O que é HTTPS?

Um website seguro tornou-se um sinal importante de confiança para os usuários da Internet. Ver um símbolo de cadeado na barra de endereços do navegador oferece às pessoas que usam websites um grau de garantia de que o website é legítimo e seguro. 

A Internet é baseada em protocolos, incluindo o HTTP (Hypertext Transfer Protocol). Um S no HTTP de um URL de website, ou seja, HTTPS, indica que o website usa a versão segura do HTTP, ou seja, S de seguro. O HTTPS (Hypertext Transfer Protocol Secure) foi usado originalmente para proteger logins on-line e garantir que transações bancárias e de compras on-line fossem seguras. Entretanto, em 2014, o Google elevou as apostas para o uso do HTTPS, usando-o como um sinal de classificação. O efeito sobre a adoção do HTTPS foi dramático, e hoje mais de 80% de todos os websites usam o HTTPS.

O HTTPS e o protocolo de segurança relacionado, SSL (Secure Sockets Layer), foram lançados pela Netscape em 1994 para proteger o navegador Netscape.

As conexões HTTPS facilitam duas funções críticas para ajudar a estabelecer confiança e criar conexões seguras na Internet:

• Autenticação do website: Isso autentica um website para que o usuário saiba que a legitimidade do website foi verificada. Por exemplo, apple.com é o website da empresa Apple Inc.
• Criptografia de dados: Os websites HTTPS usam o protocolo TLS (Transport Layer Security) (o sucessor do SSL) para criptografar o tráfego da Web, protegendo informações confidenciais entre um cliente (por exemplo, navegador da Web) e um servidor da Web. Por exemplo, se você comprar algo on-line e enviar seus dados de cartão de crédito para fazer a compra, se o website for HTTPS, esses dados serão enviados em formato criptografado, em vez de texto simples para o servidor da Web.

O HTTPS é baseado em uma tecnologia chamada public key infrastructure (PKI). A PKI depende da criptografia de chave pública e de uma assinatura digital. Um "par de chaves" é criado pelo proprietário do website, e a chave pública é enviada a uma autoridade confiável conhecida como "autoridade de certificação" (CA, Certificate Authority). Essa autoridade assina a chave pública, que produz um documento conhecido como certificado digital. O website agora contém uma chave privada e um certificado SSL, que mantém a chave pública. A chave pública verifica qualquer coisa assinada pela chave privada. O certificado digital fornece uma cadeia de confiança e validação de que o website é autêntico. O HTTPS funciona em conjunto com um protocolo de segurança (SSL/TLS) para criptografar e descriptografar comunicações e dados confidenciais entre o navegador da Web e o servidor da Web.

O fluxo de solicitação-resposta do protocolo HTTPS começa da mesma maneira que HTTP. No entanto, uma etapa intermediária, a etapa 1.5, é usada para diferenciar os dois fluxos:

Etapa 1: Navegação e início

O usuário digita um endereço da Web em um navegador ou clica em um link em um e-mail ou outra comunicação. O endereço contém um URL (Uniform Resource Locator), que contém HTTP para informar o navegador para usar HTTP para buscar o documento que representa a URL.

Etapa 1,5: A dança criptográfica

A etapa 1.5 envolve o navegador e o servidor da Web executando uma "dança criptográfica". Isso envolve a troca de mensagens criptografadas. As etapas exigem que funções criptográficas complexas sejam executadas usando o protocolo TLS, usando o par de chaves público-privadas do servidor Web gerado por meio da autoridade de certificação (CA). Esta etapa autentica o website e cria duas novas chaves (chaves de sessão): uma para o cliente e outra para o servidor. Essas chaves de sessão são usadas para criptografar e descriptografar as mensagens.

Etapa 2: O cliente envia uma mensagem de solicitação HTTP ao servidor

A etapa 2 é igual ao fluxo de solicitação-resposta da etapa 2 do HTTP. O cliente, por exemplo, o navegador, constrói uma mensagem de solicitação que é direcionada ao servidor da Web. A mensagem inclui informações adicionais sobre a solicitação, como quem é a entidade solicitante. No entanto, ao contrário do HTTP, após gravar a mensagem de solicitação e antes que o navegador possa enviar a mensagem, a solicitação HTTP(S) deve usar a chave de sessão para criptografar a mensagem.

Etapa 3: O servidor da Web envia a resposta HTTPS de volta ao cliente

Quando uma solicitação é recebida, o servidor da Web usa sua chave de sessão para descriptografar e ler a mensagem. Em seguida, o servidor da Web cria uma mensagem de resposta, que criptografa usando a chave de sessão antes de enviá-la de volta ao navegador.

Etapa 4: Mensagem renderizada pelo navegador

Ao receber a mensagem criptografada, o navegador usa sua chave de sessão para descriptografar e ler a mensagem. A parte final dessa etapa é o navegador renderizando a mensagem de resposta e exibindo a página da Web no navegador.

Sem o HTTPS, os usuários da Internet e os dados trocados on-line entre clientes (por exemplo, navegadores) e um servidor da Web correm o risco de sofrer as seguintes ameaças:

Ataques de interceptação: HTTPS usa o protocolo TLS para criptografar comunicações. Mesmo que os invasores interceptem a comunicação, eles não poderão descriptografar e roubar os dados.

Roubo de credenciais: O roubo de credenciais está atrás de 54% dos incidentes de segurança, de acordo com um relatório da Ponemon. Se um website tiver o HTTPS implementado corretamente, todos os dados enviados por esse website, por exemplo, credenciais de login, serão seguros, pois estão criptografados.

Confiança reduzida: Os websites que sinalizam que são HTTPS receberam um certificado digital por uma CA confiável. A CA realiza verificações de diligência devida na empresa durante a emissão do certificado. No entanto, é preciso ter cuidado, pois, de acordo com as estatísticas do Anti-Phishing Working Group (APWG), 83% dos websites de phishing usam HTTPS.