TLS (Transport Layer Security) to protokół kryptograficzny, który szyfruje dane przesyłane między dwoma punktami w sieci — najczęściej między Twoją przeglądarką a serwerem. To właśnie ono stoi za literką „S” w HTTPS i za zieloną (albo szarą) kłódką w pasku adresu. TLS jest bezpośrednim następcą SSL i choć w mowie potocznej wszyscy dalej mówią „certyfikat SSL”, w praktyce od lat używasz TLS-a.
Do czego służy i jak to działa
TLS realizuje trzy rzeczy naraz: poufność (nikt po drodze nie podejrzy treści), integralność (nikt jej po cichu nie zmodyfikuje) oraz uwierzytelnienie (masz pewność, że gadasz z prawdziwym serwerem, a nie z podstawionym). Bez tego każdy w tej samej sieci Wi-Fi mógłby czytać Twoje hasła jak pocztówki.
Połączenie zaczyna się od tzw. handshake. Klient i serwer ustalają wersję protokołu i zestaw szyfrów (cipher suite), serwer przedstawia swój certyfikat (podpisany przez zaufane CA), a obie strony wymieniają klucze. Tu działa kryptografia asymetryczna — służy tylko do bezpiecznego uzgodnienia wspólnego klucza sesyjnego. Sam ruch leci już szybką kryptografią symetryczną. W TLS 1.3 (RFC 8446 z 2018 r.) handshake skrócono i wyrzucono przestarzałe, dziurawe algorytmy. Wcześniejsze kamienie milowe to TLS 1.2 (2008). SSL 3.0 i TLS 1.0/1.1 są dziś uznane za niebezpieczne i wycofane.
Przykład z praktyki
Chcesz sprawdzić, jaką wersję TLS i jaki certyfikat serwuje domena? Z openssl zrobisz to jedną komendą:
openssl s_client -connect example.com:443 -servername example.com
W odpowiedzi zobaczysz wynegocjowaną wersję protokołu, cipher suite i łańcuch certyfikatów. Do szybkiej oceny konfiguracji online świetnie nadaje się SSL Labs (test od Qualys) — wystawia ocenę od A+ do F i wytyka słabe szyfry czy brak wsparcia dla nowszych wersji.
Częste błędy i mity
- „Mam kłódkę, więc strona jest bezpieczna” — kłódka mówi tylko, że połączenie jest szyfrowane. Phishingowa strona też może mieć ważny certyfikat (są darmowe, np. Let’s Encrypt).
- Wygasły certyfikat — klasyk. Ustaw monitoring daty ważności, bo przeglądarka pokaże użytkownikom czerwony ekran ostrzeżenia.
- Mieszanie pojęć — TLS to protokół, certyfikat to dokument tożsamości serwera, a CA to instytucja, która ten dokument podpisuje. To trzy różne rzeczy.
- Stare wersje — jeśli serwer wciąż dopuszcza TLS 1.0/1.1, wyłącz je.
Pojęcia powiązane
SSL, HTTPS, certyfikat SSL/TLS, urząd certyfikacji (CA), handshake, cipher suite, kryptografia symetryczna i asymetryczna, Let’s Encrypt, PKI, mTLS.