Usein kysyttyä HTTPS:tä

HTTPS Googlessa

Mitä salaus on?

Salaus suojaa sähköisiä tietoja samalla tavalla kuin kassakaapit ja lukot suojasivat papereita ennen vanhaan. Salaus on kryptologian tekninen sovellus: tietoa koodataan eli muunnetaan muotoon, jossa sitä ei voi lukea. Koodin purkaminen ja tekstin lukeminen edellyttää avainta. Laitesalauksen tapauksessa koodin voi purkaa PIN-koodilla tai monimutkaisella algoritmilla, jota laite tai ohjelma ohjaa yksityiskohtaisesti. Tiedon koodaaminen ja koodin purku salausprosessissa perustuu matematiikkaan.

Mikä on HTTPS?

HTTP (hypertext transfer protocol) on tekniikka, jonka avulla selaimet muodostavat yhteyden verkkosivustoihin. HTTPS on salattu HTTP-yhteys, mikä tekee siitä turvallisemman. Näet URL-osoitteesta, onko yhteytesi verkkosivustoon turvallinen: sen alkuosa on HTTP:n sijaan HTTPS. Useimmissa selaimissa on myös kuvake, joka kertoo suojatusta yhteydestä – esimerkiksi Chromessa näkyy vihreä lukkokuvake.

Mitä hyötyä HTTPS:stä on?

Suosittelemme, että suojaat verkkosivustosi HTTPS:llä, vaikka sivustosi sisältö ei olisi arkaluontoista. HTTPS suojaa verkkosivustoasi kaappauksilta sekä lisää käyttäjiesi tietosuojaa ja ‑turvaa. Tämän lisäksi uudet, tehokkaat verkkoalustaominaisuudet on rajoitettu vain HTTPS:ää tarjoaville sivustoille.

Mikä on Googlen HTTPS-tavoite?

Uskomme, että vahva salaus on kaikkien verkon käyttäjien turvallisuuden kannalta tärkeää. Tämän vuoksi pyrimme tukemaan salausta kaikissa tuotteissamme ja palveluissamme. Google-sivun HTTPS näyttää reaaliaikaisen edistymisemme tämän tavoitteen toteuttamisessa.

Miksi salaus on tärkeää?

Viestimme matkaavat monimutkaisen verkkojen verkoston läpi päästääkseen pisteestä A pisteeseen B. Tämän matkan aikana ne joutuvat alttiiksi sellaisille vastaanottajille, joille niitä ei ole tarkoitettu ja jotka tietävät, kuinka verkkoja manipuloidaan. Tämän lisäksi olemme alkaneet käyttää kannettavia laitteita, jotka ovat paljon muutakin kuin puhelimia – ne sisältävät valokuvia, viestejä, sähköposteja ja henkilökohtaista dataa erityisesti sovelluksissa, joihin olemme kirjautuneet pysyvästi. Jos laite katoaa tai varastetaan, henkilökohtaiset tietomme ovat vaarassa, mikä voi johtaa identiteettivarkauteen, taloudelliseen väärinkäyttöön tai henkilökohtaiseen haittaan.

Salaus suojelee meitä tällaisissa tapauksissa. Verkossa liikkuvat salatut viestit voidaan siepata, mutta niiden sisältö ei ole ymmärrettävää, koska ne ovat salatekstiä. Salaamattomat viestit sen sijaan kulkevat selväkielisenä tekstinä. Salatun laitteen salauksen purkamiseen tarvitaan PIN-koodi tai muu koodi, joten varas voi vain pyyhkiä koko laitteen sisällön, mutta hän ei saa tietojasi käsiinsä. Datan menettäminen on harmillista, mutta se on parempi kuin identiteetin hallinnan menetys.

Minkälaisia salaustyyppejä on olemassa?

Salaus siirron aikana suojaa käyttäjän ja kolmannen osapuolen palvelimien välistä tiedonkulkua. Jos olet esimerkiksi verkkokaupassa ja annat luottokorttitietosi, suojattu yhteys suojaa tietojasi kolmannen osapuolen tietojenurkinnalta. Vain sinä ja palvelin, jonne siirrät tietoja, voitte purkaa tietojen salauksen.

End-to-end-salaus tarkoittaa, että vain lähettäjällä ja vastaanottajilla on viestien salaamiseen ja salauksen purkamiseen tarvittavat avaimet. Palveluntarjoaja, jonka kautta käyttäjät kommunikoivat, ei voi päästä käsiksi viestien sisältöön.

Salaus levossa suojaa tietoja silloin, kun niitä ei olla siirtämässä. Esimerkiksi tietokoneesi kovalevy voi käyttää sitä varmistaakseen, ettei kukaan pysty käyttämään tiedostojasi, jos tietokoneesi varastetaan.

Mitkä protokollat on laskettu mukaan näihin tilastoihin?

Nämä kaaviot kuvaavat seuraavien protokollien kautta tehtyjä pyyntöjä: HTTP, HTTP/2, HTTPS, SPDY ja QUIC.

