SSL és TLS tanúsítványok: DV, OV, EV és a Let's Encrypt

Napjainkban a HTTPS titkosított protokoll használata már nem opció vagy prémium extra, hanem alapvető követelmény minden weboldal számára. A keresőmotorok hátrányba sorolják a titkosítatlan HTTP kapcsolaton futó oldalakat, a modern böngészők pedig kifejezett „Nem biztonságos” figyelmeztetéssel riasztják el a látogatókat. A webszerver és a böngésző közötti adatforgalom titkosításáért az SSL/TLS tanúsítványok felelnek.

A tárhelypiacon azonban óriási a szórás: az ingyenesen elérhető Let’s Encrypt tanúsítványoktól a havi tíz- vagy százezer forintos fizetős tanúsítványokig terjed a skála. Ebben a cikkben megvizsgáljuk, hogyan működik a technológia a háttérben, mi a különbség az egyes hitelesítési szintű tanúsítványok között, és mikor van értelme pénzt kiadni egy SSL tanúsítványért.

Az SSL/TLS titkosítás alapelve

A TLS (Transport Layer Security) protokoll – amely a korábbi, mára elavult SSL (Secure Sockets Layer) elnevezést örökölte – két fő feladatot lát el a weben:

1. Adattitkosítás: Megakadályozza, hogy a böngésző és a szerver közötti adatfolyamot (például jelszavakat, bankkártyaadatokat, személyes űrlapokat) harmadik fél lehallgassa vagy módosítsa (Man-in-the-Middle támadások elleni védelem).
2. Identitás-ellenőrzés: Igazolja a látogató böngészőjének, hogy a megnyitott domain név valóban ahhoz a szerverhez tartozik, amely rendelkezik a domainhez tartozó privát kulccsal.

A titkosítás megbízhatóságát úgynevezett Hitelesítés-szolgáltatók (Certificate Authority - CA) garantálják. A böngészők és operációs rendszerek tartalmaznak egy előre megbízhatónak jelölt gyökértanúsítvány-listát (Root CA). Amikor a szerver bemutatja a tanúsítványát, a böngésző végigköveti a megbízhatósági láncot (Certificate Chain), és ha az érvényes, megjeleníti a zárt lakatos ikont.

Hitelesítési szintek: DV, OV és EV

Nem minden SSL tanúsítvány egyforma abban a tekintetben, hogy a hitelesítésszolgáltató milyen alapossággal ellenőrzi a kérelmező kilétét. Ezen ellenőrzési mélység alapján három kategóriát különböztetünk meg:

1. DV (Domain Validation - Domain-szintű hitelesítés)

A DV tanúsítványok esetében a CA kizárólag azt ellenőrzi, hogy a kérelmező rendelkezik-e a domain név feletti technikai kontrollal. Ez a gyakorlatban automatizált folyamat: a szervernek igazolnia kell a domain jogosultságot egy HTTP fájl elhelyezésével (HTTP-01 challenge) vagy egy specifikus DNS TXT rekord beállításával (DNS-01 challenge).

• Kibocsátási idő: Néhány másodperc vagy perc.
• Szervezeti adatok: A tanúsítvány semmilyen információt nem tartalmaz a domain tulajdonos cégéről vagy személyéről, kizárólag a domain nevet igazolja.
• Használat: A weboldalak 95%-ához – blogokhoz, céges bemutatkozó oldalakhoz, kisméretű webshopokhoz – a DV tanúsítvány tökéletesen elegendő.

2. OV (Organization Validation - Szervezet-szintű hitelesítés)

Az OV tanúsítvány igénylésekor a hitelesítés-szolgáltató nemcsak a domain technikai kontrollját ellenőrzi, hanem manuálisan átvizsgálja a kérelmező vállalkozás létezését és hivatalos adatait is (cégjegyzékszám, bejegyzett székhely, nyilvános telefonszám hívása).

• Kibocsátási idő: 1–3 munkanap.
• Szervezeti adatok: A tanúsítvány részleteiben (a böngésző tanúsítvány-megtekintő ablakában) hivatalosan szerepel a cég neve és székhelye.
• Használat: Közép- és nagyvállalatok, pénzügyi szolgáltatók, ahol fontos a cégidentitás transzparens igazolása.

3. EV (Extended Validation - Kiterjesztett hitelesítés)

Az EV képviseli a legmagasabb ellenőrzési szintet. A hitelesítésszolgáltató szigorú, nemzetközileg auditált eljárásrend alapján vizsgálja meg a cég jogi és fizikai létezését, valamint a kérelem benyújtójának képviseleti jogosultságát.

• Kibocsátási idő: Több munkanap vagy akár egy hét.
• Változás a böngészőkben: Régebben az EV tanúsítvánnyal rendelkező oldalak zöld címsort és a cég nevét jelenítették meg közvetlenül az URL mellett. A böngészőfejlesztők (Google Chrome, Mozilla Firefox, Apple Safari) azonban 2019-ben kivezetették ezt a látványos megkülönböztetést, mivel a felhasználói tesztek alapján a látogatók többsége nem figyelte a zöld sávot. Ma az EV tanúsítvány is ugyanolyan zárt lakat ikont jelenít meg, mint a DV tanúsítvány, a cégadatok pedig csak a lakat rákattintása utáni menüből olvashatók ki.

