Usein kysyttyä HTTPS:tä

Salaus suojaa sähköisiä tietoja samalla tavalla kuin kassakaapit ja lukot suojasivat papereita ennen vanhaan. Salaus on kryptologian tekninen sovellus: tietoa koodataan eli muunnetaan muotoon, jossa sitä ei voi lukea. Koodin purkaminen ja tekstin lukeminen edellyttää avainta. Laitesalauksen tapauksessa koodin voi purkaa PIN-koodilla tai monimutkaisella algoritmilla, jota laite tai ohjelma ohjaa yksityiskohtaisesti. Tiedon koodaaminen ja koodin purku salausprosessissa perustuu matematiikkaan.

HTTP (hypertext transfer protocol) on tekniikka, jonka avulla selaimet muodostavat yhteyden verkkosivustoihin. HTTPS on salattu HTTP-yhteys, mikä tekee siitä turvallisemman. Näet URL-osoitteesta, onko yhteytesi verkkosivustoon turvallinen: sen alkuosa on HTTP:n sijaan HTTPS. Useimmissa selaimissa on myös kuvake, joka kertoo suojatusta yhteydestä – esimerkiksi Chromessa näkyy vihreä lukkokuvake.

Suosittelemme, että suojaat verkkosivustosi HTTPS:llä, vaikka sivustosi sisältö ei olisi arkaluontoista. HTTPS suojaa verkkosivustoasi kaappauksilta sekä lisää käyttäjiesi tietosuojaa ja ‑turvaa. Tämän lisäksi uudet, tehokkaat verkkoalustaominaisuudet on rajoitettu vain HTTPS:ää tarjoaville sivustoille.

Uskomme, että vahva salaus on kaikkien verkon käyttäjien turvallisuuden kannalta tärkeää. Tämän vuoksi pyrimme tukemaan salausta kaikissa tuotteissamme ja palveluissamme. Google-sivun HTTPS näyttää reaaliaikaisen edistymisemme tämän tavoitteen toteuttamisessa.

Salaus siirron aikana suojaa käyttäjän ja kolmannen osapuolen palvelimien välistä tiedonkulkua. Jos olet esimerkiksi verkkokaupassa ja annat luottokorttitietosi, suojattu yhteys suojaa tietojasi kolmannen osapuolen tietojenurkinnalta. Vain sinä ja palvelin, jonne siirrät tietoja, voitte purkaa tietojen salauksen.

End-to-end-salaus tarkoittaa, että vain lähettäjällä ja vastaanottajilla on viestien salaamiseen ja salauksen purkamiseen tarvittavat avaimet. Palveluntarjoaja, jonka kautta käyttäjät kommunikoivat, ei voi päästä käsiksi viestien sisältöön.

Salaus levossa suojaa tietoja silloin, kun niitä ei olla siirtämässä. Esimerkiksi tietokoneesi kovalevy voi käyttää sitä varmistaakseen, ettei kukaan pysty käyttämään tiedostojasi, jos tietokoneesi varastetaan.

Nämä kaaviot kuvaavat seuraavien protokollien kautta tehtyjä pyyntöjä: HTTP, HTTP/2, HTTPS, SPDY ja QUIC.

HTTPS:n, SPDY:n ja QUIC:n kautta tehtyjä pyyntöjä pidetään salattuina, koska ne käyttävät oletuksena TLS:ää. HTTP/2 on mukana, koska Google ei tue salaamattomia HTTP/2-yhteyksiä.

Julkaisemme tällä hetkellä tietoa TLS:n käytöstä Gmailin viestiprotokollissa. Muut protokollat, joita ei ole mainittu yllä, eivät kuulu tämän raportin piiriin.

Google-haku jakaa palveluinfrastruktuurin monien muiden Google-tuotteiden kanssa. Jos erottaisimme Google-haun omaan kategoriaansa, emme palveluinfrastruktuurin jakamisen vuoksi voisi luottaa tietojen oikeellisuuteen.

Valitettavasti eivät – ennen joulukuuta 2013 käyttämämme tietolähteet eivät ole tarpeeksi tarkkoja, jotta niillä voisi mitata HTTPS:n käyttöönottoa.

Tiedot saadaan Chromen käyttäjiltä, jotka ovat valinneet jakaa käyttötilastojaan. Maiden/alueiden luokittelu perustuu käyttäjän selaimen IP-osoitteeseen.

Valitsimme 10 eri alueilla sijaitsevaa maata/aluetta, joissa on merkittävä määrä Chromen käyttäjiä, jotta HTTPS:n käyttöä maailmalla voitaisiin vertailla.

Sivustoa pidetään HTTPS:llä toimivana, jos Googlebot saapuu osoitteeseen https://verkkotunnus onnistuneesti eikä sitä uudelleenohjata HTTP-sijainnin kautta.

Helmikuusta 2016 alkaen olemme arvioineet, että sivustot tarjoavat modernia HTTPS:ää, jos ne tarjoavat TLS v1.2:ta sekä salakirjoitussarjaa, joka käyttää AEAD-toimintatapaa:

• TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

Oletus-HTTPS tarkoittaa sitä, että sivusto uudelleenohjaa HTTP-pyynnöt HTTPS-URL-osoitteeseen. Huomaa, että vaikka tämä olisi käytössä, sivusto voi silti torjua verkkotunnuksen HTTPS-pyynnöt (esim. http://verkkotunnus uudelleenohjaa osoitteeseen https://aliverkkotunnus.verkkotunnus, mutta https://verkkotunnus kieltäytyy yhteydestä).

