Rularea mai multor site-uri web HTTPS sub aceeași adresă IP este o practică normală în prezent. Dar nu a fost întotdeauna așa. Inițial, aveați nevoie de o adresă IP dedicată pentru fiecare domeniu pe care doreați să îl securizați. Cu toate acestea, apariția indicatorului de nume de server (SNI) a schimbat întregul peisaj SSL. În acest articol, vă explicăm ce este SNI, cum funcționează și de ce ați putea avea nevoie de el. Pentru a înțelege mai bine întregul proces, trebuie să facem un pas înapoi în timp, înainte de crearea SNI.
Cuprins
- Înainte de SNI: Gazdele bazate pe nume și neconcordanța lor cu HTTPS
- Ce este SNI?
- De ce să folosiți SNI?
- Cum funcționează SNI?
- Care sunt avantajele SNI?
- Care sunt diferențele dintre SNI și SAN?
- Certificatele Wildcard vs. Certificatele SNI
- Ce browsere acceptă SNI?
- Există dezavantaje la SNI?
- De ce nu este SNI mai răspândită?
- Ce este SNI criptat (ESNI)?
Înainte de SNI: Gazdele bazate pe nume și neconcordanța lor cu HTTPS
În urmă cu mai bine de un deceniu, doar o mică parte dintre site-urile web foloseau protocolul HTTPS. HTTP era încă rege. În prezent, dacă doriți să găzduiți mai multe site-uri web HTTP pe aceeași adresă IP, puteți utiliza gazde bazate pe nume. De exemplu, dacă executați trei site-uri HTTP pe aceeași adresă IP, atunci când un utilizator se conectează la un anumit site, acesta utilizează un antet HTTP unic care conține numele de gazdă. Ca răspuns, serverul dumneavoastră identifică și se potrivește cu acest antet și trimite utilizatorului destinația dorită.
Această abordare funcționează până când HTTPS intră în ecuație, apoi nu mai funcționează. Deoarece SSL/TLS necesită o strângere de mână pentru a stabili o conexiune sigură între un client și un server, antetul HTTP cu numele de gazdă necesar nu poate fi descărcat înainte ca strângerea de mână să fie finalizată. Serverul pur și simplu nu știe la ce site web să se potrivească și să trimită utilizatorul. Aici intervine SNI pentru a vă salva.
Ce este SNI?
SNI este o extensie a protocolului TLS (Transport Layer Security) care permite mai multor site-uri web să partajeze aceeași adresă IP. Acesta permite serverelor web să găzduiască mai multe certificate SSL/TLS pe același IP, un beneficiu esențial pentru site-urile care utilizează HTTPS pentru a-și cripta comunicarea cu utilizatorii.
Acum, știm cu toții că TLS este protocolul criptografic care securizează datele sensibile în timpul transportului (dacă nu știți, iată o scurtă prezentare tehnică a certificatelor SSL/TLS), dar, de unul singur, în anumite situații, TLS este departe de a fi perfect. O astfel de situație esențială este rularea mai multor certificate SSL pe aceeași adresă IP. TLS nu poate face asta decât dacă primește puțin ajutor de la o extensie.
La fel cum extensiile browserului dvs. adaugă mai multe caracteristici și funcționalități mai bune, SNI este o extensie a protocolului TLS/SSL care permite utilizatorilor să găzduiască mai multe certificate SSL pe o singură adresă IP. SNI face acest lucru prin inserarea antetului HTTP în handshake-ul SSL/TLS.
Înainte ca SNI să devină o extensie TLS în 2003, fiecare site web pe care doreați să îl criptați avea nevoie de o adresă IP unică. Acest lucru a dus la costuri uriașe, dar, ceea ce este mai îngrijorător, la un consum rapid de adrese IP IPv4. Adresele IP unice nu sunt infinite. De exemplu, protocolul Internet versiunea 4 are aproximativ patru miliarde de adrese.
Înainte de apariția SNI, existau îngrijorări reale că adresele IPv4 se vor epuiza înainte de sosirea noului IPv6. SNI a reușit să atenueze aceste temeri și să încetinească epuizarea IPv4. În altă ordine de idei, IPv6 are aproximativ 340 de miliarde de adrese. Asta înseamnă 340 urmat de 36 de zerouri. O astfel de sumă ar trebui să fie suficientă pentru viitorul previzibil.
