Det du faktisk trenger å vite om TLS for å holde nettsider og e-post trygge

Hver gang du skriver inn et passord, et kortnummer eller sender en viktig e-post, er du avhengig av at dataene ikke kan leses av andre på veien. Her kommer TLS inn i bildet, selv om mange knapt har hørt om det.

I denne guiden får du en rolig og konkret forklaring på hva TLS er, hva det beskytter, og hva du faktisk bør gjøre hvis du driver en nettside eller vil ha tryggere e-post og nettbruk.

Hva er TLS, helt enkelt forklart?

TLS står for Transport Layer Security og er en sikkerhetsprotokoll som krypterer trafikken mellom to punkter, for eksempel mellom nettleseren din og en nettside, eller mellom e-postservere. Kryptering betyr at innholdet gjøres uleselig for andre enn avsender og mottaker.

Du merker TLS i praksis gjennom HTTPS i adressefeltet og hengelås-ikonet ved siden av domenet. Uten TLS ville alt du sender over nett kunne leses i klartekst av alle som klarer å fange opp trafikken.

Hva beskytter TLS faktisk mot?

TLS gir hovedsakelig tre viktige typer beskyttelse, som ofte blandes sammen i begrepet “sikker tilkobling”:

• Konfidensialitet:Innholdet krypteres, så andre ikke kan lese det.
• Integritet:Dataene kan ikke endres usynlig på veien uten at det oppdages.
• Autentisitet:Du får en rimelig trygghet for at du snakker med riktig server, og ikke en falsk kopi.

Dette er spesielt viktig på offentlige Wi-Fi-nett, åpne gjestenett eller delte nettverk der det er lettere å overvåke trafikk eller forsøke å lure brukere til feil server.

Forskjellen mellom TLS, SSL, HTTPS og sertifikater

Mange bruker begreper som TLS, SSL, HTTPS og “SSL-sertifikat” om hverandre. I praksis handler det om samme type teknologi, men med litt ulike roller og historikk.

• SSL:Forgjengeren til TLS, regnes som utdatert, men lever videre i navnet på mange verktøy og menyer.
• TLS:Den moderne standarden som faktisk brukes i dag.
• HTTPS:HTTP med TLS på toppen, altså “vanlig webtrafikk, men kryptert”.
• Sertifikat:En digital “ID” utstedt til et domene som gjør at TLS kan verifisere hvem serveren er.

Når webhotell eller leverandører snakker om “SSL-sertifikat”, er det som regel TLS som brukes i praksis. Det viktigste for deg er at nettstedet ditt har gyldig sertifikat og bruker HTTPS.

TLS i praksis: nettleser, nettsider og e-post

For en vanlig bruker skjer alt TLS-relatert automatisk bak kulissene. Nettleseren sjekker sertifikater, krypterer data og gir deg en advarsel hvis noe er alvorlig galt. Derfor kan du stort sett fokusere på å se etter HTTPS og ta varsler på alvor.

For deg som har egen nettside eller e-postdomene, er det nyttig å forstå litt mer om hva som skjer, slik at du kan ta bedre valg i kontrollpanelet, hos webhotellet eller i DNS-innstillingene.

Slik får du TLS på en nettside med eget domene

For å bruke TLS (og dermed HTTPS) på en nettside, trenger du et TLS-sertifikat utstedt til domenet ditt. I praksis skjer dette ofte automatisk, men det er nyttig å vite hovedtrinnene:

1. Pek domenet til riktig webhotell:DNS-innstillingene må peke til serveren som skal ha sertifikatet.
2. Aktiver sertifikat hos leverandøren:Mange bruker gratisløsninger som Let's Encrypt, som ofte kan slås på i kontrollpanelet.
3. Skru på tvingende HTTPS:Sørg for at alle besøk automatisk omdirigeres fra HTTP til HTTPS.

Hvis sertifikatet ikke fungerer, vil du ofte se feilmeldinger om “ikke privat forbindelse” eller at sertifikatet ikke stemmer med domenet. Da er enten domenet feil konfigurert, sertifikatet ikke gyldig for det domenet, eller sertifikatet har utløpt.

Vanlige TLS-feil og hva de betyr

Når du får en rød advarsel i nettleseren, er det lett å bli usikker. Her er noen typiske feil som er nyttige å kjenne igjen:

• Utløpt sertifikat:Sertifikatet har en sluttdato og må fornyes jevnlig. Mange glemmer dette når automatiske fornyelser feiler.
• Feil domene:Sertifikatet gjelder for et annet domene enn det du besøker, for eksempel kun www.versjonen.
• Usignert eller selvsignert sertifikat:Sertifikatet er ikke utstedt av en anerkjent sertifikatutsteder, som gjør at nettleseren ikke stoler på det.

For en besøker kan dette være et tegn på at noe er feil konfigurert, eller i verste fall at noen forsøker å avskjære trafikken. For en nettstedseier er det et klart råd om å logge inn i kontrollpanelet og sjekke sertifikatstatus.

TLS og e-post: SMTPS, IMAPS og sikker overføring

TLS brukes ikke bare på nettsider. De fleste moderne e-posttjenester bruker også TLS både når du leser e-post og når servere utveksler e-post seg imellom. Dette kan se ut som porter og protokoller som SMTPS, IMAPS eller POP3S i e-postoppsettet ditt.

Når e-postklienten din viser at tilkoblingen er “SSL/TLS” eller “StartTLS”, betyr det at selve forbindelsen mellom deg og e-postserveren er kryptert. Dette beskytter brukernavn, passord og innholdet du henter eller sender fra å leses på veien mellom deg og leverandøren.

Begrensninger: hva TLS ikke løser for deg

Selv om TLS er grunnleggende for sikker kommunikasjon, gjør det ikke alt. Det beskytter forbindelsen, men ikke nødvendigvis endepunktene. Hvis enheten din er infisert av skadevare, er det liten trøst at trafikken videre er kryptert.

TLS hindrer heller ikke at noen sender deg en falsk innloggingsside via phishing. For svindlere er det blitt enkelt å skaffe sertifikat til egne domener, så at en side har hengelås betyr ikke automatisk at den er legitim. Du må fortsatt se på domenenavnet og være kritisk til lenker.

Enkle ting du kan gjøre i hverdagen

Som vanlig bruker holder det lenge å gjøre noen få bevisste valg knyttet til TLS og sikre tilkoblinger:

• Velg e-postleverandør og tjenester som alltid bruker HTTPS som standard.
• Unngå å skrive inn passord på sider som ikke har gyldig hengelås og HTTPS.
• Ta nettleserens sikkerhetsvarsler på alvor, spesielt på offentlige nett.
• Oppdater nettleser og operativsystem jevnlig, slik at nye TLS-versjoner støttes.

Driver du en nettside, er det verdt å bruke noen minutter på å sjekke at domenet ditt har gyldig sertifikat, at alt lastes via HTTPS, og at fornyelse skjer automatisk. Det gir både tryggere besøk for brukerne og bedre tillit til nettstedet ditt.