Защита информации в Opera




Безопасность
[В начало страницы ] [ Индекс] [На главную страницу ]

Opera обеспечивает безопасность и секретность с помощью протокола SSL для Интернет. Этот протокол позволяет пользователю (Вам) и серверу обмениваться данными, оставаясь уверенным (в разумных пределах), что данные не подделаны (безопасность), и что никто посторонний не может понять передаваемую информацию при подслушивании (секретность). Один или оба участника связи могут быть идентифицированы. Передаваемая с помощью протокола информация в настоящее время НЕ может быть использована в качестве материалов для судебного процесса.

Opera осуществляет этот протокол для HTTP с помощью SSL и TLS, и все документы, которые следует загружать при помощи этого протокола, имеют адреса, начинающиеся с https:.

SSL предотвращает прослушивание, шифруя данные, пересылаемые между Вами и сервером. Используемые для этого ключи создаются на основе обмена информацией между Вами и сервером с помощью открытых ключей и сертификатов открытых ключей.

Поддерживаются как SSL версии 2, так и SSL версии 3. Это значит, что Opera совместима со всеми доступными сейчас HTTP серверами с защитой SSL. Она поддерживает так называемый обмен ключами RSA и шифрование методами C2, C4, DES и 3DES, один или несколько из которых используется всеми HTTP серверами с SSL. (C2 и C4 совместимы с методами шифрования RC2 и RC4).

Вы, как пользователь, можете через меню Установки/Безопасность управлять тем, какие защищённые соединения можно производить.

Глоссарий


[В начало страницы ] [ Индекс] [На главную страницу ]

HTTP: Протокол, используемый для передачи документов и файлов через World Wide Web.

HTTPS: HTTP с поддержкой SSL, все передачи данных HTTP осуществляются с помощью протокола SSL.

SSL: Secure Sockets Layer (защита уровня сокетов), протокол, используемый для связи через шифрованное соединение и для удостоверения личности одного или обоих участников (или ни одного). Существует две версии SSL: версия 2 (SSL v2) и версия 3 (SSL v3). SSL v3 гибче и, как считается, обеспечивает лучшую защиту, чем SSL v2.

TLS: Transport Layer Security (защита транспортного уровня). Opera 3.50 была первым коммерческим браузером с поддержкой TLS 1.0, являющегося преемником SSL. TLS в Opera предлагает шифрование глубиной до 128 бит. Фактическая прочность шифра устанавливается самим сайтом, но многие серверы начинают использовать этот усовершенствованный протокол. Эта возможность естественным образом поддерживается в Opera 3.60, предоставляя Вам возможность выбрать, какую из частей протокола Вы хотите разрешить.

Если сайт использует, протокол TLS будет работать (в большинстве случаев).

бит: Одна цифра числа, записанного в двоичной системе, которая используется в компьютерах. Для записи двоичных чисел используются только нули(0) и единицы(1), в отличие от десятичной системы (от нуля до 9), используемой людьми.

байт: Набор из 8 бит. Может представлять значения от 0 до 255 (в оригинале почему-то 256 -- В. М.).

Шифрование: Способ сделать информацию нечитаемой (кодированной) без соответствующих методов расшифровки (декодирования) и информации.

Расшифровка: Способ вновь вернуть нечитаемой (закодированной) информации читаемость с помощью соответствующих методов и информации, необходимых для обратного процесса.

Шифровальные ключи: Секретное число или комбинация чисел, используемые для шифрования и расшифровки данных. Чаще всего они засекречены (смотрите открытый ключ/закрытый ключ в качестве обратного примера). Длина этих ключей задана в битах, и обычно служит мерой сложности подбора ключа или взлома алгоритма.

Открытый ключ: Ключ для шифрования, который не хранится в секрете, так как используется совместно с закрытым ключом. Кто угодно может зашифровать сообщение открытым ключом, зная, что только держатель закрытого ключа сможет его прочесть, и кто угодно может прочесть то, что зашифровано закрытым ключом, зная, что отправить это мог только держатель закрытого ключа.

Закрытый ключ: Ключ для шифрования, который хранится в секрете, и который не следует передавать даже партнёру по связи, так как для этого предназначен открытый ключ. Кто угодно может зашифровать сообщение открытым ключом, зная, что только держатель закрытого ключа сможет его прочесть, и кто угодно может прочесть то, что зашифровано закрытым ключом, зная, что отправить это мог только держатель закрытого ключа.

