Ustawienia SSL

Ten rozdział objaśnia konfigurację protokołu SSL i szyfrów.

Preferencje SSL

Ta część objaśnia używanie panelu konfiguracji protokołu SSL. Jeżeli panel nie jest w tej chwili widoczny, należy wykonać poniższe czynności:

1. Z menu &brandShortName;Edycja wybrać Preferencje.
2. W kategorii Prywatność i zabezpieczenia wybrać SSL. (Jeśli podkategorie nie są widoczne, to aby rozwinąć listę, należy podwójnie kliknąć na Prywatność i zabezpieczenia.)

Wersje protokołu SSL

Protokół SSL (ang. Secure Sockets Layer) definiuje zasady rządzące wzajemną autentykacją (uwierzytelnianiem) w komunikacji pomiędzy witryną WWW a oprogramowaniem służącym do przeglądania zawartości stron WWW. Zapewnia poufność i integralność transmisji danych. It is also used for secure communication in various other protocols, e.g., for protection of sensitive information exchanged with email, calendar, or directory servers. The newer Transport Layer Security (TLS) protocol is an IETF standard based on SSL but with its own version numbering. TLS 1.0 can be thought of as SSL 3.1, TLS 1.1 is in turn an update to TLS 1.0, etc. Newer protocols are preferred over older ones as they provide better security and more features. Older protocols are supported to ensure compatibility.

By default, &brandShortName; will select the most secure version which is widely supported to connect to the server. If that attempt doesn't succeed, it will try to connect with the next older version, etc., to the extent allowed by the settings in this panel. The connection will fail if no protocol supported by both sides is found. You can exclude older versions explicitly or allow newer versions which may not be widely supported yet with the following options:

• Enable: Check the SSL 3.0, TLS 1.0, TLS 1.1, and/or TLS 1.2 boxes to indicate which protocol versions can be used for a secure connection to a server.

Notes:

• At least one protocol version must be selected, thus it is not possible to uncheck the last remaining box.
• Also, the selection must be contiguous. It is not possible to select both SSL 3.0 and TLS 1.1 but to exclude the intermediate TLS 1.0 version.
• You can extend the range by multiple versions. For example, if only SSL 3.0 is currently checked and you select TLS 1.2, the TLS 1.0 and TLS 1.1 versions are automatically selected as well.
• Checkboxes may appear checked but grayed out if you cannot uncheck them without violating these rules. Uncheck the outermost boxes to regain access to an enclosed intermediate version.

Ostrzeżenia SSL

Bardzo łatwo jest zauważyć fakt oglądania strony WWW przy użyciu bezpiecznego połączenia. Jeżeli połączenie jest szyfrowane, wówczas ikona umieszczona w prawym dolnym rogu okna przeglądarki przedstawia zamkniętą kłódkę (). Jeżeli połączenie nie jest szyfrowane, wówczas ikona w prawym dolnym rogu okna przeglądarki nie pojawia się lub przedstawia otwartą kłódkę (). Encrypted pages which contain some unencrypted items (mixed content) are shown with a broken-lock icon ().

Jeżeli zachodzi potrzeba pokazywania przez przeglądarkę dodatkowych ostrzeżeń dotyczących obsługi SSL, użytkownik może zaznaczyć jedną lub więcej opcji w panelu preferencji SSL. Unless stated otherwise, a notification bar will be presented at the top of the page triggering the alert, with an option to enter this panel to change the option if the alert is considered annoying.