De ce să folosiți SNI?
SNI permite proprietarilor de site-uri web să securizeze comunicațiile cu utilizatorii și clienții lor, facilitând gestionarea certificatelor SSL. Fără SNI, fiecare site web ar avea nevoie de o adresă IP unică pentru a utiliza criptarea HTTPS, ceea ce ar putea fi costisitor pentru întreprinderile mici și companiile cu un buget limitat.
SNI facilitează, de asemenea, gestionarea site-urilor web, deoarece serverele web pot găzdui acum mai multe certificate SSL/TLS pe aceeași adresă IP. Acest lucru înseamnă că proprietarii de site-uri web pot adăuga sau elimina cu ușurință site-uri web din conturile lor de găzduire.
Cum funcționează SNI?
Atunci când vizitați un site web prin HTTPS, browserul dvs. și serverul site-ului web trebuie să stabilească o conexiune securizată prin handshake SSL/TLS. În timpul acestui proces, browserul web trimite un mesaj către server care include numele de gazdă al site-ului web.
În cazul SNI, numele de gazdă al site-ului web este inclus în mesajul ” Client Hello “, ceea ce permite serverului să selecteze certificatul corect pe care să îl utilizeze în mesajul ” Server Hello “. Ca urmare, serverul poate găzdui mai multe certificate SSL pe aceeași adresă IP.
Majoritatea serverelor web și a browserelor moderne acceptă SNI, dar este posibil ca versiunile mai vechi să nu o facă. În aceste cazuri, este posibil ca browserul web să primească un certificat SSL generic în loc de cel corect, ceea ce poate cauza apariția unor avertismente sau erori.
Care sunt avantajele SNI?
SNI a schimbat întregul peisaj de găzduire în ceea ce privește instalarea și gestionarea certificatelor SSL. Iată care sunt principalele sale avantaje:
- Găzduire multidomeniu. Cu SNI, puteți găzdui și securiza mai multe site-uri web pe un singur server și o singură adresă IP. SNI reduce semnificativ costurile de găzduire și eficientizează gestionarea SSL.
- Flexibilitate. SNI oferă flexibilitatea de a adăuga sau elimina site-uri web de pe un server fără a fi nevoie să reconfigurați serverul sau să obțineți adrese IP suplimentare.
- O mai bună utilizare a resurselor. SNI permite o mai bună utilizare a resurselor, cum ar fi adresele IP, care pot fi rare și costisitoare. Prin găzduirea mai multor site-uri pe același IP, încetiniți epuizarea IPv4 – protocolul de bază care ne ajută să ne conectăm la internet.
Care sunt diferențele dintre SNI și SAN?
Atât SNI, cât și SAN-urile sunt metode de a susține mai multe certificate SSL pe un singur server. Cu toate acestea, ele diferă în ceea ce privește modul în care oferă acest sprijin. Principala diferență între SNI și SAN este că SNI este o tehnologie de partea serverului, în timp ce SAN sunt o caracteristică a certificatului.
După cum știți deja, SNI permite unui server web să găzduiască mai multe certificate pe o singură adresă IP. Atunci când un client se conectează la server, SNI permite serverului să determine ce certificat să utilizeze pe baza numelui de domeniu furnizat de client în cererea inițială.
Pe de altă parte, SAN-urile sunt o caracteristică a certificatelor SSL care permite unui singur certificat să protejeze mai multe nume de domenii în cadrul unei singure instalații. Un certificat SAN include o listă de nume de domenii suplimentare (cunoscute și sub numele de Subject Alternative Names) pe care le puteți proteja cu același certificat.
În ceea ce privește compatibilitatea, majoritatea browserelor și serverelor web moderne acceptă SNI și SAN. Cu toate acestea, unele sisteme existente ar putea fi incompatibile cu acestea.