RSA: Метод шифрования с открытым ключом, названный по имени его изобретателей: Rivest, Shamir и Adleman. Использует простую математику, но очень труден для взлома, так как в его основе лежит использование больших простых чисел.

Методы шифрования с открытым ключом


[В начало страницы ] [ Индекс] [На главную страницу ]

Криптография с открытым ключом -- это метод, в котором используется два ключа: один -- закрытый, известный только Вам, другой -- открытый, который Вы можете послать любому, с кем хотите общаться, или поместить в базу данных.

Некоторые из этих методов работают следующим образом:

То, что зашифровано закрытым ключом, можно расшифровать с помощью открытого ключа, и наоборот, но ничего, зашифрованного открытым ключом, нельзя расшифровать с помощью открытого ключа.

Это значит, что сообщения, зашифрованные *Вашим* закрытым ключом могут быть прочтены всеми, но их получатели будут уверены, что тот, кто их зашифровал, это именно *Вы*. С другой стороны, любой может зашифровать сообщение *Вашим* открытым ключом, будучи уверенным, что *только* *Вы* можете его прочесть, используя для расшифровки Ваш закрытый ключ.

Насколько безопасны эти методы? Вообще-то, методы, используемые сегодня, могут быть взломаны исключительно с помощью "грубой силы", требуемое количество которой зависит от величины числа, использованного в ключе (размера ключа, заданного в количестве бит).

Метод, использованный в Opera, RSA, основан на больших простых числах (числах, которые делятся только на 1 и себя, таких, как 2, 3, 5, 7, 11 и 13), и единственный известный способ взлома закрытого ключа -- перебор огромного количества чисел, что очень дорого с точки зрения трудозатрат (количества вычислений) или оборудования.

Самый длинный ключ такого типа, который был взломан, содержал 428 бит (129 цифр), что потребовало 8 месяцев. Современные методы обычно используют, как минимум, 512 бит (154 цифры), но чаще всего 1024 (308 цифр), и, следовательно, гораздо труднее взламываются; считается, что существующие методы и технологии позволяют взломать 512-битный ключ за год или около того, но работа по взлому удваивается для каждых нескольких цифр.

Существующее правило гласит: больше бит -- прочнее защита. Это значит, используйте 1024 или более бит, если это возможно; Opera сейчас поддерживает ключи до 2048 бит, но некоторые серверы не могут использовать ключи длиннее 1024 бит.

Эти методы обычно требуют очень больших затрат времени, поэтому используются только для передачи небольшого количества данных, обычно содержащих меньше бит, чем сам ключ.

Сертификаты открытых ключей


[В начало страницы ] [ Индекс] [На главную страницу ]

Сертификат открытого ключа -- это запись данных, содержащая определённые сведения о Вас, сервере или издателе сертификата и открытый ключ, который используете Вы или другой хозяин сертификата. Вы можете иметь несколько выданных Вам сертификатов, каждый для отдельного открытого ключа (и связанного с ним закрытого ключа).

Сертификат открытого ключа подразумевает, что закрытый ключ организации, выдавшей сертификат, не скомпрометирован (то есть, не доступен лицам без специального допуска), и что держатель закрытого ключа (Вашего) -- именно тот, чей открытый компонент сертифицирует.

Сертификат подписан издателем с помощью его собственного закрытого ключа. Все сертификаты действительны в течение ограниченного периода времени, обычно года, возможно и дольше, если ключи считаются безопасными.

Ключи издателя сертификатов обычно действительны годами, даже десятилетиями.

Opera поддерживает два вида сертификатов открытого ключа: личные сертификаты, выдаваемые Вам, и сертификаты издателей сертификатов, выдаваемые ими себе или другим издателям. Третий вид, сертификаты серверов, используются только для удостоверения сервера.

Личный сертификат выдаётся издателем сертификатов *Вам* как физическому лицу, Opera не может установить личный сертификат уже выданный другому браузеру, поскольку невозможно получить закрытый ключ, связанный с сертификатом. Установленные сертификаты перечислены в диалоговом окне Установки-Безопасность-Личные.

