन खोलें।[45] कई वेबसाइटें, जैसे neverएसएसएल.com, गारंटी देते हैं कि वे सदैव एचटीटीपी द्वारा सुलभ रहेंगे।[46]
इतिहास
नेटस्केप कम्युनिकेशंस ने 1994 में अपने नेटस्केप नेविगेटर वेब ब्राउज़र के लिए एचटीटीपीएस बनाया।[47] मूल रूप से, एचटीटीपीएस का उपयोग सुरक्षित सॉकेट लेयर प्रोटोकॉल के साथ किया गया था। जैसा कि एसएसएल ट्रांसपोर्ट लेयर सिक्योरिटी (टीएलएस) में विकसित हुआ, एचटीटीपीएस को औपचारिक रूप से RFC 2818 द्वारा मई 2000 में निर्दिष्ट किया गया था। गूगल ने फरवरी 2018 में घोषणा की कि इसका क्रोम ब्राउज़र एचटीटीपी साइटों को जुलाई 2018 के बाद सुरक्षित नहीं करेगा।[48] यह कदम वेबसाइट के मालिकों को एचटीटीपीएस को लागू करने के लिए प्रोत्साहित करना था, जो कि वर्ल्ड वाइड वेब को अधिक सुरक्षित बनाने के प्रयास के रूप में था।
यह भी देखें
- परिवहन परत सुरक्षा
- इंटरप्लेनेटरी फाइल सिस्टम - एचटीटीपीएस को बदल सकता है
- बुलरुन (डिक्रिप्शन प्रोग्राम) – अमेरिकी राष्ट्रीय सुरक्षा एजेंसी द्वारा संचालित गुप्त एंटी-एन्क्रिप्शन कार्यक्रम
- कंप्यूटर सुरक्षा
- एचटीटीपी सख्त परिवहन सुरक्षा
- अवसरवादी एन्क्रिप्शन
- स्टंटल
संदर्भ
- ↑ "HTTPS के साथ अपनी साइट को सुरक्षित करें". Google Support. Google Inc. Archived from the original on 1 March 2015. Retrieved 20 October 2018.
- ↑ "HTTPS क्या है?". Comodo CA Limited. Archived from the original on 12 February 2015. Retrieved 20 October 2018.
हाइपर टेक्स्ट ट्रांसफर प्रोटोकॉल सिक्योर (HTTPS) HTTP का सुरक्षित संस्करण है [...]
- ↑ "https URI Scheme". HTTP शब्दार्थ. IETF. June 2022. sec. 4.2.2. doi:10.17487/RFC9110. RFC 9110.
- ↑ Jump up to: 4.0 4.1 4.2 "Https हर जगह faq". 8 November 2016. Archived from the original on 14 November 2018. Retrieved 20 October 2018.
- ↑ "वेबसाइटों के लिए डिफ़ॉल्ट प्रोटोकॉल https के उपयोग के आँकड़े, जुलाई 2019". w3techs.com. Archived from the original on 1 August 2019. Retrieved 20 July 2019.
- ↑ "वेब को एन्क्रिप्ट करना". Electronic Frontier Foundation. Archived from the original on 18 November 2019. Retrieved 19 November 2019.
- ↑ "होटल वाईफाई जावास्क्रिप्ट इंजेक्शन". JustInsomnia. 3 April 2012. Archived from the original on 18 November 2018. Retrieved 20 October 2018.
- ↑ The Tor Project, Inc. "टोर ब्राउज़र क्या है?". TorProject.org. Archived from the original on 17 July 2013. Retrieved 30 May 2012.
- ↑ Konigsburg, Eitan; Pant, Rajiv; Kvochko, Elena (13 November 2014). "Https को गले लगाना". The New York Times. Archived from the original on 8 January 2019. Retrieved 20 October 2018.
- ↑ Gallagher, Kevin (12 September 2014). "एनएसए के खुलासे के पंद्रह महीने बाद, HTTPS का उपयोग करने वाले अधिक समाचार संगठन क्यों नहीं हैं?". Freedom of the Press Foundation. Archived from the original on 10 August 2018. Retrieved 20 October 2018.
- ↑ "एक रैंकिंग संकेत के रूप में https". Google Webmaster Central Blog. Google Inc. 6 August 2014. Archived from the original on 17 October 2018. Retrieved 20 October 2018.
