Ótimo, você pode pensar, minhas pesquisas atividades estão seguras! Sim, mas somente se for realmente Avance no outro extremo de sua conexão. Há duas partes para enviar informações com segurança pela Internet, sejam mensagens privadas, navegação privada na Web ou qualquer outra transferência de dados privada, e a criptografia é apenas metade da história.

• Criptografia : Codificando as informações para que não possam ser lidas por ninguém sem a chave correta.
• Verificação de identidade : verificar se a pessoa ou coisa do outro lado da conexão é realmente quem eles dizem ser.

Os certificados de segurança desempenham um papel vital nesta verificação e você pode ter visto mensagens de aviso no seu navegador sobre certificados desatualizados ou incorretos. Vejamos como esses certificados são usados ​​para que você possa ter mais confiança em suas interações on-line e fazer escolhas informadas quando aparecerem avisos.

Um exemplo de aviso de certificado de segurança de um navegador.

O que é um certificado e quem o verifica?

Como tudo no seu computador ou dispositivo, os certificados são apenas arquivos contendo dados. Eles são relativamente pequenos e contêm detalhes como sua data de emissão e expiração, para qual domínio eles são válidos, quem os emitiu e uma "assinatura" supostamente única e inviolável feita de letras e números chamada de hash ^* .

De certa forma, um certificado de segurança é como um passaporte para um site - ele verifica sua identidade - mas não se pode esperar que você examine o certificado de cada servidor (computador) na Web, então, felizmente, o navegador faz isso para você o fundo. É como o seu oficial pessoal de controle de passaportes. Cada site que você tenta se conectar com segurança tem que apresentar o seu certificado para o seu navegador, que faz várias verificações. Se algo estiver errado, como o certificado expirado, o nome de domínio que não corresponde ao que você está tentando acessar ou uma assinatura incorreta, o navegador mostrará um aviso ou simplesmente bloqueará o site por completo. Como você pode ver, colocamos uma confiança incrível nos navegadores que usamos todos os dias, mas como eles sabem em quem confiar?

Quem emite os certificados?

Não se pode esperar que os navegadores saibam sobre cada certificado na Internet, em vez disso, eles confiam nas Autoridades de Certificação (CA) principais - organizações que são verificadas por fornecedores de navegadores. Todos os navegadores contêm uma lista de certificados emitidos por CAs confiáveis, denominados certificados raiz, e são a base de uma cadeia de confiança que consiste em certificados adicionais. Semelhante a uma autoridade de emissão de passaporte nacional, os emissores de certificados devem fazer verificações adequadas para verificar os detalhes das pessoas ou organização que controla o site solicitando um certificado de segurança. A segurança da Internet depende dessa cadeia de confiança e há sérias consequências se ela estiver em risco, como foi visto em abril de 2015, quando uma autoridade principal de certificação raiz foi removida dos navegadores após a descoberta de um certificado desonesto. Aliás, é possível fazer o seu próprio certificado "auto-assinado", assim como é possível criar seu próprio passaporte, mas não será oficialmente reconhecido.

É possível falsificar os certificados?

Certificados consistem em várias coisas para serem seguras e confiáveis ​​- a força do algoritmo para criar a assinatura e a competência da autoridade emissora, por exemplo. Estes, naturalmente, melhoram com o tempo, à medida que os achados de conhecimento e pesquisa se espalham, assim como as fraquezas nos métodos mais antigos aparecem. Houve casos de spoofing de certificados e pode haver novamente, mas a probabilidade é sempre decrescente.

Então os certificados fazem toda a segurança?

Eles são uma ótima tecnologia e funcionam bem. O fato de a maioria das pessoas não saber de sua existência, apesar de usá-las todos os dias, mostra com que elegância o sistema funciona. No entanto, enquanto houver sistemas para nos proteger, há pessoas tentando derrotar essa proteção. No caso de certificados de segurança, houve casos de ISPs, locais de trabalho e até computadores e tablets interceptando conexões seguras de Internet usando seus próprios certificados. Em vez de uma única conexão segura com seu banco, por exemplo, pode haver uma conexão segura com seu ISP e, em seguida, uma conexão segura separada com seu banco. Tecnicamente, parece seguro, mas na verdade o tráfego é interceptado presumivelmente sem o conhecimento do usuário. Felizmente, a comunidade de segurança está repleta de especialistas úteis que buscam esse tipo de comportamento não confiável e espalham as notícias rapidamente para que possam ser corrigidas (ou evitadas). Também é possível verificar os certificados se você suspeitar.

Como posso verificar os certificados?

Normalmente, dentro do seu navegador, você pode clicar na pequena imagem de cadeado ao lado da barra de endereço, que aparece apenas para sites seguros, ou seja, aqueles que começam com https://. Então deve haver um botão para abrir os detalhes do certificado para você ver. Faça questão de verificar quem é a autoridade emissora, para que domínio é (esperançosamente o que você está visitando!), Quando a data de expiração é, e assim por diante.