So che è molto facile rubare un nome utente e una password da qualcuno che sta effettuando l'accesso a qualche sito Web via HTTP, ma lo proteggiamo solo con SSL / TLS. Com'è possibile?
Voglio dire, quando accedo ad un sito Web non HTTPS e sono vittima di un MitM, il mio nome utente e la mia password sono completamente rivelati all'attaccante. Ma quando accedo a un sito Web sicuro come Facebook, GMail ecc., Sono al sicuro. Com'è possibile?
Uno degli elementi chiave qui è il concetto di coppie di chiavi pubbliche e private. L'idea è che ogni computer, o in alcuni casi, sistema informatico, ha il proprio set di due chiavi: ognuna delle quali è effettivamente senza valore senza l'altra. C'è una chiave pubblica, che viene inviata a tutti nel certificato del server Web, e la chiave privata che viene memorizzata solo dal server web stesso. Pertanto, il tuo computer ha la chiave pubblica del server e può quindi usarlo.
Un documento o una serie di comunicazioni Web (come lo scambio di una password), può essere codificato con la chiave pubblica del server. Una volta fatto, nessuno senza la chiave privata corrispondente può leggere quel file. Dal momento che solo il server web ha questo, solo lui può leggere la tua password.
In riferimento ai commenti seguenti, per chiarire, ecco una versione molto semplificata del processo:
Inoltre, il tuo browser web potrebbe avere il proprio certificato: abilitare il tuo browser ad avere la sua chiave privata e pubblica. Ciò può fornire ulteriore sicurezza al server, specialmente nell'accertare che tu sia chi dici di essere. Tuttavia, come indicato di seguito, questo non è comune.
Boom. Comunicazioni bidirezionali e più sicure. Niente è perfetto, ma la crittografia a chiave pubblica è un grande passo per garantire la privacy e la sicurezza dal crimine digitale.
SSL / TLS non rende magicamente tutto sicuro. Si preoccupa solo di proteggere il trasporto dei dati dal client (browser) al server. Attraverso la crittografia, rende (se usato correttamente) impossibile da sniffare le password o manipolare i dati. Questo è importante se si utilizza una rete non affidabile come un hotspot Wi-Fi pubblico.
SSL / TLS non ti aiuta contro il malware sul tuo computer che potrebbe dirottare il browser e leggere i dati prima che avvenga la crittografia. Inoltre, non protegge il server dall'hacking né protegge da tutte le vulnerabilità delle applicazioni Web come Cross Site Scripting, SQL Injection ...
SSL / TLS non protegge da attacchi di phishing. Il fatto che un sito Web sia raggiungibile da https non significa che sia affidabile e che possa facilmente trasferire malware sulla protezione crittografata.