Innledning til TLS: slik sikrer du trafikken mellom brukere og nettsiden din

Stadig mer av livet vårt flyttes over på nettet, fra netthandel til innlogginger og digitale skjemaer. Da blir det ekstra viktig at dataen som sendes mellom brukeren og nettsiden din ikke kan leses eller endres av andre på veien.

TLS er teknologien som beskytter denne trafikken. I denne guiden får du en rolig og konkret forklaring på hva TLS er, hva som faktisk skjer i bakgrunnen og hva du bør vite hvis du driver en nettside eller bare vil forstå sikker nettbruk bedre.

Hva er TLS, helt enkelt forklart?

TLS står for Transport Layer Security og er en sikkerhetsprotokoll som krypterer data som sendes mellom to punkter, typisk mellom nettleseren til en bruker og serveren der nettsiden ligger. Kryptering betyr at innholdet “forvrenges” slik at bare mottakeren som har riktig nøkkel kan lese det.

Når du serhttps://i adresselinjen, er det TLS som jobber i bakgrunnen. Uten TLS sendes data som brukernavn, passord og skjemaopplysninger i klartekst, som i teorien kan leses av alle som klarer å fange opp trafikken.

Hva beskytter TLS egentlig mot?

TLS gjør tre viktige ting for sikkerheten din. Det er lett å tenke at det bare handler om kryptering, men det er bare én del av bildet. I praksis bidrar TLS til:

• Konfidensialitet:Innholdet i trafikken skjules for uvedkommende, for eksempel på åpne Wi-Fi-nett.
• Integritet:Dataen beskyttes mot å bli endret underveis, slik at angripere ikke kan snike inn falsk innhold uten at det oppdages.
• Autentisitet:Nettleseren kan sjekke at den faktisk snakker med riktig server, og ikke en falsk kopi som utgir seg for å være samme nettsted.

Disse tre egenskapene gjør TLS til en grunnmur i sikker kommunikasjon på internett, ikke bare for innlogginger, men for det meste av moderne webtrafikk.

Forskjellen på TLS og SSL

Du har kanskje sett begrepet SSL brukt om det samme. SSL er en eldre forgjenger til TLS, og brukes i dag mest som et “historisk” eller markedsføringsmessig navn. Mange leverandører snakker fortsatt om “SSL-sertifikat”, selv når det teknisk sett er TLS som brukes.

For deg som eier en nettside er det ikke så viktig om leverandøren kaller det SSL eller TLS, så lenge løsningen faktisk støtter moderne TLS-versjoner og oppdaterte krypteringsinnstillinger. Det er selve innstillingene og sertifikatene som avgjør sikkerheten, ikke navnet i reklamen.

Hva er et TLS-sertifikat, og hvorfor trenger du det?

For at TLS skal fungere på en nettside, trenger serveren etsertifikat. Det fungerer omtrent som et digitalt bevis på identitet som er signert av en troverdig tredjepart, kalt en sertifikatutsteder. Nettleseren din stoler på en liste med slike utstedere som er innebygd på forhånd.

Når noen besøker nettsiden din over https, presenterer serveren dette sertifikatet. Nettleseren sjekker da blant annet at sertifikatet er:

• Utstedt av en godkjent utsteder
• Gyldig for domenenavnet som brukes
• Innenfor gyldighetsperioden (ikke utløpt eller trukket tilbake)

Hvis noe av dette ikke stemmer, får brukeren en tydelig advarsel. Det er derfor utløpte eller feilkonfigurerte sertifikater raskt gir problemer for både eiere og besøkende på en nettside.

Slik skjer en TLS-tilkobling i praksis

Det kan virke mystisk at en sikker forbindelse etableres på bare et brøkdels sekund, men prosessen følger et tydelig mønster. I forenklet form skjer omtrent dette når noen går inn på en https-side:

1. Brukeren skriver inn adressen, og nettleseren kobler til serveren.
2. Nettleseren sier hvilke TLS-versjoner og krypteringsmetoder den støtter.
3. Serveren svarer med sine valg av metode og sender sertifikatet sitt.
4. Nettleseren sjekker sertifikatet og godkjenner eller avviser forbindelsen.
5. Hvis alt er OK, blir det enige om hemmelige nøkler som brukes videre i økten.