Сертификаты издателей сертификатов используются для проверки правильности принятых от сервера сертификатов, и для создания набора сертификатов, который клиент может послать по запросу сервера. Эти сертификаты могут быть подписаны другим издателем или автоподписью, то есть, они содержат открытый ключ издателя и подписаны соответствующим закрытым ключом. Эти сертификаты перечислены в диалоговом окне Установки-Безопасность-Общественные, в котором Вы можете выбрать действия, которые будут предприняты, когда сервер посылает сертификат, подписанный непосредственно или опосредованно данным издателем; Вы можете выбрать разрыв соединения или запрос пользователя о подтверждении для продолжения связи.

Издатели сертификатов


[В начало страницы ] [ Индекс] [На главную страницу ]

Издатели сертификатов(CA) -- организации, выступающие в качестве доверенных третьих лиц, то есть, независимой стороны, которой доверяют обе стороны (клиент и сервер) транзакции.

Издатель сертификата обычно публикует на своём вебсайте Соглашение о правилах службы сертификации. Это объявление оглашает правила, по которым они ведут свои дела, такие, как требования к различным классам сертификатов, санкции, которые могут быть к Вам применены в случае нарушения правил, а также ограничения и обязанности CA сервиса. Прежде, чем запросить у CA сертификат и (возможно) даже перед приёмом сертификата, выданного сервером CA Вы должны прочесть Соглашение и решить, приемлемо ли оно для Вас.

Множество обычно используемых CA сертификатов поддерживается в Opera, но *Вы* сами принимаете на себя ответственность определять, приемлемы ли они для Вас. Если нет, то установите соответствующие опции для данного сертификата.

Издатель сертификатов публикует один или несколько сертификатов, которые определяются своими открытыми ключами, которые использованы для их подписи. Есть два типа сертификатов: с автоподписью и CA сертификаты, подписанные другим CA.

В последнем случае сертификат подписавшей организации должен быть доступен либо как сертификат с автоподписью, либо быть звеном в цепи сертификатов, заканчивающейся сертификатом с автоподписью. Этот метод может быть использован непосредственно для CA с использованием кратковременных сертификатов или для сертификации CA-служб других компаний, которым сертификация требуется для подтверждения их достоверности.

Издатель сертификатов обычно имеет веб-страницы, с которых Вы можете передать свой запрос на получение сертификата, сопровождаемый информацией, которая будет содержаться в сертификате, такой, как имя, адрес, другие сведения и сгенерированный открытый ключ, который уникален для каждого сертификата. CA выполнит ряд действий для проверки Вашей информации. Возможно, Вам придётся передать ему дополнительную информацию в оффлайне, возможно, на бумаге или лично в одном из офисов издателя.

Если проверки пройдут удачно, сертификат будет выпущен, и Вас проинформируют, как получить его у CA. Иногда сертификат выпускается непосредственно в ответ на Вашу отсылку данных, в этом случае Вы сразу направляетесь в диалог Установка сертификата пользователя в базу данных личных сертификатов.

Генерация открытого ключа


[В начало страницы ] [ Индекс] [На главную страницу ]

Это процесс, в ходе которого находятся случайные числа и с помощью ряда вычислений превращаются в открытый и закрытый ключи. Этот довольно длительный процесс, для самых длинных ключей (2048 бит) он займёт много минут (на Pentium, на более старых PC ещё дольше). Мы сожалеем, что этот процесс заблокирует Ваш компьютер на время генерации ключа, и Вы не сможете пользоваться им всё это время. (Примечание: генерация происходит на *Вашем* компьютере, никакие другие компьютеры не вовлечены в генерацию ключа).

Число бит ключа выбирается Вами в форме, предоставленной издателем сертификата.

После генерации ключей они будут включены в Вашу защищённую базу данных. В зависимости от установок, у Вас может быть запрошен защитный пароль, который понадобится при использовании ключа.

Затем открытый ключ и все необходимые данные передаются издателю сертификата. (Заметьте, что ни Ваш закрытый ключ, ни защитный пароль не передаются.) CA выполнит ряд действий для проверки Вашей информации. Возможно, Вам придётся передать ему дополнительную информацию в оффлайне, возможно, на бумаге или лично в одном из офисов издателя.

Если проверки пройдут удачно, сертификат будет выпущен, и Вас проинформируют, как получить его у CA. Иногда сертификат выпускается непосредственно в ответ на Вашу отсылку данных, в этом случае Вы сразу направляетесь в диалог Установка сертификата пользователя в базу данных личных сертификатов.