Certificatele Wildcard vs. Certificatele SNI
Un certificat Wildcard SSL securizează un domeniu și toate subdomeniile sale (nelimitat) sub un singur certificat SSL. Wildcard este o altă caracteristică a certificatelor SSL, la fel ca și SAN-urile. Este convenabil și eficient din punct de vedere al costurilor să obțineți o opțiune Wildcard SSL dacă site-ul dvs. are mai multe subdomenii, cum ar fi new. yourwebsite .com sau blog.yourwebsite.com.
Certificatele SNI nu există, deoarece SNI nu este o caracteristică intrinsecă a certificatelor SSL, ci o extensie TLS pe partea serverului. Dacă serverul dvs. acceptă SNI, puteți adăuga orice tip de SSL pe mai multe domenii cu aceeași adresă IP.
Ce browsere acceptă SNI?
SNI este acum compatibil cu 99% dintre browsere și cu toate sistemele de servere majore. Chrome, Mozilla, Opera, Safari și alte browsere mai puțin cunoscute sunt compatibile cu SNI. Puteți implementa SNI pe Apache, Nginx, Ubuntu, Debian, CentOS și multe alte sisteme populare. Unele dintre bibliotecile care acceptă SNI sunt Open SSL, GnutTLS, Python, Oracle și Java. Ori de câte ori trebuie să securizați mai multe site-uri web pe o singură adresă IP, utilizați SNI în avantajul dumneavoastră.
Ce se întâmplă dacă browserul web nu acceptă SNI?
Dacă un browser web nu acceptă SNI, nu va putea stabili o conexiune securizată cu un server care utilizează SNI pentru a găzdui mai multe certificate SSL/TLS. Ca urmare, utilizatorul nu va putea accesa site-ul web. În plus, utilizatorul va primi un mesaj de eroare care indică faptul că site-ul în cauză nu este sigur.
Există dezavantaje la SNI?
Deși SNI are avantaje semnificative, există câteva dezavantaje potențiale. Unul dintre acestea este că SNI poate fi mai lent decât utilizarea unei adrese IP dedicate sau a unei soluții non-SNI. Acest lucru se datorează faptului că serverul trebuie să efectueze un pas suplimentar pentru a identifica certificatul SSL/TLS corect pentru a stabili o conexiune sigură.
Un alt dezavantaj este faptul că nu toate browserele web și serverele acceptă SNI. Dacă folosiți un browser sau o platformă veche, este posibil să vă confruntați cu probleme de compatibilitate, ceea ce poate duce la erori sau vulnerabilități de securitate.
De ce nu este SNI mai răspândită?
Unele organizații preferă să utilizeze adrese IP dedicate din motive de securitate. Aceste măsuri pot oferi protecție suplimentară împotriva atacurilor cibernetice, cum ar fi IP spoofing-ul. Multe sisteme vechi nu acceptă SNI, deci și acest lucru este un factor. Dar, pe măsură ce criptarea devine omniprezentă, implementarea SNI este din ce în ce mai răspândită.
Ce este SNI criptat (ESNI)?
SNI criptat (ESNI) este o nouă tehnologie concepută pentru a aborda unele dintre vulnerabilitățile potențiale de securitate asociate cu SNI. ESNI criptează informațiile SNI astfel încât acestea să nu poată fi interceptate de terți, protejând astfel confidențialitatea utilizatorului și împiedicând atacatorii să spioneze procesul TLS handshake pentru a determina ce site-uri web vizitează utilizatorii.
ESNI nu este încă acceptat pe scară largă de browserele și serverele web.
Ce browsere acceptă ESNI?
În prezent, Firefox este singurul browser popular care oferă suport pentru SNI.
Concluzie
Acest articol a acoperit indicarea numelui serverului din toate unghiurile și aspectele. Acum că știți ce este SNI, îl puteți adopta pentru site-urile și proiectele dumneavoastră. Majoritatea sistemelor sunt compatibile cu SNI, deoarece este o extensie esențială în mediul de găzduire web actual. Având în vedere că HTTPS este noul standard web, SNI facilitează migrarea de la protocolul învechit HTTP.
Economisește 10% la certificatele SSL în momentul plasării comenzii!
Eliberare rapidă, criptare puternică, încredere în browser de 99,99%, suport dedicat și garanție de returnare a banilor în 25 de zile. Codul cuponului: SAVE10
