HTTPS dhe Certifikatat SSL: Si Funksionojnë

Kur hap një faqe në shfletues, shpesh sheh një dryn të vogël në shiritin e adresës. Ai dryn do të thotë që faqja përdor HTTPS — një version i sigurt i HTTP-së.

Por çfarë do të thotë "i sigurt" saktësisht? Dhe çfarë nuk garanton HTTPS? Në këtë mësim do të kuptosh si funksionon në mënyrë të thjeshtë.

HTTP vs HTTPS

HTTP (HyperText Transfer Protocol) është gjuha që shfletuesi përdor për të komunikuar me serverët e faqeve. Problemi: gjithçka dërgohet si tekst i zbuluar. Kushdo që dëgjon trafikun mund t'i lexojë të dhënat — përfshirë fjalëkalimet.

HTTPS shton një shtresë enkriptimi (TLS/SSL) që bën të pamundur leximin e trafikut nga të tretët.

Çfarë garanton HTTPS?

1. Konfidencialiteti — askush midis teje dhe serverit nuk mund të lexojë atë që dërgon.
2. Integriteti — askush nuk mund të ndryshojë të dhënat pa u zbuluar.
3. Autentikimi (pjesor) — shfletuesi verifikon që po flet me serverin e duhur, jo me një impostor.

Çfarë NUK garanton HTTPS?

Ky është gabimi më i madh që bëjnë njerëzit:

• HTTPS nuk do të thotë që faqja është legjitime. Një faqe phishing mund të ketë gjithashtu HTTPS. Drapri jeshil thotë vetëm "lidhja është e enkriptuar", jo "faqja është e besueshme".
• HTTPS nuk mbron nga malware që ti shkarkon vullnetarisht.
• HTTPS nuk fsheh se cilat faqe viziton — ISP-i yt ende sheh domain-in (p.sh. "facebook.com") edhe pse jo trafikun brenda.

Si funksionon shkurt? (TLS Handshake)

1. Shfletuesi: "Përshëndetje server, dua të hap faqen."
2. Serveri: "Ja ku e ke certifikatën time SSL."
3. Shfletuesi verifikon certifikatën me një "autoritet të besuar" (CA).
4. Të dy shkëmbejnë çelësa kriptografikë në mënyrë të sigurt.
5. Prej këtu, gjithçka enkriptohet me këta çelësa.

Gjithë kjo ndodh në më pak se 200 milisekonda, pa e ditur ti.

Certifikata SSL në thjeshtësi

Një certifikatë SSL është si një "pasaportë digjitale" e faqes, që konfirmon:

• Kush e zotëron faqen — "Ky server i përket google.com".
• Kur skadon — certifikatat kanë jetëgjatësi të kufizuar (zakonisht 1 vit).
• Kush e ka lëshuar — një Autoritet Certifikimi (CA) si Let's Encrypt, DigiCert etj.

• SSL Labs (ssllabs.com/ssltest) — analizon certifikatën e çdo faqeje dhe i jep një vlerësim A+ deri F.
• crt.sh — motor kërkimi për certifikata publike. Mund të shohësh të gjitha certifikatat e lëshuara për një domain.
• Let's Encrypt (letsencrypt.org) — autoriteti falas që ka demokratizuar HTTPS.
• HTTPS Everywhere (shuma modernë janë të integruara në shfletues tashmë).

Si të verifikosh një certifikatë

1. Kliko mbi drynn në shiritin e adresës.
2. Zgjidh "Certificate" ose "View Certificate".
3. Shiko:
   • Issued to: A përputhet me domain-in që pret?
   • Valid from / until: A është ende e vlefshme?
   • Issued by: A është nga një CA i njohur (Let's Encrypt, DigiCert, GlobalSign, etj.)?

Sinjale paralajmëruese

Nëse sheh ndonjë nga këto, MOS fut informacion të ndjeshëm:

• Paralajmërim i kuq "Your connection is not private".
• "Certificate expired" ose "not valid yet".
• Emri i certifikatës nuk përputhet me URL-në.
• Certifikata është lëshuar nga një CA që nuk njihet.

Ushtrim 1: Test me SSL Labs

Shko në ssllabs.com/ssltest dhe analizo dy faqe:

• Një të madhe si google.com
• Një më të vogël që e përdor shpesh

Krahaso vlerësimet që u jepen.

Ushtrim 2: Shiko certifikatën e kësaj faqeje

Kliko mbi drynn në shfletuesin tënd dhe shiko certifikatën e kësaj faqeje të LearnCyberSecurity. Kush e ka lëshuar? Kur skadon?

Ushtrim 3: Testi i mendjes

Një mik të thotë: "Hapa një faqe 'bankae-kosoves-login.com' dhe kishte drynn jeshil, pra është e sigurt, a jo?". Si do t'i përgjigjesh?

• Let's Encrypt (letsencrypt.org) — lexo "How It Works" për të kuptuar si marrin çdo ditë miliona certifikata pa pagesë.
• Mozilla SSL Configuration Generator — konfigurim i rekomanduar për serverët (për më vonë kur të administrosh servera).
• RFC 8446 — specifikimi zyrtar i TLS 1.3 (vetëm për kuriozitet).