TLS/SSL — handshake, certifikater, PKI

It A · STX · A-niveau · IT-sikkerhed

💻 TLS/SSL — handshake, certifikater, PKI

TLS (Transport Layer Security) = krypterings-protokol der sikrer kommunikation over internet. SSL (Secure Sockets Layer) = forgænger (1995-1999), nu udfaset.

TLS-versioner: 1.0 (1999, usikker), 1.1 (2006, usikker), 1.2 (2008, OK), 1.3 (2018, anbefalet).

TLS-handshake (TLS 1.3, 1-RTT):

1.

ClientHello — klient sender supported cipher suites + random nonce.

2.

ServerHello — server vælger cipher + sender certifikat + key share + nonce.

3. Klient verificerer certifikat (signeret af betroet CA). Genererer session-key fra Diffie-Hellman key exchange.

4.

Finished — begge parter bekræfter handshake.

5. Krypteret data flows herefter. Cipher-suite = kombination af algoritmer: key exchange (ECDHE), authentication (RSA/ECDSA), bulk encryption (AES-256-GCM), MAC (SHA-384).

Certifikater (X.509): digitalt dokument der binder en identitet (domæne) til en offentlig nøgle. Indeholder: subject (CN: example.com), issuer (CA), gyldigheds-periode, public key, signatur fra CA.

PKI (Public Key Infrastructure): hierarki af tillid. Root CA's (DigiCert, Let's Encrypt) → Intermediate CA's → Leaf certificates. Browseres trust-store har ~150 root-CA'er.

Let's Encrypt: gratis automatiseret CA siden 2016 — nu ~80% af alle TLS-certifikater på nettet.

Certifikat-revokering: CRL (Certificate Revocation List), OCSP (Online Certificate Status Protocol), OCSP stapling.

HTTPS: HTTP over TLS. Beskytter mod MITM-angreb, eavesdropping, tampering.

Læringsmål

• Anvende STRIDE til trusselmodellering
• Identificere OWASP Top 10 og forsvare mod SQL-injektion/XSS
• Forklare symmetrisk og asymmetrisk kryptering
• Implementere korrekt password-hashing (bcrypt)
• Forstå etisk hacking og juridisk kontekst

Sådan kan du arbejde med emnet

• Beskriv TLS-handshake-processen trin for trin
• Forklar, hvad et X.509-certifikat er, og hvad Certificate Authority (CA) gør
• Diskutér, hvad der sker, hvis et TLS-certifikat er udløbet

Arbejd iterativt med prototyper og dokumentation. Test, evaluér og dokumentér.