ความแตกต่างระหว่าง TLS และ SSL คืออะไร?

คุณมักจะเห็นข่าวเกี่ยวกับการละเมิดข้อมูลที่สำคัญ และคุณอาจเริ่มคิดว่าข้อมูลของคุณได้รับการปกป้องอย่างไรเมื่อคุณออนไลน์ เมื่อคุณเยี่ยมชมเว็บไซต์และเริ่มซื้อของที่นั่น ป้อนหมายเลขบัตรเครดิตของคุณและคาดว่าจะได้รับแพ็คเกจของคุณภายในสองสามวัน คุณเคยคิดบ้างไหมว่าการรักษาความปลอดภัยออนไลน์ทำงานอย่างไร

พื้นฐานของความปลอดภัยเครือข่าย

ในรูปแบบพื้นฐานที่สุด การรักษาความปลอดภัยของอินเทอร์เน็ตสามารถทำได้ผ่านชุดคำขอและการตอบสนองระหว่างคอมพิวเตอร์และเว็บไซต์ เมื่อคุณป้อนที่อยู่เว็บลงในเบราว์เซอร์ของคุณ เบราว์เซอร์จะขอให้เว็บไซต์ตรวจสอบความถูกต้อง เว็บไซต์จะตอบกลับด้วยข้อมูลที่เหมาะสม จากนั้นหน้าเว็บจะเปิดขึ้นในเว็บเบราว์เซอร์หลังจากที่ทั้งสองฝ่ายตกลงกัน

คำถามที่ร้องขอและการแลกเปลี่ยนข้อมูลเป็นเรื่องเกี่ยวกับประเภทของการเข้ารหัสที่ใช้ในการถ่ายโอนข้อมูล ข้อมูลคอมพิวเตอร์ และข้อมูลส่วนบุคคลระหว่างเบราว์เซอร์และเว็บไซต์ คำขอและคำตอบเหล่านี้เรียกว่า Handshake และหากไม่มีการ Handshake เกิดขึ้น ไซต์ที่คุณตั้งใจจะเข้าชมจะถือว่าไม่ปลอดภัย

ความแตกต่างระหว่าง HTTP และ HTTPS

HTTP

• กระบวนการทั้งหมดเปิดให้ทุกคน
• ง่ายต่อการติดตั้งและใช้งาน
• ไม่มีการรักษาความปลอดภัยสำหรับรหัสผ่านและข้อมูลขาออก

HTTPS

• เข้ารหัสอย่างสมบูรณ์เพื่อซ่อนข้อมูล
• ต้องการการกำหนดค่าเซิร์ฟเวอร์เพิ่มเติม
• ปกป้องข้อมูลที่ส่งรวมถึงรหัสผ่าน

สิ่งหนึ่งที่คุณอาจสังเกตเห็นเมื่อคุณเยี่ยมชมเว็บไซต์คือ URL บางรายการมี http นำหน้าและบางรายการมี https นำหน้า HTTP ย่อมาจาก Hypertext Transfer Protocol; เป็นโปรโตคอลการส่งผ่านเครือข่ายที่ระบุการส่งข้อมูลที่ปลอดภัยผ่านทางอินเทอร์เน็ต

บางเว็บไซต์ โดยเฉพาะเว็บไซต์ที่คุณจะถูกขอให้ให้ข้อมูลที่ละเอียดอ่อนหรือสามารถระบุตัวตนได้ อาจแสดง https เป็นสีเขียวหรือสีแดงพร้อมขีดเส้นใต้ โดยสีเขียวหมายความว่าเว็บไซต์มีข้อมูลรับรองความปลอดภัยที่ตรวจสอบได้ และสีแดงที่มีการขีดเส้นใต้หมายความว่าเว็บไซต์ไม่มีความปลอดภัย ข้อมูลประจำตัวหรือข้อมูลประจำตัวไม่ถูกต้องหรือหมดอายุ

มีความสับสนอยู่บ้าง: HTTP ไม่ได้หมายความว่าการส่งข้อมูลระหว่างคอมพิวเตอร์และไซต์ได้รับการเข้ารหัส แต่หมายความว่าไซต์ถูกส่งด้วยเบราว์เซอร์ที่มีการตรวจสอบความปลอดภัยที่ใช้งานอยู่เท่านั้น เฉพาะเมื่อมีการรวม S (เช่น HTTPS) ไว้เท่านั้น ข้อมูลจะถูกส่งอย่างปลอดภัย และมีเทคโนโลยีอื่นที่ใช้อยู่ซึ่งช่วยให้สามารถใช้การรักษาความปลอดภัยนี้ได้