Aby uaktywnić którekolwiek z poniższych ostrzeżeń, należy zaznaczyć odpowiednią opcję:

• Wczytanie strony, która używa szyfrowania: Zaznaczenie tej opcji spowoduje pokazanie okna z odpowiednim ostrzeżeniem przy próbie wczytania przez przeglądarkę strony używającej szyfrowania danych podczas transmisji.
• Opuszczenie strony, która używa szyfrowania: Zaznaczenie tej opcji spowoduje pokazanie okna z odpowiednim ostrzeżeniem przy próbie przejścia ze strony używającej szyfrowania danych na stronę, która takiego szyfrowania nie używa.
• Przesyłanie danych pomiędzy stronami, które nie używają szyfrowania: Zaznaczenie tej opcji spowoduje pokazanie ostrzeżenia przy próbie przesyłania danych (np. przy użyciu formularza) przy użyciu nieszyfrowanego połączenia. When this option is selected, a dialog box will be presented to the user before the page is actually opened, which allows the loading of the page to be canceled before any potentially sensitive information is sent over an unencrypted connection that can easily be intercepted by others.

  Note: Submitting a form from an encrypted to an unencrypted page will always prompt a dialog prior to opening the page, regardless of this setting.

• Przeglądanie strony tylko częściowo zaszyfrowanej: Zaznaczenie tej opcji spowoduje pokazanie ostrzeżenia przy przeglądaniu strony, której nie wszystkie elementy zostały przesłane przy wykorzystaniu szyfrowanego połączenia.

  Note: See the options in the Mixed Content section below for blocking of such content and for more differentiated control of the warnings.

Mixed Content

In general, there are two major issues related to transmitting sensitive information over an unencrypted connection: One is the danger of someone eavesdropping on the line, thus listening to the content transmitted; the other of someone intercepting requests for the desired page and replacing the legitimate content of that page with own (potentially malicious) content. While so-called Man In The Middle attacks can usually be detected in encrypted connections (e.g., by a certificate mismatch or an invalid certificate presented by the interceptor), no such verification exists for unencrypted connections.

The term Mixed Content refers to a web page which itself is encrypted, but which includes content on the same or a different server which is not encrypted. Consequently, this part of the page is still subject to the vulnerabilities of an unencrypted line. While there are legitimate uses of that concept (such as including a company logo from a different insecure website into an otherwise secure page), such designs should be avoided.

There are two general types of mixed content:

• Mixed Active Content (or Mixed Script Content): This is content which has the potential to hide or modify parts of a web page, or to actively leak content from the secure part of the page to its insecure part. Examples include scripts (JavaScript), style sheets (CSS), or the embedding of entire web pages into the main web page (iframes).
• Mixed Passive Content (or Mixed Display Content): This type of content does not have the potential to alter or monitor the web page as such. Examples include images and audio or video streams. It is however possible that sensitive information is passed as an encoding of the content's location (URL), as cookies, or returned with the content itself (e.g., as text included in an image). Thus, passive content isn't entirely harmless either.

The following options allow you to be warned about and/or to block both mixed active and mixed passive content:

• Warn me when encrypted pages contain insecure content: Check this to instruct &brandShortName; to present a notification bar when mixed active content was loaded or blocked. The notification bar contains a button to open this preference panel.
• Don't load insecure content on encrypted pages: Check this to prevent mixed active content from being loaded at all but to be blocked. If also the Warn me option is checked, the notification bar will contain two additional buttons:
  • Keep Blocking: Dismiss the notification bar without loading the potentially insecure content.
  • Unblock: Load the potentially insecure content once but not automatically when this page is visited again in the future.
• Warn me when encrypted pages contain other types of mixed content: Check this to instruct &brandShortName; to present a notification bar when mixed passive content was loaded or blocked. The notification bar contains a button to open this preference panel.
• Don't load other types of mixed content on encrypted pages: Check this to prevent mixed passive content from being loaded at all but to be blocked. If also the Warn me option is checked, a notification is presented that such content was blocked.

Krótkie definicje ważnych przy szyfrowaniu danych pojęć: autoryzacja, szyfrowanie, lub certyfikat.

Więcej informacji o szyfrach i szyfrowaniu można znaleźć w poniższych dokumentach anglojęzycznych:

• Introduction to Public-Key Cryptography.
• Introduction to SSL.
• Technologies Available in the Network Security Services (NSS).