Сертификация безопасности Web-серверов и Web-узлов

В Интернет иногда приходится заполнять формы, в которых требуется ввести конфиденциальную информацию: пароль, номер паспорта, номер кредитной карточки, адрес и личные данные. Обычно при этом сообщается, что запрошенная информация будет надежно сохранена. Возникает вопрос, можно ли верить таким заверениям и каким образом достигается надежность хранения конфиденциальной информации.

Данные на защищенные серверы должны передаваться и сохраняться там в зашифрованном виде. При запросе конфиденциальной информации сервер должен проверить право пользователя на владение запрашиваемой информацией.

Защищенными называются серверы, у которых есть электронные сертификаты Web-узлов. Сертификат подтверждает подлинность данного Web-узла и гарантирует, что с ним безопасно работать. URL-адреса защищенных Web-узлов начинаются с https://.

При регистрации пользователя на защищенном сервере компьютер пользователя получает с сервера открытый ключ шифрования. С помощью открытого ключа шифруются данные, передаваемые на сервер. Для расшифровки данных необходим закрытый ключ, который хранится на сервере. К зашифрованным данным, передаваемым на сервер, добавляется цифровая подпись компьютера пользователя, автоматически сгенерированная полученным открытым ключом. Использование цифровой подписи гарантирует, что к текущему сеансу обмена данных между клиентом и сервером не сможет подключиться злоумышленник с другого компьютера.

При подключении к защищенному серверу на компьютер клиента автоматически пересылается сертификат этого сервера. Если сертификат не удается проверить, а в обозревателе установлен средний или высокий уровень безопасности работы в Интернет (см. рис. 4.10), будет показано предупреждение о том, что работа с данным сервером может быть небезопасной (рис. 4.15).

Рис. 4.15. Internet Explorer сообщает, что сертификат защищенного Web-узла не удается подтвердить

Цифровой сертификат идентифицирует владельца открытого ключа, переданного с сервера на компьютер клиента. Сертификат содержит также сведения об открытом ключе, его назначении, области применения и организации, выдавшей сертификат. Если Web-сервер был сертифицирован как безопасный, то Internet Explorer покажет в строке состояния значок закрытого замка (рис. 4.16). При попытке передать данные на незащищенный Web-узел будет показано окно предупреждения (рис. 4.17).

Рис. 4.16. Строка состояния Internet Explorer со значком подключения к безопасному Web-серверу

Рис. 4.17. Предупреждение о попытке передачи данных на незащищенный Web-узел

Сертификацией и вопросами безопасности занимаются администраторы Web-серверов. Во время регистрации на сервере провайдера хостинговых услуг вам должно быть предоставлено для ознакомления лицензионное соглашение, в котором указываются требования к содержанию ваших Web-страниц.

Для идентификации своих программных продуктов и документов HTML можно использовать цифровые подписи и личные сертификаты. В отличие от сертификатов Web-узлов, личные сертификаты не гарантируют безопасности документов и программных продуктов. Они используются для подтверждения личности пользователя при передаче через Интернет информации на Web-узел, требующий предоставления сертификатов.

Сертификаты выдаются независимыми коммерческими центрами сертификации, такими, как VeriSign, Inc. Существуют сертификаты нескольких категорий, различающиеся по степени надежности. Для создания личных цифровых подписей документов и закрытых ключей для шифрования данных, передаваемых по сети, часто используется программный пакет PGP. Выгрузить этот пакет и документацию к нему можно с официального Web-узла http://www.pgp.com/,или по адресу http://ftp. vn.ua/pub/win/crypt/.

Итак, в этой главе вы узнали, с чего следует начинать разработку Web-узла. Прежде всего необходимо четко сформулировать несколько основных вопросов, которые вы хотите раскрыть на страницах своего персонального Web-узла. Подумайте, какой аудитории будет интересна ваша информация и в каком виде материалы будут восприняты наилучшим образом. Разработайте макет Web-узла. Побеспокойтесь о безопасности своей работы в Интернет и безопасности посетителей ваших Web-страниц. В следующей главе речь пойдет о планировании отдельных Web-страниц узла.