ความแตกต่างระหว่าง SSL และ TLS

SSL

• พัฒนาขึ้นครั้งแรกในปี 1995
• เป็นการเข้ารหัสระดับก่อนหน้าสำหรับหน้าเว็บ
• ค่อนข้างย้อนกลับในเว็บที่เติบโตอย่างรวดเร็ว

TLS

• เริ่มต้นด้วย SSL รุ่นที่สาม
• นั่นคือ Transport Layer Security (TLS)
• ปรับปรุงการเข้ารหัสอย่างต่อเนื่องโดยใช้ SSL
• การโจมตีและช่องโหว่ด้านความปลอดภัยรูปแบบใหม่ยังคงถูกเพิ่มเข้ามา

SSL เป็นโปรโตคอลความปลอดภัยเริ่มต้นเพื่อให้แน่ใจว่าข้อมูลเว็บไซต์มีความปลอดภัยระหว่างการส่งข้อมูล ตาม GlobalSign SSL เปิดตัวในปี 1995 ด้วยเวอร์ชัน 2.0 เวอร์ชันแรก 1.0 ไม่เคยเผยแพร่สู่สาธารณะ และเวอร์ชัน 2.0 ถูกแทนที่ในอีกหนึ่งปีต่อมาด้วยเวอร์ชัน 3.0 เพื่อเสริมความแข็งแกร่งให้กับจุดอ่อนในโปรโตคอล

ในปี พ.ศ. 2542 มีการแนะนำ SSL เวอร์ชันอื่นที่เรียกว่า Transport Layer Security (TLS) เพื่อปรับปรุงความเร็วและความปลอดภัยในการส่งข้อมูล TLS เป็นเวอร์ชันที่ใช้อยู่ในปัจจุบันและมักเรียกกันว่า SSL เพื่อความเรียบง่าย

ทำความเข้าใจเกี่ยวกับโปรโตคอล SSL

ประโยชน์

• ซ่อนข้อมูลระหว่างคอมพิวเตอร์และเว็บไซต์
• ปกป้องข้อมูลการเข้าสู่ระบบ
• รับรองความปลอดภัยในการช้อปปิ้งออนไลน์

ข้อเสีย

• ไม่สามารถกำจัดภัยคุกคามทั้งหมดได้
• ไม่ป้องกันไซต์ที่ไม่ใช้ SSL
• ไม่สามารถซ่อนไซต์ที่คุณเยี่ยมชมได้

เมื่อคุณพิจารณาแบ่งปันข้อมูลกับผู้อื่น แสดงว่ามีบุคคลอื่นเข้ามาเกี่ยวข้อง การรักษาความปลอดภัยออนไลน์ทำงานในลักษณะเดียวกัน เพื่อให้การถ่ายโอนข้อมูลปลอดภัยทางออนไลน์ จะต้องมีบุคคลภายนอกเข้ามาเกี่ยวข้อง หาก HTTPS เป็นโปรโตคอลที่เว็บเบราว์เซอร์ใช้เพื่อความปลอดภัย อีกครึ่งหนึ่งที่เหลือของ Handshake จะเป็นโปรโตคอลที่รับรองการเข้ารหัส

การเข้ารหัสเป็นเทคนิคที่ใช้ในการแยกความแตกต่างระหว่างอุปกรณ์สองเครื่องที่ถ่ายโอนข้อมูลผ่านเครือข่าย ทำได้โดยการแปลงอักขระที่รู้จักให้เป็นรหัสสุ่มที่ไม่รู้จัก ซึ่งสามารถแปลงกลับไปเป็นข้อความต้นฉบับโดยใช้คีย์เข้ารหัส การดำเนินการนี้เริ่มต้นผ่านโปรโตคอลที่เรียกว่า Transport Layer Security (SSL)

SSL เป็นเทคโนโลยีที่แปลงข้อมูลระหว่างเว็บไซต์และเบราว์เซอร์ใดๆ ให้เป็นโค้ดแบบสุ่มและย้อนกลับมาอีกครั้ง นี่คือวิธีการทำงาน

• หลังจากเปิดเบราว์เซอร์ คุณต้องป้อนที่อยู่ธนาคารของคุณ
• เว็บเบราว์เซอร์เคาะประตูธนาคารและแนะนำให้คุณรู้จักกับธนาคาร
• ภารโรงตรวจสอบว่าคุณเป็นคนที่คุณบอกว่าคุณเป็นใครและตกลงที่จะให้คุณอยู่ภายใต้เงื่อนไขบางประการ
• เว็บเบราว์เซอร์ยอมรับเงื่อนไขเหล่านี้ จากนั้นคุณจะสามารถเข้าถึงเว็บไซต์ของธนาคารได้