Затем открытый ключ отсылается издателю сертификата с запросом на подписанный сертификат.

Методы шифрования


[В начало страницы ] [ Индекс] [На главную страницу ]

ПРИМЕЧАНИЕ: Большая часть этой информации имеет технический характер.

Методы шифрования описаны в рамках протоколов SSL v2/ SSL v3:

[n]-битный [Метод] ([Открытый ключ-метод]/[Хэш метод]) Здесь описано, сколько бит (<n) имеют шифровальный ключи, используемые для передачи данных, какой метод используется для передачи, какой метод Открытого ключа используется для обмена совместно используемыми секретными данными и Хэш метод, используемый для проверки правильности переданных данных.

Opera поддерживает следующие методы шифрования:

Только аутентификация: Этот метод не шифрует передаваемые данные, но может удостоверить сервер и, если нужно, Вас и проверить, не подделаны ли данные. Этот метод позволяет всем читать Ваши данные, но не изменять их. Его можно использовать для передачи уже зашифрованных данных, сохраняя вычислительное время, требуемое для дополнительного ненужного шифрования.

C2: Метод шифрования, совместимый с RC2 (разработанным RSA Data Security Inc.). Может использовать 40-битный или 128-битный ключи (128-битный только в SSL v2).

C4: Метод шифрования, совместимый с RC4 (также разработанным RSA Data Security Inc.) Может использовать 40-битный или 128-битный ключи.

DES: Метод шифрования, разработанный IBM в 1974 г. и сертифицированный как стандарт США, по крайней мере, до 1998 года. Может использовать 40 или 56-битный ключи.

3-DES: Модификация DES, использующая 3 шага шифровки/расшифровки с 3-мя различными ключами, дающую общую длину 168 бит на ключ.

Методы шифрования перечислены в возрастающем порядке по числу бит в ключах и предполагаемой безопасности.

В настоящее время единственным поддерживаемым методом Открытого ключа является RSA. Он используется для проверки сертификатов открытых ключей, посылаемых сервером и клиентом (Вами), и для шифрования секретных данных, используемых совместно сервером и клиентом. Методы в SSL версии 3, использующей 40-битные ключи, имеют размер ключа, ограниченный 512-ю битами (для шифрования, не для подписи).

Хэш методы используются для контроля целостности данных с помощью вычисления контрольных чисел, которые уникальны для этих данных, и которые невозможно использовать для извлечения какой-либо информации из этих данных. Два метода, используемые в Opera, называются MD5 (разработан RSA Data Security Inc.) и SHA (разработан правительством США).

Насколько безопасны эти методы?

Метод аутентификации не обеспечивает секретности, но страхует данные от подделки.

Сейчас прочность остальных методов зависит от количества бит в их ключах, поскольку каждый новый бит в числе удваивает количество возможных комбинаций, то есть, 40 бит дают 12-значное число комбинаций, 56 бит дают 16 цифр, 128 бит дают 38 цифр, и так далее.

Ни для одного из методов C2, C4, DES и 3-DES не было найдено простого способа отыскания ключа, кроме перебора всех возможных ключей. Это значит, что для каждого сообщения, которое Вы хотите взломать, Вам придётся вновь проделать эту работу. Для кого-нибудь, имеющего кучу компьютеров, это займёт несколько часов для 40-битного ключа, пару месяцев для 56-битного ключа. Более 10000 PC, используя время простоя, или несколько суперкомпьютеров могут сделать это быстрее. (Специально сконструированный взломщик DES стоимостью $250,000 USD мог взломать 56-битный DES за 3 дня весной/летом 1998 года. Он использовал около 1500 чипов DES, управляемых с одного PC.) Методы современных технологий, как утверждается, потребуют для взлома миллионы или миллиарды лет (если кто-нибудь не найдёт золотую формулу). Для нескольких последующих лет 128-битный метод может считаться абсолютно безопасным, DES (не 3-DES) может быть уязвимым, но кто-то должен очень сильно хотеть Ваши данные, чтобы пытаться взломать их (сейчас).