Resten av kommunikasjonen for den siden går da kryptert med de nøklene som nettleser og server er blitt enige om. Alt dette skjer automatisk uten at brukeren trenger å gjøre noe.

Hva du bør vite hvis du eier en nettside

Selv om mange webhotell håndterer mye av TLS-oppsettet automatisk, er det lurt å forstå noen grunnleggende punkter. De gjør det lettere å feilsøke, stille krav til leverandører og unngå vanlige fallgruver.

Noen viktige ting å ha kontroll på er:

• Gyldighet:Sertifikater har begrenset varighet, ofte måneder. Sørg for automatisk fornyelse, og følg med på varsler fra leverandøren.
• Domenenavn:Sjekk at sertifikatet dekker alle aktuelle adresser, for eksempel bådeeksempel.noogwww.eksempel.no.
• Omadressering:Sørg for at besøk over http automatisk sendes videre til https, slik at all trafikk går kryptert.
• Blandede ressurser:Unngå å laste bilder, skript eller stilark over http på en https-side. Det kan gi advarsler om “usikker” side i nettleseren.

Mange kontrollpanel hos webhotell har egne seksjoner for sikkerhet eller sertifikater. Det kan være lurt å sette av litt tid til å bli kjent med disse innstillingene.

Gratis TLS med Let’s Encrypt og lignende løsninger

For noen år siden var sertifikater ofte noe man betalte en del for, og det ble ofte kun brukt på innloggingssider og nettbutikker. I dag finnes det utbredte ordninger som tilbyr gratis sertifikater, for eksempel Let’s Encrypt, som brukes av mange hostingleverandører.

Poenget med slike ordninger er å gjøre det mulig å giallenettsider kryptert trafikk, ikke bare de som håndterer betalinger. Når sertifikatene kombineres med automatisert fornyelse, kan du ofte sette det opp én gang og la systemet ta seg av resten. Det er likevel lurt å sjekke innimellom at alt fortsatt fungerer som det skal.

Tegn på at TLS ikke er på plass eller er feil satt opp

Både brukere og eiere av nettsider har nytte av å kjenne igjen typiske faresignaler i nettleseren. Det hjelper deg å vite når du bør være ekstra forsiktig eller ta grep i kontrollpanelet ditt.

• Rød advarselsside:Nettleseren sier at tilkoblingen ikke er privat eller sikker. Dette bør tas på alvor, særlig på sider hvor du skriver inn persondata.
• Ikke hengelås, eller hengelås med varsel:Det kan bety at noen ressurser på siden ikke lastes over https, eller at sertifikatet har mindre avvik.
• Feil domenenavn i detaljene:Hvis du sjekker sertifikatet og ser at det er utstedt til et annet domene, kan det tyde på teknisk feilkonfigurasjon, eller i verste fall forsøk på misbruk.

Som eier av nettsiden bør du ved slike symptomer logge inn hos webhotellet, se etter feilmeldinger knyttet til sertifikater og om nødvendig kontakte support. Mange problemer løses med fornyelse eller ved å aktivere https-videresending riktig.

Når holder vanlig TLS, og når trengs mer?

For de fleste informasjonsnettsteder og enkle bedriftssider er standard TLS-oppsett hos et seriøst webhotell tilstrekkelig. Du får kryptert trafikk, gyldige sertifikater og automatisk fornyelse, uten at du trenger avansert sikkerhetskunnskap.

Hvis du derimot driver en større løsning med innlogging, behandling av sensitive data eller integrasjon med andre systemer, kan det være aktuelt å sette seg dypere inn i temaer som HSTS, avanserte sikkerhetsoverskrifter og mer detaljert kontroll på hvilke TLS-versjoner og krypteringsmetoder som tillates. I slike tilfeller kan det være lurt å rådføre seg med fagpersoner og følge oppdaterte anbefalinger fra pålitelige kilder.

Uansett nivå er én ting felles: TLS har gått fra å være “ekstra sikkerhet” til å bli en naturlig del av det å drive en moderne nettside. Litt grunnforståelse av hvordan det fungerer, gjør deg bedre rustet til å ta trygge valg på nett.