Wat is SSL/TLS-versleuteling?

SSL en TLS (TLS is de moderne opvolger van SSL, maar de term “SSL” wordt nog vaak gebruikt) zijn protocollen die de verbinding tussen jouw browser en een website versleutelen, zodat niemand onderweg kan meelezen. TLS staat voor Transport Layer Security, SSL voor Secure Sockets Layer.

Hoe herken ik het?

Een website met TLS gebruikt https:// in plaats van http://, en je browser toont een slotje voor de adresbalk. Vrijwel alle websites gebruiken dit tegenwoordig, ook deze. Het verschil lees je bij HTTP vs. HTTPS.

Wat versleutelt TLS precies?

TLS versleutelt de inhoud van het verkeer tussen jou en de website, denk aan wachtwoorden, formuliergegevens en de pagina-inhoud zelf. Je internetprovider of iemand op hetzelfde wifi-netwerk kan dus niet zien wát je precies verstuurt, al kan diegene nog wel zien welke website (domeinnaam) je bezoekt.

Hoe werkt TLS? (de handdruk)

1. Je browser maakt verbinding en geeft aan welke TLS-versies en versleutelingsmethodes hij ondersteunt.
2. De server kiest een methode en stuurt zijn SSL-certificaat.
3. Je browser controleert het certificaat.
4. Beide kanten spreken een tijdelijke sessiesleutel af.
5. Daarmee wordt al het verkeer versleuteld.

Dit duurt een fractie van een seconde en gebeurt bij elke https-verbinding opnieuw.

Welke versies bestaan er?

SSL 2.0 en 3.0 zijn verouderd en onveilig. TLS 1.0 en 1.1 zijn ook uitgefaseerd. Op dit moment zijn TLS 1.2 en TLS 1.3 de standaard; TLS 1.3 is sneller en veiliger.

TLS versus een VPN

Dit wordt vaak door elkaar gehaald. TLS versleutelt het verkeer naar één specifieke website, en je eigen IP-adres blijft gewoon zichtbaar voor die website. Een VPN versleutelt al je verkeer naar alle bestemmingen tegelijk én verbergt je IP-adres. Ze zijn complementair: een VPN beschermt je verbinding in het algemeen, TLS beschermt specifiek het verkeer naar een individuele website.

TLS en end-to-end encryptie

TLS beschermt het verkeer tot de server, maar de server kan de inhoud zelf wel lezen. Bij end-to-end encryptie kan zelfs de server dat niet.

Waarom is dit belangrijk?

Zonder TLS zou al het verkeer, inclusief wachtwoorden, onversleuteld (in platte tekst) over het netwerk gaan, leesbaar voor iedereen die meekijkt op hetzelfde netwerk, zoals openbare wifi. Het beschermt ook tegen een man-in-the-middle-aanval, omdat het certificaat bewijst met wie je praat.

Is een site met slotje veilig?

Het slotje betekent dat de verbinding versleuteld is, niet dat de website betrouwbaar is. Ook phishingsites kunnen https gebruiken. Controleer altijd de domeinnaam in de adresbalk.

Heeft mijn eigen website TLS nodig?

Ja. Je hebt een certificaat nodig, vaak gratis via je hostingprovider of Let’s Encrypt. Zonder TLS toont de browser een waarschuwing.