Minkä protokollien käyttö lasketaan salauksesi?

HTTPS:n, SPDY:n ja QUIC:n kautta tehtyjä pyyntöjä pidetään salattuina, koska ne käyttävät oletuksena TLS:ää. HTTP/2 on mukana, koska Google ei tue salaamattomia HTTP/2-yhteyksiä.

Missä on tietoa muista protokollista?

Julkaisemme tällä hetkellä tietoa TLS:n käytöstä Gmailin viestiprotokollissa. Muut protokollat, joita ei ole mainittu yllä, eivät kuulu tämän raportin piiriin.

Miksei tuotekaaviossa mainita Google-hakua?

Google-haku jakaa palveluinfrastruktuurin monien muiden Google-tuotteiden kanssa. Jos erottaisimme Google-haun omaan kategoriaansa, emme palveluinfrastruktuurin jakamisen vuoksi voisi luottaa tietojen oikeellisuuteen.

Ovatko joulukuuta 2013 edeltävät tiedot tarkkoja?

Valitettavasti eivät – ennen joulukuuta 2013 käyttämämme tietolähteet eivät ole tarpeeksi tarkkoja, jotta niillä voisi mitata HTTPS:n käyttöönottoa.

Kuinka HTTPS-käyttötietoja mitataan?

Tiedot saadaan Chromen käyttäjiltä, jotka ovat valinneet jakaa käyttötilastojaan. Maiden/alueiden luokittelu perustuu käyttäjän selaimen IP-osoitteeseen.

Miksi HTTPS-käyttötilastoja vertaillaan juuri näiden 10 maan/alueen avulla?

Valitsimme 10 eri alueilla sijaitsevaa maata/aluetta, joissa on merkittävä määrä Chromen käyttäjiä, jotta HTTPS:n käyttöä maailmalla voitaisiin vertailla.

 

HTTPS suosituimmilla sivustoilla [arkistoitu]

Mitä tarkoittaa "Sivusto toimii HTTPS-yhteydellä"?

Sivustoa pidetään HTTPS:llä toimivana, jos Googlebot saapuu osoitteeseen https://verkkotunnus onnistuneesti eikä sitä uudelleenohjata HTTP-sijainnin kautta.

Mitä tarkoittaa "Moderni TLS-määritys"?

Helmikuusta 2016 alkaen olemme arvioineet, että sivustot tarjoavat modernia HTTPS:ää, jos ne tarjoavat TLS v1.2:ta sekä salakirjoitussarjaa, joka käyttää AEAD-toimintatapaa:

• TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

Mitä tarkoittaa "Oletus-HTTPS"?

Oletus-HTTPS tarkoittaa sitä, että sivusto uudelleenohjaa HTTP-pyynnöt HTTPS-URL-osoitteeseen. Huomaa, että vaikka tämä olisi käytössä, sivusto voi silti torjua verkkotunnuksen HTTPS-pyynnöt (esim. http://verkkotunnus uudelleenohjaa osoitteeseen https://aliverkkotunnus.verkkotunnus, mutta https://verkkotunnus kieltäytyy yhteydestä).

On myös tärkeää huomata, että vaikka sivuston olisi merkitty käyttävän oletus-HTTPS:ää, se ei takaa, että kaikki liikenne sivuston kaikilla sivuilla tapahtuu HTTPS:n kautta. Chrome kertoo kaikkien käyttämiesi sivujen HTTPS-tilan. Jos käytät eri selainta, sinun on selvitettävä, kuinka selaimesi näyttää eri HTTPS-tiloja.

Mistä data on peräisin?

Olemme käyttäneet sekä julkista dataa (esim. Alexa Top sites) että Google-data. Tiedot on kerätty muutaman kuukauden aikana vuoden 2016 alussa, ja ne muodostavat tämän luettelon perustan.

Ovatko luettelon kohteet suosituimmuusjärjestyksessä?

Eivät. Luettelossa on sata suosituinta Googlen ulkopuolista sivustoa aakkosjärjestyksessä ja jaettuna kolmeen luokkaan HTTPS:n käytön mukaan.

Olen verkkovastaava, sivustoni on tällä listalla ja tarvitsen apua HTTPS:ään siirtymisessä. Voiko Google auttaa?

Tarjoamme rajoitettua tukea tämän listan sivustoille, jos ne halutaan siirtää käyttämään HTTPS:ää. Lue lisää security@verkkotunnus-sähköpostiosoitteestasi tai ota yhteyttä osoitteeseen [e-mail].

 

Certificate Transparency

Mikä on varmenteiden myöntäjä?