A Let’s Encrypt és az ACME automatizáció

A Let’s Encrypt egy ingyenes, automatizált és nyílt hitelesítésszolgáltató, amelyet a Internet Security Research Group (ISRG) üzemeltet. A Let’s Encrypt megjelenése forradalmasította a webbiztonságot, elérhetővé téve a titkosítást minden weboldal számára.

Hogyan működik a Let’s Encrypt?

A Let’s Encrypt az ACME (Automated Certificate Management Environment) protokollt használja. A webszerverre telepített ACME kliens (például Certbot, acme.sh vagy a cPanel AutoSSL/LiteSpeed modulja) teljesen emberi beavatkozás nélkül kommunikál a Let’s Encrypt szervereivel:

1. A kliens tanúsítványt kér a szerveren lévő domainre.
2. A Let’s Encrypt kihívást (challenge) küld a domain ellenőrzésére.
3. A kliens automatikusan elhelyezi a kért igazoló fájlt a webgyökérben (.well-known/acme-challenge/), vagy beállítja a DNS TXT rekordot.
4. A Let’s Encrypt ellenőrzi a kihívást, és kiállítja a 90 napig érvényes DV tanúsítványt.
5. A kliens automatikusan telepíti a tanúsítványt, majd a lejárati idő előtt (általában a 60. napon) automatikusan megújítja azt.

Miért csak 90 nap az érvényesség?

A hagyományos fizetős tanúsítványok régebben 1, 2 vagy akár 3 évre is kiállíthatók voltak (bár a CA/Browser Forum jelenleg 398 napban maximálja a fizetős tanúsítványok érvényességét is). A Let’s Encrypt tudatosan döntött a 90 napos érvényességi idő mellett:

• Biztonság: Ha egy privát kulcsa kiszivárogna, a kompromittálódott tanúsítvány legfeljebb 90 napig marad érvényes.
• Automatizáció kikényszerítése: A rövid ciklus arra kényszeríti az üzemeltetőket, hogy automatizálják a megújítási folyamatot. Ha a megújítás automatikus, a 90 napos és az 1 éves ciklus között nincs gyakorlati különbség.

Mikor van mégis értelme fizetős tanúsítványnak?

Bár a Let’s Encrypt ingyenes DV tanúsítványa technikai szempontból (titkosítási kulcshossz, AES-256 algoritmusok) pontosan ugyanolyan erős titkosítást biztosít, mint a legdrágább fizetős tanúsítvány, léteznek olyan specifikus üzleti és technikai esetek, amikor a fizetős SSL jelenti a megoldást:

1. Pénzügyi garancia (Warranty): A fizetős tanúsítványokhoz a hitelesítésszolgáltatók biztosítási garanciát vállalnak (például 10 000 és 1 750 000 USD között). Ha a CA hibájából tévesen adnának ki tanúsítványt a nevedben, és emiatt anyagi kár érne egy felhasználót, a biztosítás fedezheti a kárt. A Let’s Encrypt ingyenes szolgáltatásként nem vállal garanciát.
2. Wildcard tanúsítványok DNS API nélkül: A Let’s Encrypt Wildcard tanúsítványai (*.domain.hu) kizárólag DNS-01 kihívással igényelhetők. Ha a tárhelyszolgáltatód nem biztosít automatizált DNS API hozzáférést a névszerverhez, a Let’s Encrypt megújítás nem automatizálható. Ekkor az 1 évre megvásárolható fizetős Wildcard tanúsítvány kényelmesebb megoldás.
3. Régi rendszerek és beágyazott eszközök: Néhány nagyon régi operációs rendszer, elavult mobiltelefon vagy ipari IoT eszköz nem tartalmazza a Let’s Encrypt ISRG Root X1 gyökértanúsítványát a megbízhatósági raktárában. A nagy múltú commercial CA-k (például Sectigo, DigiCert) gyökértanúsítványai szélesebb körű visszamenőleges kompatibilitással bírnak.
4. OV és EV igény: Ha a vállalkozás szabályzata vagy partnerei megkövetelik a cégadatok tanúsítványba ágyazását, arra az ingyenes Let’s Encrypt nem képes, mivel csak DV tanúsítványokat bocsát ki.

Összegzés

Egy átlagos weboldal, céges oldal vagy induló webáruház számára az ingyenes Let’s Encrypt (vagy a tárhelyszolgáltató által biztosított AutoSSL) tökéletes védelmet nyújt. A legfontosabb feladat a megújítási automatizmus megbízható működésének ellenőrzése. Fizetős tanúsítványra csak akkor érdemes költeni, ha vállalati igazolásra (OV/EV), speciális garanciára vagy DNS API nélküli Wildcard támogatásra van szükség.