Både TLS och SSL är protokoll som hjälper dig att säkert autentisera och transportera data på Internet. Men vad är skillnaden mellan TLS vs SSL? Och är det något du behöver oroa dig över?
I den här artikeln lär du dig de viktigaste skillnaderna mellan TLS vs SSL, liksom hur båda protokollen ansluter till HTTPS. Du lär dig också varför du som slutanvändare förmodligen inte behöver oroa dig för mycket om TLS vs SSL eller om du använder ett ”SSL-certifikat” eller ett ”TLS-certifikat”.
Du kan klicka nedan för att hoppa till ett visst avsnitt eller läsa igenom hela artikeln:
- Vad är skillnaden mellan TLS och SSL?
- Hur fungerar TLS och SSL för att säkra data?
- Varför kallas det ett SSL-certifikat och inte ett TLS-certifikat?
- Varför du borde använda TLS och inte SSL (och varför du förmodligen redan gör det, även om du inte kände till det)
Vad är skillnaden mellan TLS och SSL?
TLS, kort för Transport Layer Security, och SSL, kort för Secure Socket Layer, är båda två kryptografiska protokoll som krypterar data och autentiserar en anslutning när du flyttar data på Internet.
Om du till exempel behandlar kreditkortsbetalningar på din webbplats kan TLS och SSL hjälpa dig säkert behandla dessa data så att skadliga aktörer inte kan få tag på dem.
Så vad är skillnaden mellan TLS vs SSL?
Tja, TLS är faktiskt bara en nyare version av SSL. Det åtgärdar vissa säkerhetsproblem som fanns i de tidigare SSL-protokollen.
Innan du lär dig mer om detaljerna är det viktigt att förstå SSL och TLS:s grundläggande historia.
SSL 2.0 släpptes först i februari 1995 (SSL 1.0 släpptes aldrig offentligt på grund av säkerhetsbrister). Även om SSL 2.0 släpptes offentligt innehöll det också säkerhetsbrister och ersattes snabbt av SSL 3.0 1996.
År 1999 kom den första versionen av TLS (1.0) som en uppgradering av SSL 3.0. Sedan dess har det kommit ytterligare tre TLS-utgåvor, den senaste utgåvan var TLS 1.3 i augusti 2018.
Nu har båda offentliga SSL-utgåvor blivit avvecklade och har kända säkerhetsproblem (mer om detta senare).
Här är hela historien om SSL och TLS-utgåvorna:
- SSL 1.0 – aldrig släppt offentligt på grund av säkerhetsproblem.
- SSL 2.0 – släpptes 1995. Avvecklad under 2011. Har kända säkerhetsproblem.
- SSL 3.0 – släpptes 1996. Avvecklad 2015. Har kända säkerhetsproblem.
- TLS 1.0 – släpptes 1999 som en uppgradering till SSL 3.0. Planerad avveckling 2020.
- TLS 1.1 – släpptes 2006. Planerad avveckling 2020.
- TLS 1.2 – släpptes 2008.
- TLS 1.3 – släpptes 2018.
Hur fungerar TLS och SSL för att säkra data?
Så här fungerar både SSL och TLS, på en hög nivå.
När du installerar ett SSL/TLS-certifikat på din webbserver (ofta bara kallat ett SSL-certifikat) innehåller det en offentlig nyckel och en privat nyckel som autentiserar din server och låter din server kryptera och dekryptera data.
När en besökare besöker din webbplats kommer deras webbläsare att leta efter din webbplats SSL/TLS-certifikat. Därefter kommer webbläsaren att utföra ett ”handslag” för att kontrollera certifikatets giltighet och autentisera din server. Om SSL-certifikatet inte är giltigt kan dina användare möta felet ”din anslutning är inte privat”, vilket kan leda till att de lämnar din webbplats.
När en besökares webbläsare bestämmer att ditt certifikat är giltigt och autentiserar din server, skapar den en krypterad länk mellan den och din server för att säkert transportera data.
Det är också där HTTPS kommer in (HTTPS står för ”HTTP över SSL/TLS”).
HTTP, och det senare HTTP/2, är applikationsprotokoll som spelar en viktig roll för att överföra information via Internet.
Med vanlig HTTP är den informationen sårbar för attacker. Men när du använder HTTP över SSL eller TLS (HTTPS) krypterar och autentiserar du data under transporten, vilket gör den säker.
Det är därför du säkert kan bearbeta kreditkortsuppgifter över HTTPS men inte över HTTP, och även varför Google Chrome driver antagandet av HTTPS så hårt.
Varför kallas det ett SSL-certifikat om SSL är avvecklat?
Ovan lärde du dig att TLS är den senaste versionen av SSL och att båda offentliga utgåvor av SSL har varit avvecklade i flera år och innehåller kända säkerhetsproblem.
Det kanske får dig att undra: varför kallas det ett SSL-certifikat och inte ett TLS-certifikat? TLS är trots allt det moderna säkerhetsprotokollet. Om du till exempel tittar på Kinstas sida över funktioner ser du att Kinsta annonserar ett gratis SSL-certifikat, inte ett gratis TLS-certifikat.
Men oroa dig inte: Kinsta använder inte föråldrad teknik!
Nej, anledningen till att de flesta fortfarande hänvisar till dem som SSL-certifikat är i grunden en varumärkesfråga. De flesta stora certifikatleverantörer hänvisar fortfarande till certifikat som SSL-certifikat, varför namnkonventionen kvarstår.
I verkligheten är alla ”SSL-certifikat” som du möter egentligen SSL / TLS-certifikat (som inkluderar de kostnadsfria SSL-certifikat som vi erbjuder som en del av vår Cloudflare-integrering).