Varmenteen myöntäjä (CA) on organisaatio, joka myöntää digitaalisia varmenteita verkkosivustojen hallinnoijille. Käyttöjärjestelmien (esim. Mac OS X ja Windows) sekä verkkoselaimien (esim. Chrome, Firefox ja Safari) mukana tulee valmiiksi ladattuna luotettujen juurimyöntäjien sarja. Modernien käyttöjärjestelmien mukana tulee yleensä yli 200 luotettua varmenteen myöntäjää, joista osa on valtioiden ylläpitämiä. Verkkoselaimet luottavat kaikkiin varmenteiden myöntäjiin yhtä paljon. Tämän lisäksi monet varmenteiden myöntäjät delegoivat varmenteiden myöntämisen keskitason varmenteiden myöntäjille.

Mikä on varmenne?

Kun käytät verkkosivustoa suojatun yhteyden (HTTPS:n) kautta, verkkosivusto antaa digitaalisen varmenteen selaimellesi. Tässä varmenteessa kerrotaan sivuston isäntänimi, ja sen allekirjoittaja on varmenteen myöntäjä, joka on vahvistanut sivuston omistajan. Käyttäjä voi luottaa varmenteessa näkyvään todisteeseen henkilöllisyydestä, jos hän luottaa varmenteen myöntäjään.

Miksi Certificate Transparency on tärkeä projekti?

Nykyisessä mallissa kaikkien käyttäjien täytyy luottaa siihen, että sadat varmenteiden myöntämisorganisaatiot myöntävät varmenteet oikein kaikille sivustoille. Mutta joskus varmenne voidaan myöntää virheellisesti inhimillisen virheen tai toisena henkilönä esiintymisen vuoksi. Certificate Transparency (CT) muuttaa myöntämisprosessia niin, että varmenteet on kirjoitettava julkisesti todennettavissa oleviin lokeihin, jotka on suojattu muokkauksilta ja joihin voi vain lisätä sisältöä. Käyttäjän verkkoselain pitää vain tällaisia varmenteita kelvollisina. Kun varmenteet kirjoitetaan julkisiin CT-lokeihin, kuka tahansa voi tutustua kaikkiin myöntäjän myöntämiin varmenteisiin. Tämä puolestaan lisää organisaatioiden vastuuta ja luo entistä luotettavamman järjestelmän. Lopulta selaimet eivät ehkä näytä suojatun yhteyden lukkokuvaketta HTTPS:ää käyttävän sivuston yhteydessä, ellei varmennetta ole kirjattu CT-lokeihin.

Huomaa, että vain verkkosivustosta vastuussa oleva organisaatio voi tietää, mitkä myönnetyistä varmenteista ovat todennettuja. Jos varmennetta ei ole todennettu, verkkotunnuksen käyttäjä voi ottaa yhteyttä varmenteen myöntäjään ja kysyä, mitä hän voi tehdä asialle.

Mikä on Certificate Transparency ‑loki?

Certificate Transparency ‑loki on palvelin, joka noudattaa RFC 6962:ta eli sallii minkä tahansa tahon lähettää julkisesti luotetun varmenteen myöntäjän varmenteita. Kun loki hyväksyy varmenteen, lokin salausominaisuudet varmistavat, että merkintää ei voi koskaan poistaa tai muokata.

Mistä tämän osion varmenteet ovat peräisin?

Avoimuusraportin varmenteet on noudettu aktiivisten Certificate Transparency ‑lokien joukosta. Useat näiden lokien varmenteista ovat varmenteiden myöntäjien myöntämisprosessin aikana lähettämiä. Tämän lisäksi lisäämme varmenteita, joita Google kohtaa indeksoidessaan verkkoa. Sivustojen omistajat voivat hakea tältä sivustolta hallinnoimiaan verkkotunnuksia varmistaakseen, ettei heidän verkkotunnuksiinsa viittaavia varmenteita ole myönnetty virheellisesti.

Miksei varmennettani näy tässä luettelossa?

Varmenteet näkyvät täällä, kun ne on merkitty vähintään yhteen CT-lokiin. Voit lähettää omat varmenteesi lokiin, tosin jos tämä ei toimi, sinun on ehkä otettava yhteyttävä varmenteen myöntäjään. Teknisesti taitavat käyttäjät voivat lähettää varmenteita lokeihin itsekin, esimerkiksi osoitteessa https://certificate-transparency.org tarjolla olevien avoimen lähdekoodin työkalujen avulla.

Miksi joillakin sivustoilla on monta varmenteiden myöntäjää?

Monet suuret organisaatiot käyttävät useita varmenteiden myöntäjiä, koska niillä on useita erilaisia tarpeita, esimerkiksi sopimusvelvoitteiden, käyttöönoton ja kustannusten suhteen.

Miksi joillakin sivustoilla on monta DNS-nimeä?

Monet organisaatiot myöntävät yhden varmenteen, jota käytetään useilla sivustoilla. Esimerkiksi suuret sivustot käyttävät monesti useita aliverkkotunnuksia sivustoilleen (esim. www.google.com, mail.google.com, accounts.google.com), mutta vain yhtä varmenteen nimeä kaikille aliverkkotunnuksille.