Хэш методы используются для создания короткого идентификатора данного сообщения. Эти идентификаторы могут, по определению, совпадать для двух или нескольких сообщений, но невероятно трудно найти такие сообщения или найти алгоритм для подделки такой сигнатуры.

Как мне узнать уровень безопасности соединения?

В нижнем левом углу окна документа показан статус его безопасности. Это самый слабый статус безопасности из всех загруженных субдокументов.

Вот рейтинг уровней безопасности:

- "Обычный режим" - для документов без шифрования или аутентификации.
- "Низкая защищённость" - для методов с уязвимыми ключами от 32 до 64 бит
- "Средняя защищённость" - для более безопасных ключей от 64 до 96 бит.
- "Высокая защищённость" - для безопасных методов с ключами 96 бит и более, исключая методы SSL версии 2.

SSL v2 будет поэтапно устраняться в течение нескольких последующих лет из-за нескольких слабых мест.

Какой метод мне выбрать?

Вообще, рекомендуются 128-битные C2 и C4 и 168-битный 3-DES. В зависимости от сервера, к которому Вы подключаетесь, Вам могут понадобиться некоторые другие. Особенно в том случае, если Вы собираетесь связываться с серверами за пределами США, произведёнными Netscape, Microsoft, другими американскими производителями, или серверами, базирующимися на американских шифровальных программах и находящимися за пределами США. Тогда Вам придётся разрешить и 40-битные методы. С такими серверами, как Stronghold и Apache с SSL, 40-битные методы вообще не нужны.

Установка личного сертификата


[В начало страницы ] [ Индекс] [На главную страницу ]

Показанный сертификат или последовательность сертификатов будут установлены, если Вы нажмёте кнопку OK, если нажать Отмена, они будут отвергнуты.

Первый сертификат в последовательности Должен иметь открытый ключ, совпадающий с открытым ключом закрытого ключа, уже имеющегося в базе данных. Если это не так, инсталляция не пройдёт.

Остальные сертификаты, если существуют, должны быть сертификатами подписавшего личный сертификат. Этот сертификат должен либо иметь автоподпись (последний сертификат), либо быть подписанным следующим сертификатом из списка. Эти сертификаты устанавливаются в базу данных издателей сертификатов, если они ещё не установлены, и будут приводить к выводу предупреждающих сообщений, если сервер посылает сертификат, подписанный новым издателем.

Установка сертификата издателя сертификатов


[В начало страницы ] [ Индекс] [На главную страницу ]

Показанный сертификат или последовательность сертификатов будут установлены, если Вы нажмёте кнопку OK, если нажать Отмена, они будут отвергнуты.

Первый сертификат должен либо иметь автоподпись (он же -- последний сертификат), либо быть подписанным следующим сертификатом из списка.

Первый сертификат устанавливается в базу данных издателей, если он ещё не установлен вместе с выбором набора действий (отвергнуть доступ, предупредить об использовании сервером). Остальные сертификаты устанавливаются в базу данных издателей сертификатов, если они ещё не установлены, и будут приводить к выводу предупреждающих сообщений, если сервер посылает сертификат, подписанный новым издателем.

Установка сертификата, кодированного PEM


[В начало страницы ] [ Индекс] [На главную страницу ]

Этот диалог появляется, если Вы загружаете сертификат, содержащий сертификат, кодированный PEM. Фактическая процедура установки зависит от того, является сертификат личным или сертификатом издателя сертификатов, что определяется после нажатия OK.

Из-за двойственной природы этого диалога Вы можете установить флажки полномочий, но они не будут действовать для личного сертификата.

Если первый сертификат в цепочке имеет открытый ключ, совпадающий с открытым ключом закрытого ключа, уже имеющегося в базе данных, сертификат будет считаться личным сертификатом и будет установлен в личную базу данных, в противном случае он будет обработан как сертификат издателя сертификатов.

Остальные сертификаты, если существуют, должны быть сертификатами подписавшего личный сертификат. Этот сертификат должен либо иметь автоподпись (последний сертификат), либо быть подписанным следующим сертификатом из списка.

Эти сертификаты устанавливаются в базу данных издателей, если они ещё не установлены, и будут приводить к выводу предупреждающих сообщений, если сервер посылает сертификат, подписанный новым издателем.