Det innebär att du kan använda både SSL- och TLS-protokollen med ditt certifikat.
Det finns inget som heter enbart SSL-certifikat eller enbart TLS-certifikat, och du behöver inte oroa dig över att ersätta ditt SSL-certifikat med ett TLS-certifikat.
Ska du använda TLS eller SSL? Ersätter TLS SSL?
Ja, TLS ersätter SSL. Och ja, du borde använda TLS istället för SSL.
Som du lärde dig ovan är både offentliga utgåvor av SSL avvecklade till stor del på grund av de kända säkerhetsproblemen. Därför är SSL inte ett helt säkert protokoll under 2019 och vidare.
TLS, den modernare versionen av SSL, är säker. Dessutom erbjuder de senaste versionerna av TLS också prestandafördelar och andra förbättringar.
TLS är inte bara säkrare och presterar bättre. utan de flesta moderna webbläsare stöder hellre inte längre SSL 2.0 och SSL 3.0. Till exempel slutade Google Chrome stödja SSL 3.0 redan 2014, och de flesta stora webbläsare planerar att sluta stödja TLS 1.0 och TLS 1.1 under 2020.
Faktum är att Google började visa ERR_SSL_OBSOLETE_VERSION-varningsmeddelanden i Chrome.
Så hur ser du till att du använder de senaste versionerna av TLS och inte äldre, osäkra SSL-protokoll?
Kom först ihåg att ditt certifikat inte är detsamma som det protokoll som din server använder. Du behöver inte ändra ditt certifikat för att använda TLS. Även om det kan kallas för ett SSL-certifikat stöder ditt certifikat redan både SSL- och TLS-protokollen.
Istället styr du vilket protokoll din webbplats använder på servernivå.
Om du är kund hos Kinsta, möjliggör vi redan TLS 1.3 åt dig, som är den mest moderna, säkra och bäst presterande versionen, samt TLS 1.2.
Om du är kund någon annanstans kan du använda SSL Labs-verktyget för att kontrollera vilka protokoll som är aktiverade för din webbplats.
Om du till exempel testar en webbplats på Kinsta kan du se hur Kinsta aktiverar TLS 1.2 och TLS 1.3 men inaktiverar de äldre, osäkra versionerna av SSL:
Om du upptäcker att din server fortfarande stöder de föråldrade SSL-protokollen kan du nå ut till hostingleverantörens support för hjälp eller följa dessa instruktioner för att inaktivera SSL på de två mest populära webbservrarna (Apache och Nginx):
- Inaktivera avvecklade SSL-versioner på webbservern Apache
- Inaktivera avvecklade SSL-versioner på webbservern Nginx
Varför tillåter Kinsta flera TLS-protokoll?
Om TLS 1.3 är det modernaste, bäst presterande protokollet, varför bryr sig Kinsta om att också tillåta de något äldre TLS 1.2-protokoll?
Med andra ord: vad är fördelen med att ha flera protokoll aktiverade?
Som du lärde dig ovan finns det två delar av SSL/TLS-handslaget:
- Din webbserver
- Klienten (vanligtvis en besökares webbläsare)
För att handslaget ska fungera måste båda stödja samma protokoll.
Så den största fördelen med att ha flera protokoll är kompatibilitet.
Medan Chrome och Firefox lagt till stöd för TLS 1.3 nästan omedelbart efter att det släpptes år 2018, tog till exempel Apple och Microsoft lite längre tid på sig med att lägga till TLS 1.3-stöd.
Till och med år 2019 saknar följande webbläsare fortfarande TLS 1.3-stöd:
- Internet Explorer
- Opera Mini
- Android Browser
- Opera Mobile
- UC Browser for Android
- Samsung Internet
- Baidu Browser
Men medan TLS 1.3 fortfarande inte är helt antaget stöder alla större webbläsare TLS 1.2 år 2019:
Genom att ha både TLS 1.3 och TLS 1.2 aktiverat på din server kan du säkerställa kompatibilitet oavsett vad, samtidigt som du får fördelarna med TLS 1.3 för webbläsarna som stöder det, som Chrome och Firefox.
Om du vill kontrollera vilken SSL/TLS-version din webbläsare använder kan du använda verktyget How’s My SSL:
Sammanfattning
För att sammanfatta allt är både TLS och SSL protokoll för att autentisera och kryptera överföringen av data på Internet.
De två är tätt sammankopplade och TLS är egentligen bara den modernare, säkrare versionen av SSL.
Medan SSL fortfarande är den dominerande termen på Internet, menar de flesta egentligen TLS när de säger SSL, eftersom båda offentliga versioner av SSL inte är säkra och sedan länge blivit avvecklade.
För att använda både SSL- och TLS-protokollen måste du installera ett certifikat på din server (så här installerar du ett SSL-certifikat på WooCommerce). Medan de flesta hänvisar till dessa som ”SSL-certifikat”, stöder dessa certifikat återigen både SSL- och TLS-protokollen.
Du behöver inte oroa dig över att ”ändra” ditt SSL-certifikat till ett TLS-certifikat. Om du redan har installerat ett SSL-certifikat kan du vara säker på att det också stöder TLS.
Det är viktigt att använda de senaste versionerna av TLS eftersom SSL inte längre är säkert, men certifikatet bestämmer inte vilket protokoll din server använder. När du har ett certifikat kan du istället välja vilka protokoll som ska användas på servernivå.
Om du är kund hos Kinsta erbjuder vi för närvarande TLS 1.2 och TLS 1.3, som alla är säkra och stöds av alla större webbläsare.