กระบวนการนี้จะทำซ้ำเมื่อคุณป้อนชื่อผู้ใช้และรหัสผ่าน รวมทั้งขั้นตอนเพิ่มเติมอีกสองสามขั้นตอน

• คุณป้อนชื่อผู้ใช้และรหัสผ่านเพื่อเข้าถึงบัญชีของคุณ
• เว็บเบราว์เซอร์ของคุณจะบอกผู้จัดการบัญชีของธนาคารว่าคุณต้องการเข้าถึงบัญชีของคุณ
• หลังจากการสนทนา พวกเขาตกลงว่าหากคุณสามารถให้ข้อมูลประจำตัวที่ถูกต้อง คุณก็จะสามารถเข้าถึงได้ อย่างไรก็ตาม ข้อมูลประจำตัวเหล่านี้จะต้องแสดงในภาษาพิเศษ
• เว็บเบราว์เซอร์และผู้จัดการบัญชีธนาคารตกลงเกี่ยวกับภาษาที่จะใช้ต่อไป
• เว็บเบราว์เซอร์จะแปลงชื่อผู้ใช้และรหัสผ่านของคุณเป็นภาษาพิเศษนั้น และส่งไปยังผู้จัดการบัญชีของธนาคาร
• ผู้จัดการบัญชีได้รับข้อมูล ถอดรหัส และเปรียบเทียบกับบันทึกของพวกเขา
• หากข้อมูลประจำตัวของคุณตรงกัน คุณจะสามารถเข้าถึงบัญชีของคุณได้

กระบวนการทั้งหมดเกิดขึ้นในหน่วยนาโนวินาที (พันล้านวินาที) ดังนั้นคุณจะไม่สังเกตเห็นเวลาที่ใช้ในการสนทนาและการจับมือกันระหว่างเว็บเบราว์เซอร์กับเว็บไซต์

การเข้ารหัส TLS

ประโยชน์

• การเข้ารหัสที่ปลอดภัยยิ่งขึ้น
• การซ่อนข้อมูลระหว่างคอมพิวเตอร์และเว็บไซต์
• กระบวนการจับมือที่ดีขึ้นในการสื่อสารที่เข้ารหัสโปรโตคอล

ข้อเสีย

• ไม่มีการเข้ารหัสที่สมบูรณ์แบบ
• ไม่เข้ารหัส DNS อย่างแข็งขัน
• เข้ากันไม่ได้กับรุ่นเก่ากว่า

การเข้ารหัส TLS ถูกนำมาใช้เพื่อปรับปรุงความปลอดภัยของข้อมูล แต่ SSL เคยเป็นเทคโนโลยีที่ดี แต่การรักษาความปลอดภัยกำลังเปลี่ยนแปลงไปอย่างรวดเร็ว ซึ่งทำให้ต้องการการรักษาความปลอดภัยที่ดีขึ้นและทันสมัยมากขึ้น

TLS เวอร์ชันใดเป็นเวอร์ชันล่าสุด

การเข้ารหัส TLS ยังคงพัฒนาด้วย SSL TLS เวอร์ชันปัจจุบันคือ 1.2 แต่ TLS เวอร์ชัน 1.3 อยู่ในขั้นเริ่มต้น และบางบริษัทและเบราว์เซอร์ได้ใช้โปรโตคอลความปลอดภัยนี้มาระยะหนึ่งแล้ว ในกรณีส่วนใหญ่ พวกเขาจะถอยกลับไปใช้ TLS 1.2 เนื่องจากเวอร์ชัน 1.3 ยังไม่สมบูรณ์แบบ

เมื่อ TLS 1.3 เสร็จสมบูรณ์ จะมีการปรับปรุงความปลอดภัยหลายประการ รวมถึงการรองรับการเข้ารหัสประเภทใหม่ๆ ที่ได้รับการปรับปรุง อย่างไรก็ตาม TLS 1.3 จะลบการสนับสนุนสำหรับโปรโตคอล SSL เวอร์ชันเก่าและเทคโนโลยีความปลอดภัยอื่นๆ ที่ไม่มีประสิทธิภาพเพียงพอที่จะรับรองความปลอดภัยและการเข้ารหัสข้อมูลส่วนบุคคลอย่างเหมาะสม