Предупреждения


[В начало страницы ] [ Индекс] [На главную страницу ]

Это сообщения о состояниях, не являющихся непосредственно фатальными для соединения, но которые могут послужить поводом для закрытия Вами соединения. Обычно Вы можете оставить соединение кнопкой OK или закрыть его кнопкой Отмена. Тем не менее, соединение может быть прекращено и при нажатии OK по инициативе сервера.

Предупреждения могут посылаться Opera или сервером; заголовок окна говорит о том, какая сторона послала предупреждение. Обычно предупреждение сервера указывает на проблемы, вызванные Opera, и наоборот.

Могут быть выданы следующие предупреждения (некоторые могут также выдаваться как фатальные ошибки):

Неподдерживаемый сертификат: Сертификат не может быть обработан отправителем.

Сертификат отменён: Сертификат не просрочен, но аннулирован по другим причинам.

Сертификат просрочен: Сертификат более не действителен (или ещё не действителен)

Сертификат неизвестен: Невозможно проверить сертификат по неизвестным причинам.

Фатальные ошибки


[В начало страницы ] [ Индекс] [На главную страницу ]

Это сообщения о состояниях, которые непосредственно фатальны для соединения, и соединение будет закрыто немедленно, сообщение используется, чтобы проинформировать Вас о причинах отказа.

Предупреждения могут посылаться Opera или сервером; заголовок окна говорит о том, какая сторона послала предупреждение. Обычно предупреждение сервера указывает на проблемы, вызванные Opera, и наоборот.

Могут быть выданы следующие фатальные ошибки:

Неудача хендшейка: Какая-то проблема, вызванная неудачным (пере)согласованем соединения. Это *может* произойти, если Вы и сервер не смогли найти общий (разрешённый) метод шифрования, или, что менее вероятно, из-за подделки данных кем-то извне. Существуют и другие причины.

Ошибка передачи: Какая-то проблема, произошедшая в ходе обычной связи. Это *может* случиться из-за неверных данных или, что менее вероятно, из-за подделки данных кем-то извне. Существуют и другие причины.

Плохой сертификат: Невозможно проверить правильность сертификата, это может быть вызвано неверной подписью одного из сертификатов.

Доступ запрещён: Сертификат правилен, но Вы определили, что подпись одного из сертификатов в цепочке ненадёжна.

Неверная цепочка сертификатов: Сертификаты в цепочке полученного сертификата сервера или сертификата, который нужно установить, расположены в неверном порядке.

Внутренняя ошибка: Какая-то локальная проблема, вызвавшая разрыв соединения. Возможная причина -- нехватка памяти.

Не выбран шифр: Вы не выбрали ни одного метода шифрования.

Запрет защиты: Вы запретили защиту.

Нет шифра: Вами не разрешён ни один из методов шифрования SSL версии 2, приемлемый для сервера. Это сообщение появляется только для SSL версии 2, SSL версии 3 выдаёт сообщение о неудаче хендшейка.

Вы можете также получить сообщение о том, что не разрешён SSL версии 2, при подключении к серверу, использующему только версию 2, а Вы не разрешили её.

Проверка сертификата и предупреждения


[В начало страницы ] [ Индекс] [На главную страницу ]

Когда Opera получает от сервера цепочку сертификата открытого ключа, она проверяет достоверность сертификата(ов), контролируя, правильно ли проверена цепочка, и может ли сертификат быть прослежен до одного из сертификатов издателя сертификатов, хранящегося в базе данных.

Если сертификат невозможно проследить до установленного сертификата, Opera спросит, считаете ли Вы законными сертификат и сервер. Если да, то этот вопрос больше не будет задаваться в текущем сеансе работы с Opera. Список принятых серверов не сохраняется на диск при выключении Opera.

Если такая цепочка сертификатов действительно включает корневой сертификат с автоподписью, у Вас появляется возможность установить корневой сертификат в базу данных и установить флажки для его использования. Подразумевается, что, установив сертификат и не снимая флажок разрешения связи, Вы принимаете сервер.

Если цепочка найдена правильной, Opera приступает к проверке в базе данных записей тех издателей сертификатов, чьи подписи содержатся в цепочке (по крайней мере, верхний сертификат представлен в базе данных).

Если для одного (или нескольких) из этих издателей Вы сняли флажок, разрешающий соединение, Вы получите сообщение о фатальной ошибке Доступ запрещён, и соединение будет закрыто.