On myös tärkeää huomata, että vaikka sivuston olisi merkitty käyttävän oletus-HTTPS:ää, se ei takaa, että kaikki liikenne sivuston kaikilla sivuilla tapahtuu HTTPS:n kautta. Chrome kertoo kaikkien käyttämiesi sivujen HTTPS-tilan. Jos käytät eri selainta, sinun on selvitettävä, kuinka selaimesi näyttää eri HTTPS-tiloja.

Olemme käyttäneet sekä julkista dataa (esim. Alexa Top sites) että Google-data. Tiedot on kerätty muutaman kuukauden aikana vuoden 2016 alussa, ja ne muodostavat tämän luettelon perustan.

Eivät. Luettelossa on sata suosituinta Googlen ulkopuolista sivustoa aakkosjärjestyksessä ja jaettuna kolmeen luokkaan HTTPS:n käytön mukaan.

Tarjoamme rajoitettua tukea tämän listan sivustoille, jos ne halutaan siirtää käyttämään HTTPS:ää. Lue lisää security@verkkotunnus-sähköpostiosoitteestasi tai ota yhteyttä osoitteeseen security@google.com.

Varmenteen myöntäjä (CA) on organisaatio, joka myöntää digitaalisia varmenteita verkkosivustojen hallinnoijille. Käyttöjärjestelmien (esim. Mac OS X ja Windows) sekä verkkoselaimien (esim. Chrome, Firefox ja Safari) mukana tulee valmiiksi ladattuna luotettujen juurimyöntäjien sarja. Modernien käyttöjärjestelmien mukana tulee yleensä yli 200 luotettua varmenteen myöntäjää, joista osa on valtioiden ylläpitämiä. Verkkoselaimet luottavat kaikkiin varmenteiden myöntäjiin yhtä paljon. Tämän lisäksi monet varmenteiden myöntäjät delegoivat varmenteiden myöntämisen keskitason varmenteiden myöntäjille.

Kun käytät verkkosivustoa suojatun yhteyden (HTTPS:n) kautta, verkkosivusto antaa digitaalisen varmenteen selaimellesi. Tässä varmenteessa kerrotaan sivuston isäntänimi, ja sen allekirjoittaja on varmenteen myöntäjä, joka on vahvistanut sivuston omistajan. Käyttäjä voi luottaa varmenteessa näkyvään todisteeseen henkilöllisyydestä, jos hän luottaa varmenteen myöntäjään.

Nykyisessä mallissa kaikkien käyttäjien täytyy luottaa siihen, että sadat varmenteiden myöntämisorganisaatiot myöntävät varmenteet oikein kaikille sivustoille. Mutta joskus varmenne voidaan myöntää virheellisesti inhimillisen virheen tai toisena henkilönä esiintymisen vuoksi. Certificate Transparency (CT) muuttaa myöntämisprosessia niin, että varmenteet on kirjoitettava julkisesti todennettavissa oleviin lokeihin, jotka on suojattu muokkauksilta ja joihin voi vain lisätä sisältöä. Käyttäjän verkkoselain pitää vain tällaisia varmenteita kelvollisina. Kun varmenteet kirjoitetaan julkisiin CT-lokeihin, kuka tahansa voi tutustua kaikkiin myöntäjän myöntämiin varmenteisiin. Tämä puolestaan lisää organisaatioiden vastuuta ja luo entistä luotettavamman järjestelmän. Lopulta selaimet eivät ehkä näytä suojatun yhteyden lukkokuvaketta HTTPS:ää käyttävän sivuston yhteydessä, ellei varmennetta ole kirjattu CT-lokeihin.

Huomaa, että vain verkkosivustosta vastuussa oleva organisaatio voi tietää, mitkä myönnetyistä varmenteista ovat todennettuja. Jos varmennetta ei ole todennettu, verkkotunnuksen käyttäjä voi ottaa yhteyttä varmenteen myöntäjään ja kysyä, mitä hän voi tehdä asialle.

Certificate Transparency ‑loki on palvelin, joka noudattaa RFC 6962:ta eli sallii minkä tahansa tahon lähettää julkisesti luotetun varmenteen myöntäjän varmenteita. Kun loki hyväksyy varmenteen, lokin salausominaisuudet varmistavat, että merkintää ei voi koskaan poistaa tai muokata.

Avoimuusraportin varmenteet on noudettu aktiivisten Certificate Transparency ‑lokien joukosta. Useat näiden lokien varmenteista ovat varmenteiden myöntäjien myöntämisprosessin aikana lähettämiä. Tämän lisäksi lisäämme varmenteita, joita Google kohtaa indeksoidessaan verkkoa. Sivustojen omistajat voivat hakea tältä sivustolta hallinnoimiaan verkkotunnuksia varmistaakseen, ettei heidän verkkotunnuksiinsa viittaavia varmenteita ole myönnetty virheellisesti.

Varmenteet näkyvät täällä, kun ne on merkitty vähintään yhteen CT-lokiin. Voit lähettää omat varmenteesi lokiin, tosin jos tämä ei toimi, sinun on ehkä otettava yhteyttävä varmenteen myöntäjään. Teknisesti taitavat käyttäjät voivat lähettää varmenteita lokeihin itsekin, esimerkiksi osoitteessa https://certificate-transparency.org tarjolla olevien avoimen lähdekoodin työkalujen avulla.

Monet suuret organisaatiot käyttävät useita varmenteiden myöntäjiä, koska niillä on useita erilaisia tarpeita, esimerkiksi sopimusvelvoitteiden, käyttöönoton ja kustannusten suhteen.

Monet organisaatiot myöntävät yhden varmenteen, jota käytetään useilla sivustoilla. Esimerkiksi suuret sivustot käyttävät monesti useita aliverkkotunnuksia sivustoilleen (esim. www.google.com, mail.google.com, accounts.google.com), mutta vain yhtä varmenteen nimeä kaikille aliverkkotunnuksille.