Hvad er SSL/TLS, og hvad gør krypteringen?

SSL er en ældre betegnelse, mens TLS er den moderne standard. Når en hjemmeside bruger TLS, opretter den en beskyttet forbindelse mellem din browser (eller app) og serveren. Krypteringen gør, at data ikke bare kan læses af andre, der måtte være i vejen for trafikken, og den hjælper også med at opdage ændringer undervejs.

TLS bruges typisk til at beskytte webtrafik (fx ved “https”), men princippet gælder bredt for enhver forbindelse, hvor protokollen bruges.

Det enkle model: nøgler + certifikat + “hvad nu hvis…”

Tænk TLS som tre lagende funktioner, der arbejder sammen:

  1. Identitet (certifikat): Serveren præsenterer et certifikat, som indeholder oplysninger om serverens identitet og en offentlig nøgle. Din klient kan kontrollere certifikatet (fx via tillid til udstederens signatur) for at reducere risikoen for at tale med den forkerte server.

  2. Aftale om sessionens nøgler: Når identiteten er håndteret, forhandler parterne en fælles måde at oprette de krypteringsnøgler, der skal bruges i den aktuelle session. Det er de nøgler, der bestemmer, hvordan data krypteres og dekrypteres undervejs.

  3. Kryptering og integritet: Når sessionen er i gang, krypteres data, så uvedkommende ikke kan læse dem. Samtidig bruges mekanismer til at sikre integritet, så ændringer i trafikken lettere opdages.

Vigtigt: Kryptering beskytter trafikken mellem klient og server. Den betyder ikke, at alle risici forsvinder på internettet, eller at data er sikre hele vejen fra “afsender til modtager” i alle led.

Hvilke dele af forbindelsen beskyttes?

I praksis beskyttes den data, der sendes over den TLS-sikrede kanal. Det kan være f.eks. webanmodninger og webindhold, som browseren henter, samt eventuelle sessionoplysninger.

TLS handler dog ikke “automatisk” om, hvordan data bruges efterfølgende. Hvis en side beder om følsomme oplysninger, og du afgiver dem, er det stadig dit valg og side-logikken, der afgør, hvad der sker. TLS gør primært det, der sker på forbindelsen, sværere at aflytte eller manipulere.

Forskelle og grænser: hvornår TLS ændrer sig, og hvornår det ikke er nok

Der findes forskellige TLS-versioner og forskellige konfigurationer (fx hvilke krypteringsmåder der bruges). Resultatet kan derfor variere, afhængigt af serverens og klientens understøttelse. Nogle versioner eller opsætninger kan være mindre robuste end andre, så det er relevant at forstå, at “TLS” ikke er én enkelt, altid ens situation.

Derudover er der praktiske begrænsninger:

  • Certifikat-check er afgørende. Hvis du aldrig får en korrekt certifikatverificering, mister du meget af idéen med identitetskontrollen.
  • Trafikbeskyttelse ≠ sikkerhed i alle led. TLS beskytter den transporterede data, men påvirker ikke risici som ondsindet indhold på den server, du faktisk har kontakt med.
  • Klientens og brugerens handlinger betyder noget. Hvis browseren eller systemet er kompromitteret, kan kryptering på netværket ikke nødvendigvis redde situationen.

Sådan kan du selv kontrollere, at TLS fungerer som forventet

Du kan typisk se, at en side bruger TLS via browserens visning (ofte et hængelås-ikon og URL med “https”). Mere konkret kan du kontrollere to ting:

  1. Om der faktisk er en TLS-forbindelse (ikke kun en URL, men at forbindelsen er sikret i browseren).
  2. Om certifikatstatus og identitet virker korrekt (hvilket normalt fremgår af browserens certifikatinformation).

Hvis du får advarsler om certifikater, udløb eller manglende tillid, er det et tegn på, at identitetsdelen ikke står korrekt, og så ændrer risikoopfattelsen sig.

Hvis du vil vurdere robustheden yderligere, er det ofte nødvendigt at se på serverens konkrete TLS-konfiguration (fx hvilke versioner og krypteringsmetoder der forhandles). Det kan ikke altid ses direkte i standard browservisning, og detaljer afhænger af opsætning og miljø. Derfor er det en god idé at være tilbageholdende med antagelser, hvis du ikke kan se eller måle de underliggende valg.