Если включено разрешение доступа, но установлен предупреждающий флажок хотя бы для одного из издателей сертификатов, Вам будет предъявлен сертификат с вопросом, принимаете ли Вы его. Такие предупреждения будут показаны всякий раз, когда Вы получаете такой сертификат, даже если он был принят ранее.

Если не произошла ни одна из описанных выше ситуаций, Opera продолжит SSL соединение, не нуждаясь ни в каком вмешательстве со стороны пользователя.

ПРИМЕЧАНИЕ: На ВАС, как на пользователе, лежит ответственность за решение, будете ли Вы доверять определённому WWW-сайту, с разрешённым SSL или без. Это особенно справедливо при проведении деловых транзакций. Издатели сертификатов обычно требуют множество поддающейся проверке документации об операторах сайтов, которым выдают сертификат, но CA всегда можно одурачить, или же оператор может быть не совсем серьёзным бизнесменом. Opera обеспечивает некоторые средства для удаления или пометки совершенно несерьёзных или сомнительных издателей сертификатов, но ВАМ по-прежнему необходимо оценивать каждый сервер, с которым Вы планируете вести дела.

Пароли


[В начало страницы ] [ Индекс] [На главную страницу ]

Закрытый ключ, сгенерированный Вами, открытый ключ которого используется в Ваших сертификатах, хранится в зашифрованной и защищённой паролем базе данных.

Не существует ограничений на длину пароля и вид используемых в нём символов. Пароль может содержать несколько слов и/или редко используемые символы, например: ".:;^*|§" и другие. Следовательно, не совсем правильно называть секретный пароль словом (пароль по-английски -- password, можно также перевести как слово для прохода -- В. М.). Если Вы считаете свою систему *очень* безопасной, так что никто и *никогда* не доберётся до Ваших данных, можете не использовать пароль. Однако Вы должны знать, что большинство издателей сертификатов требуют от Вас держать личную часть сертифицированного ими открытого ключа в безопасном месте.

При первой генерации ключа программа попросит ввести защитный пароль, а затем повторить его. Вы можете также изменить пароль почти в любое время (в диалоге Установки-Безопасность), но не меняйте пароль при активном SSL-соединении. В зависимости от установленных Вами настроек пароля (в Установки-Безопасность) Вам понадобиться либо вводить пароль лишь однократно при запуске Opera, либо каждый раз при доступе к базе данных (то есть, когда Вы добавляете новые ключи или используете их, при добавлении сертификата пароль не запрашивается).

Как выбрать хороший пароль?

Прежде всего, **НИКОГДА** не выбирайте дни рождения или имена Вашей жены, мужа, друга или подружки, детей или родителей, любимых артистов теле- и киноперсонажей, Вашей собаки или кошки, слова, присутствующие в словарях (любого языка), или литературные цитаты; Если кто-нибудь хочет взломать Ваш пароль (или любой пароль), он не просто переберёт эти и другие имеющиеся варианты, а сделает это автоматически.

Пароль должен быть бессмысленным, длинным, насколько это необходимо, и содержать коктейль из малых и больших букв, цифр и других символов; чем больше, тем веселее. При сегодняшней эффективности взлома ключей с помощью грубой силы, умеренно безопасный пароль должен содержать 10 и более случайных символов, действительно надёжный -- более 20 случайных символов (замените символы словами, если Вы используете читаемые слова). И, конечно, Вы должны запомнить пароль, а не записывать его на бумагу или куда-нибудь ещё.

Насколько безопасна база данных закрытых ключей?

Помимо выбора паролей (чем Opera управлять не может), каждый закрытый ключ шифруется 3-DES шифровальным ключом, отдельным для каждого закрытого ключа в базе данных. Это значит, что, не подобрав пароль, сегодня невозможно (заметьте: *один* 56-битный одиночный DES ключ весной 1997 был взломан за два месяца, а3-DES имеет 168-битный ключ и теоретически его в 10^33 раз труднее взломать) взломать один зашифрованный ключ грубой силой, гораздо проще взломать всю базу данных. Другими словами, Ваши ключи хранятся настолько безопасно, насколько им позволяет выбранный Вами пароль.

Решение проблем SSL


[В начало страницы ] [ Индекс] [На главную страницу ]

Если Вы получили сообщение "failed to connect" (неудача соединения), попробуйте следующее: