O termo SSL (sigla da expressão inglesa Secure Socket Layer) designa um padrão de comunicação, utilizado para permitir a transferência segura de informações por meio da Internet.
A tecnologia SSL, desenvolvida pela Netscape, cria uma ligação segura entre um servidor Web e o navegador para garantir a transmissão privada e integral dos dados. O SSL usa o protocolo TCP (Transport Control Protocol) para a comunicação. Muitos sites usam o SSL para áreas seguras dos seus sites, como páginas de contas de utilizadores e pagamentos online. Normalmente, quando uma página da Internet pede que o utilizador faça log in, a página resultante é protegida por SSL.
O SSL encripta os dados a serem transmitidos de modo a que ninguém possa ter acesso à transmissão e visualização dos dados a serem transmitidos. Apenas o computador do utilizador e o servidor seguro são capazes de reconhecer os dados. O SSL mantém os dados do utilizador, tais como, o nome, o endereço e as informações do cartão de crédito entre ele e o comerciante para o qual está a fornecê-lo. Sem este tipo de criptografia, as compras online seriam demasiado inseguras para serem práticas. Quando o utilizador visita um endereço da Internet que começa com https, a letra s após o http indica que o site é seguro. Esses sites geralmente usam certificados SSL para verificar a sua autenticidade.
Enquanto o SSL é mais comumente visto na Web (HTTP), ele também é usado para proteger outros protocolos de Internet, como o SMTP para o envio de e-mail e NNTP (Network News Transfer Protocol) para os newsgroups. As primeiras implementações do SSL foram limitadas à encriptação de 40 bits, mas agora a maioria dos protocolos SSL seguros usam encriptação de 128 bits ou superior.
O SSL segue um mecanismo criptográfico assimétrico, em que um navegador da Web cria uma chave pública e uma chave privada (secreta). A chave pública é colocada num ficheiro de dados conhecido como um pedido de assinatura de certificado (CSR). A chave privada é emitida para, apenas, o destinatário.
Os objectivos do SSL são:
- A integridade dos dados: Os dados são protegidos contra a violação.
- Privacidade de dados: a privacidade dos dados é assegurada através de uma série de protocolos, incluindo o registo do protocolo SSL, SSL Handshake Protocol, SSL Change CipherSpec Protocol e o SSL Alert Protocol.
- Autenticação cliente / servidor: O protocolo SSL usa as técnicas de criptografia padrão para autenticar o cliente e o servidor.
O SSL é o antecessor do Transport Layer Security (TLS), que é um protocolo de criptografia para a transmissão de dados de Internet segura.
O que é um certificado SSL e como é que isso funciona?
Os certificados SSL têm um par de chaves: uma pública e uma chave privada. Essas chaves funcionam em conjunto para estabelecer uma conexão criptografada. O certificado contém também o que é chamado de sujeito, que é a identidade do proprietário do certificado / website.
Para obter um certificado, é necessário criar uma solicitação de um CSR no servidor do utilizador. Este processo cria uma chave privada e uma chave pública no seu servidor. O arquivo de dados CSR que o utilizador envia para o emissor do Certificado SSL (CA ou certificate authority) contém a chave pública. O CA usa o arquivo de dados CSR para criar uma estrutura de dados para coincidir com a sua chave privada, sem comprometer a própria chave. O CA nunca vê a chave privada.
Depois de receber o Certificado SSL, o utilizador instalá-lo no seu servidor. Ele também instala um certificado intermediário que estabelece a credibilidade do seu Certificado SSL, prendendo-o ao certificado na raiz do CA. As instruções para instalar e testar o seu certificado serão diferentes dependendo do seu servidor.
A parte mais importante de um Certificado SSL é que ele é assinado digitalmente por um CA confiável como a DigiCert. Qualquer um pode criar um certificado, mas os navegadores só confiam nos certificados que vêm de uma organização da sua lista de CAs confiáveis. Os navegadores vêm com uma lista pré-instalada de CAs confiáveis, conhecido como o Trusted Root CA store. Para ser adicionado ao Trusted Root CA store e, assim, tornar-se uma autoridade de certificação, a empresa deve cumprir e ser auditada de acordo com as normas de segurança e autenticação estabelecidas pelos navegadores.
O navegador permite que o utilizador saiba que o site é seguro, e ele pode sentir-se seguro a navegar no site e até mesmo inserir as suas informações confidenciais.
Como o Certificado SSL cria uma conexão segura?
- O navegador conecta-se a um servidor web (website) protegidos por SSL (https). O navegador solicita que o servidor identifique-se.
- O servidor envia uma cópia do seu certificado SSL, incluindo a chave pública do servidor.
- O navegador verifica a raiz do certificado com uma lista de CAs confiáveis se o certificado não está expirado, se não está revogado, e se o seu nome comum é válido para o site que ele está a conectar-se. Se o navegador confiar no certificado, ele cria, criptografa e envia de volta uma chave de sessão simétrica ao usar a chave pública do servidor.
- O servidor decifra a chave de sessão simétrica com a sua chave privada e envia de volta um reconhecimento encriptado com a chave de sessão para iniciar a sessão encriptada.
-
O servidor e o navegador agora encriptam todos os dados transmitidos com a chave de sessão.