आप अपनी साइट को HTTPS (हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल सुरक्षित) के साथ सुरक्षित कर सकते हैं [...]
- ↑ Grigorik, Ilya; Far, Pierre (26 June 2014). "Google I/O 2014 - HTTPS हर जगह". Google Developers. Archived from the original on 20 November 2018. Retrieved 20 October 2018.
- ↑ Jump up to: 13.0 13.1 13.2 "HTTPS को सही तरीके से कैसे तैनात करें". 15 November 2010. Archived from the original on 10 October 2018. Retrieved 20 October 2018.
- ↑ "HTTP सख्त परिवहन सुरक्षा". Mozilla Developer Network. Archived from the original on 19 October 2018. Retrieved 20 October 2018.
- ↑ "शीर्ष 1M वेबसाइटों पर HTTPS उपयोग सांख्यिकी". StatOperator.com. Archived from the original on 9 February 2019. Retrieved 20 October 2018.
- ↑ "क्वालिस एसएसएल लैब्स - एसएसएल पल्स". www.ssllabs.com. 3 April 2018. Archived from the original on 2 December 2017. Retrieved 20 October 2018.
- ↑ "चलो आँकड़ों को एन्क्रिप्ट करते हैं". LetsEncrypt.org. Archived from the original on 19 October 2018. Retrieved 20 October 2018.
- ↑ "टीएलएस 1.3: मजबूत वेब एन्क्रिप्शन को धीमा अपनाना बुरे लोगों को सशक्त बना रहा है". Help Net Security (in English). 2020-04-06. Retrieved 2022-05-23.
- ↑ Eckersley, Peter (17 June 2010). "HTTPS हर जगह फ़ायरफ़ॉक्स एक्सटेंशन के साथ वेब को एन्क्रिप्ट करें". EFF blog. Archived from the original on 25 November 2018. Retrieved 20 October 2018.
- ↑ "हर जगह https।". EFF projects. 7 October 2011. Archived from the original on 5 June 2011. Retrieved 20 October 2018.
- ↑ "फ़ायरफ़ॉक्स में https-only मोड". Retrieved 12 November 2021.
{{cite web}}: CS1 maint: url-status (link) - ↑ "Chrome सुरक्षा और सुरक्षा प्रबंधित करें - Android - Google Chrome सहायता". support.google.com. Retrieved 2022-03-07.
- ↑ "Chrome के HTTPS-FIRST मोड पर हाथ". Techdows (in English). 2021-07-19. Retrieved 2022-03-07.
- ↑ Singel, Ryan (24 March 2010). "कानून प्रवर्तन उपकरण ssl". Wired. Archived from the original on 17 January 2019. Retrieved 20 October 2018.
- ↑ Schoen, Seth (24 March 2010). "नए शोध से पता चलता है कि सरकारें SSL प्रमाणपत्रों को नकली कर सकती हैं". EFF. Archived from the original on 4 January 2016. Retrieved 20 October 2018.
- ↑ Jump up to: 26.0 26.1 Duncan, Robert (25 June 2013). "SSL: आज इंटरसेप्टेड, कल डिक्रिप्टेड". Netcraft. Archived from the original on 6 October 2018. Retrieved 20 October 2018.
- ↑ Cimpanu, Catalin (12 April 2016). "आइए आज लॉन्च किए गए एन्क्रिप्ट, वर्तमान में 3.8 मिलियन डोमेन की सुरक्षा करता है". Softpedia News. Archived from the original on 9 February 2019. Retrieved 20 October 2018.
- ↑ Kerner, Sean Michael (18 November 2014). "चलो एन्क्रिप्ट प्रयास का उद्देश्य इंटरनेट सुरक्षा में सुधार करना है". eWeek.com. Quinstreet Enterprise. Retrieved 20 October 2018.
- ↑ Eckersley, Peter (18 November 2014). "2015 में लॉन्चिंग: पूरे वेब को एन्क्रिप्ट करने के लिए एक प्रमाणपत्र प्राधिकरण". Electronic Frontier Foundation. Archived from the original on 18 November 2018. Retrieved 20 October 2018.
- ↑ Qualys SSL Labs. "एसएसएल पल्स". Archived from the original (3 February 2019) on 15 February 2019. Retrieved 25 February 2019.
- ↑ "मोज़िला फ़ायरफ़ॉक्स गोपनीयता नीति". Mozilla Foundation. 27 April 2009. Archived from the original on 18 October 2018. Retrieved 20 October 2018.
- ↑ "ओपेरा 8 को एफ़टीपी पर लॉन्च किया गया". Softpedia. 19 April 2005. Archived from the original on 9 February 2019. Retrieved 20 October 2018.
- ↑ Lawrence, Eric (31 January 2006). "इंटरनेट एक्सप्लोरर 7 में HTTPS सुरक्षा सुधार 7". Microsoft Docs. Retrieved 24 October 2021.
- ↑ Myers, Michael; Ankney, Rich; Malpani, Ambarish; Galperin, Slava; Adams, Carlisle (20 June 1999). "ऑनलाइन प्रमाणपत्र स्थिति प्रोटोकॉल - OCSP". Internet Engineering Task Force. doi:10.17487/RFC2560. Archived from the original on 25 August 2011. Retrieved 20 October 2018.
{{cite journal}}: Cite journal requires|journal=(help) - ↑ "आधारभूत आवश्यकताएँ". CAB Forum. Retrieved 1 November 2021.
{{cite web}}: CS1 maint: url-status (link) - ↑ Korzhitskii, Nikita; Carlsson, Niklas (2021). इंटरनेट पर निरसन की स्थिति. arXiv:2102.04288.
{{cite book}}:|work=ignored (help)CS1 maint: url-status (link) - ↑ "क्रोम उपकरणों पर क्लाइंट सर्टिफिकेट का प्रबंधन करें - व्यवसाय और शिक्षा के लिए क्रोम". support.google.com. Archived from the original on 9 February 2019. Retrieved 20 October 2018.
- ↑ Pusep, Stanislaw (31 July 2008). "समुद्री डाकू बे अन-एसएसएल" (PDF). Archived (PDF) from the original on 20 June 2018. Retrieved 20 October 2018.
- ↑ "SSL/TLS मजबूत एन्क्रिप्शन: FAQ". apache.org. Archived from the original on 19 October 2018. Retrieved 20 October 2018.
- ↑ Lawrence, Eric (22 October 2005). "इंटरनेट एक्सप्लोरर 7 बीटा 2 में आगामी HTTPS सुधार". Microsoft. Archived from the original on 20 September 2018. Retrieved 20 October 2018.
- ↑ "सर्वर नाम संकेत (एसएनआई)". inside aebrahim's head. 21 February 2006. Archived from the original on 10 August 2018. Retrieved 20 October 2018.
- ↑ Pierre, Julien (19 December 2001). "टीएलएस सर्वर नाम संकेत के लिए ब्राउज़र समर्थन". Bugzilla. Mozilla Foundation. Archived from the original on 8 October 2018. Retrieved 20 October 2018.
- ↑ "SSLSTRIP 0.9". Archived from the original on 20 June 2018. Retrieved 20 October 2018.
- ↑ Shuo Chen; Rui Wang; XiaoFeng Wang; Kehuan Zhang (20 May 2010). "वेब एप्लिकेशन में साइड-चैनल लीक: एक वास्तविकता आज, एक चुनौती कल". Microsoft Research. IEEE Symposium on Security & Privacy 2010. Archived from the original on 22 July 2018. Retrieved 20 October 2018.
- ↑ Guaay, Matthew (21 September 2017). "कैसे एक सार्वजनिक वाई-फाई नेटवर्क लॉगिन पेज को खोलने के लिए मजबूर करने के लिए". Archived from the original on 10 August 2018. Retrieved 20 October 2018.
- ↑ "Neverssl". Archived from the original on 1 September 2018. Retrieved 20 October 2018.
- ↑ Walls, Colin (2005). एंबेडेड सॉफ्टवेयर: काम करता है. Newnes. p. 344. ISBN 0-7506-7954-9. Archived from the original on 9 February 2019. Retrieved 20 October 2018.
- ↑ "एक सुरक्षित वेब यहाँ रहने के लिए है". Chromium Blog. Archived from the original on 24 April 2019. Retrieved 22 April 2019.
बाहरी कड़ियाँ
- RFC 8446: The Transport Layer Secयूआरआईty (टीएलएस) Protocol Version 1.3
