Какой протокол нужен для сертификата в HTTPS?

Протокол TLS для HTTPS-сертификатов

Для работы с сертификатами в HTTPS используется протокол TLS (Transport Layer Security), а не какой-то отдельный "протокол для сертификатов". Сертификаты являются фундаментальным компонентом инфраструктуры TLS, который обеспечивает безопасное соединение.

Роль TLS в HTTPS

HTTPS = HTTP + TLS. Когда говорят о HTTPS-сертификате, фактически имеют в виду TLS-сертификат (часто называемый SSL/TLS-сертификатом), который используется в процессе установления защищенного соединения по протоколу TLS:

Клиент (браузер) ← TLS handshake → Сервер
         ↑                             ↑
     Проверка                      Предъявление
   сертификата                    сертификата

Ключевые аспекты использования сертификатов в TLS

1. TLS Handshake с аутентификацией сервера

Во время рукопожатия сервер представляет клиенту свой цифровой сертификат, который содержит:

• Открытый ключ сервера
• Идентификационные данные (доменное имя)
• Цифровую подпись Удостоверяющего Центра (Certificate Authority)

// Пример проверки сертификата в Node.js
const https = require('https');
const tls = require('tls');

const options = {
  hostname: 'example.com',
  port: 443,
  method: 'GET',
  // Автоматическая проверка сертификата (по умолчанию)
  rejectUnauthorized: true
};

2. Формат и стандарты сертификатов

Сертификаты соответствуют стандарту X.509, который определяет:

• Структуру данных (версия, серийный номер, алгоритм подписи)
• Информацию о владельце (Common Name, Subject Alternative Names)
• Информацию об издателе (Certificate Authority)
• Срок действия (даты начала и окончания)
• Открытый ключ и параметры криптографии

3. Протоколы и процессы, связанные с сертификатами

Хотя сам TLS обрабатывает сертификаты, существуют сопутствующие протоколы:

• OCSP (Online Certificate Status Protocol) - проверка актуальности/отзыва сертификатов
• CRL (Certificate Revocation Lists) - списки отозванных сертификатов
• ACME (Automated Certificate Management Environment) - протокол для автоматического получения сертификатов (используется Let's Encrypt)

Технический процесс использования сертификата в TLS

Этап 1: Обмен сертификатами

ClientHello →
← ServerHello
   Certificate* (сертификат сервера)
   ServerKeyExchange
   CertificateRequest* (если нужна клиентская аутентификация)
← ServerHelloDone
   Certificate* (клиентский сертификат, если требуется)
   ClientKeyExchange
   CertificateVerify* (если есть клиентский сертификат)
   [ChangeCipherSpec]
   Finished →
← [ChangeCipherSpec]
   Finished

Этап 2: Верификация сертификата

Браузер выполняет несколько проверок:

• Проверка цифровой подписи УЦ
• Проверка цепочки доверия до корневого сертификата
• Проверка срока действия
• Проверка соответствия домена
• Проверка отзыва (через OCSP или CRL)

Практический пример с веб-сервером

# Пример конфигурации Nginx с SSL/TLS
server {
    listen 443 ssl http2;
    server_name example.com;
    
    # Пути к TLS сертификату и ключу
    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    
    # Современные настройки TLS
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    
    # Поддержка HSTS
    add_header Strict-Transport-Security "max-age=31536000" always;
}

Важные современные требования

1. TLS 1.2/1.3 - минимально необходимые версии (TLS 1.0 и 1.1 устарели)
2. Поддержка SNI (Server Name Indication) - для размещения нескольких сертификатов на одном IP-адресе
3. Алгоритмы подписи - рекомендуется ECDSA с P-256 или RSA 2048+ бит
4. Цепочка доверия - сервер должен предоставлять полную цепочку до доверенного корня

Эволюция и контекст

Исторически использовался SSL (Secure Sockets Layer), но из-за уязвимостей он был заменен на TLS:

• SSL 2.0/3.0 → TLS 1.0 → TLS 1.1 → TLS 1.2 → TLS 1.3

Несмотря на это, в разговорной речи часто говорят "SSL-сертификат", хотя технически это всегда TLS-сертификат.

Итог: Сертификаты в HTTPS работают в рамках протокола TLS, который обеспечивает весь цикл их использования - от представления и проверки до шифрования данных с использованием ключей из сертификатов. Без TLS сертификаты были бы просто файлами с данными без механизма их безопасного применения.