Ett certifikat möjliggör för webbläsaren att etablera en krypterad och säker kommunikation med webbplatsen. Certifikatet ger också en identitet på webbplatsen eller webbservern.
Certifikat är en central del av ett säkert internet. De möjliggör krypterade HTTPS-anslutningar och hjälper webbläsaren att verifiera att den pratar med rätt webbplats. När HTTPS används korrekt blir det svårare att avlyssna, manipulera eller förfalska webbtrafik.
Ett certifikat är ett digitalt intyg som kopplar en domän, som internetstiftelsen.se, till en kryptografisk nyckel. Certifikatet används vid krypterade anslutningar med protokollet TLS. Tidigare användes också det äldre protokollet SSL.
Något förenklat kan man säga att ett certifikat fyller två viktiga funktioner:
- Kryptering: gör att data inte kan läsas av utomstående när den skickas.
- Verifiering: hjälper webbläsaren att kontrollera att servern faktiskt hör ihop med domänen.
Ett certifikat möjliggör alltså HTTPS, som gör att webben kan fungera mer som ett "förseglat kuvert" än ett vykort. Utan certifikat skulle det vara mycket lättare för en angripare att lura en användare att ansluta till fel server, även om rätt adress skrivs in. Det kan ske i attacker där någon försöker agera mellanhand och fånga upp trafik.
Med certifikat kan webbläsaren kontrollera att den server du ansluter till har ett certifikat som är giltigt för den domän du försöker besöka. Om något inte stämmer får användaren en varning. Det här är en viktig del i att skydda mot nätfiske, kapningar och manipulation av webbtrafik.
Vem utfärdar certifikat?
Certifikat utfärdas av en så kallad certifikatutfärdare (CA – Certificate Authorities). En CA är en betrodd part som intygar att en viss organisation eller server har rätt att använda ett certifikat för en viss domän.
När en webbplats skaffar ett certifikat bevisar den kontroll över domänen. Certifikatet signeras sedan av en CA, och webbläsare har i sin tur en lista över vilka CA:er de litar på. På så vis kan webbläsaren avgöra om ett certifikat är äkta eller inte.
När du går till en webbplats med HTTPS sker en snabb "handskakning" mellan webbläsaren och servern:
- Servern skickar sitt certifikat.
- Webbläsaren kontrollerar att certifikatet är giltigt och matchar domänen.
- Om allt ser rätt ut skapas en krypterad anslutning med hjälp av kryptonyckeln i certifikatet.
- Därefter skickas data säkert mellan webbplatsen och användaren.
Om certifikatet är ogiltigt, har gått ut, eller inte stämmer med domänen kan webbläsaren stoppa anslutningen eller visa en varning.
Problem med certifikat
Certifikat fungerar oftast utan att användaren märker det, men det finns några vanliga fallgropar:
- certifikatet har gått ut och behöver förnyas
- certifikatet har inte installerats korrekt
- domänen ingår inte certifikatet (till exempel att www saknas)
- certifikatet är utfärdat av en CA som inte är betrodd.
Därför är det viktigt att organisationer har rutiner för att hantera och förnya certifikat i tid.