Door welke factoren wordt de veiligheid van het HTTPS-protocol bereikt?

Het gebruik van TLS/SSL-protocollen voor het versleutelen van gegevens tussen client en server, wat vertrouwelijkheid en integriteit van de overgedragen informatie waarborgt. Asymmetrische encryptie (RSA, ECC) wordt gebruikt voor veilige sleuteluitwisseling, en symmetrische encryptie (AES) voor het versleutelen van de gegevens zelf.

Het gebruik van digitale certificaten uitgegeven door vertrouwde certificeringsinstanties (CA) om de authenticiteit van de server te bevestigen. De browser controleert de vertrouwensketen van het certificaat tot aan de root-CA.

Hash-algoritmen (SHA-256) worden gebruikt om de integriteit van gegevens te controleren, zodat wordt gegarandeerd dat ze niet tijdens de overdracht zijn gewijzigd.

Voorbeeld van het uitwisselen van sleutels met behulp van asymmetrische encryptie:

// De client stuurt zijn sleutels uitwisselingsparameters naar de server.  
// De server reageert met zijn uitwisselingsparameters (bijvoorbeeld, openbare sleutel).  
// De client genereert een geheime sessiesleutel en versleutelt deze met de openbare sleutel van de server.  
// De versleutelde sessiesleutel wordt naar de server gestuurd.  
// De server ontsleutelt de sessiesleutel met zijn privésleutel.  
// Nu hebben client en server een gedeelde geheime sleutel voor symmetrische gegevensversleuteling.  

Voorbeeld van het controleren van de gegevensintegriteit met hashing:

// Voor het verzenden van gegevens berekent de verzender de hash van de gegevens.  
// De verzender stuurt de gegevens en de hash naar de ontvanger.  
// De ontvanger ontvangt de gegevens en de hash.  
// De ontvanger berekent de hash van de ontvangen gegevens.  
// Als de berekende hash overeenkomt met de ontvangen hash, zijn de gegevens niet gewijzigd.  

Belangrijke aspecten:

• TLS/SSL-versies: Gebruik van actuele en veilige protocolversies (TLS 1.2, TLS 1.3). Verouderde versies (SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1) hebben bekende kwetsbaarheden.
• Vertrouwen in certificeringsautoriteit: Vertrouwen in de CA die het certificaat heeft uitgegeven.
• Serverconfiguratie: Correcte configuratie van TLS/SSL-parameters op de server.
• Geldigheid van het certificaat: Het certificaat moet geldig zijn (niet verlopen).
• Beveiliging van de privésleutel: Veilige opslag van de privésleutel van de server.

Vergelijking van enkele encryptie-algoritmen die in HTTPS worden gebruikt:

Algoritme	Type encryptie	Doel	Voorbeelden van gebruik in HTTPS
RSA	Asymmetrisch	Sleuteluitwisseling, handtekeningen	Uitwisseling van een symmetrische sleutel
ECC (Elliptic Curve)	Asymmetrisch	Sleuteluitwisseling, handtekeningen	Efficiëntere sleuteluitwisseling
AES	Symmetrisch	Gegevensversleuteling	Versleuteling van het hoofdverkeer
ChaCha20-Poly1305	Symmetrisch	Versleuteling en authenticatie	Versleuteling van het hoofdverkeer
SHA-256	Hashing	Controle van gegevensintegriteit	Controle van integriteit

Al deze factoren samen zorgen voor een veilige verbinding, die bescherming biedt tegen onderschepping, vervalsing en manipulatie van gegevens.