SSL/TLS

SSL (Secure Socket Layer) é a especificação de uma tecnologia, através da aplicação da qual a transferência de Dados está seguro na Internet. Os dados a serem transmitidos são criptografados com base no protocolo HTTPS e, portanto, protegidos contra espionagem por terceiros. A criptografia é complementada pela exigência de autenticação dos participantes da comunicação. O termo SSL foi agora substituído por TLS (Transport Layer Security). Somente o nome mudou. A tecnologia subjacente permaneceu a mesma e alguns pacotes de software e bibliotecas ainda têm SSL em seus nomes por razões históricas, embora eles sejam baseados no TLS, que desde então tem sido mais desenvolvido.

Do SSL ao TLS - semelhanças e diferenças

A tecnologia amplamente implementada, geralmente conhecida pela abreviação SSL, continua e é desenvolvida hoje sob o nome de TLS. Os conceitos básicos da tecnologia não mudaram. Ainda é o uso do HTTPS como protocolo híbrido de criptografia, cuja última versão como protocolo SSL era Vers. 3.0. Foi então mais desenvolvido e padronizado como o protocolo TLS, começando em Vers. 1.0. No uso geral da linguagem, os dois termos são freqüentemente utilizados como sinônimos, embora o número do verso deva ser anotado. Por exemplo, o SSL 1.0 não corresponde à TSL 1.0. Na presente apresentação, a abreviação SSL é usada porque tem o maior grau de familiaridade e ainda é comum falar de SSL hoje em dia, mesmo quando se trata da tecnologia TLS. São apresentados os conceitos básicos, que são idênticos tanto para SSL quanto para TSL. Entretanto, para usos específicos há diferentes implementações com nomes diferentes, como OpenSSL, GnuTLS, e LibreSSL.

Criptografia e verificação de identidade - o princípio funcional SSL

O princípio funcional da Camada de Soquete Seguro ou Camada de Segurança de Transporte é de duas partes. Além da criptografia dos dados, ela também se baseia no uso da autenticação. O uso do SSL é difundido e freqüentemente utilizado para a recuperação segura de dados confidenciais e a transmissão segura de dados confidenciais para um servidor HTTP (servidor web). A autenticidade do servidor discado é verificada por um Certificado é garantida e a conexão entre o servidor e o cliente é criptografada. Como o SSL é extremamente popular hoje em dia, ele quase se tornou um padrão para complementar protocolos de aplicação com os quais uma conexão segura não pode ser realizada apenas por criptografia.

Certificação e autenticação

A certificação e autenticação antes do início de uma transmissão de dados através de uma conexão SSL é dividida nas seguintes etapas de processamento:

- A certificação da chave pública é realizada uma vez
Mediante solicitação, o servidor recebe uma certificação de uma autoridade de certificação e validação.

- Autenticação do servidor
A conexão entre cliente e servidor é estabelecida por um pedido SSL do cliente e o servidor se autentica com seu certificado.

- Validação do certificado transmitido
O cliente tem o certificado recebido do servidor verificado pela autoridade de certificação e validação.

- transmissão de dados criptografados
Se a identidade do servidor for claramente identificável com base no certificado validado, a transmissão dos dados criptografados começa.

Criptografar e decodificar

A criptografia e decodificação do protocolo SSL é baseada em um par de chaves digitais que consiste em uma chave pública e uma chave privada. Ambas as chaves são diferentes. O remetente (cliente) recebe a chave pública do receptor (servidor) após o receptor ter se autenticado com seu certificado. Este procedimento é chamado de "criptografia assimétrica" ou "procedimento de chave pública". O remetente então usa a chave pública para criptografar os dados que ele envia ao receptor. Após a criptografia, os dados não podem mais ser descriptografados com a chave pública, mas somente com a chave privada correspondente do servidor, que deve, portanto, mantê-los em segredo em qualquer caso.

Os certificados

Tanto o SSL quanto o TLS trabalham com os chamados certificados PKIX, que significa "Infra-estrutura de Chave Pública de acordo com X.509v3". Existem três tipos de certificados, onde o esforço de verificação durante a certificação é diferente e, portanto, um nível de autenticidade seguro diferente é garantido:

- O Certificado de Domínio Validado (DV-SSL) é o certificado mais barato. O domínio só é validado por E-mail validado e o certificado é geralmente emitido após alguns minutos.

- O Certificado de Validação da Organização (OV-SSL) aumenta a confiabilidade do domínio através da verificação completa da empresa/operadora.

- O Certificado de Validação Estendida (EV SSL) é baseado no mais alto nível de validação e é comum no setor bancário, entre outras coisas.

As limitações do SSL/TLS

Somente a transmissão de dados é assegurada pelo protocolo SSL. O que acontece com o destinatário está além do escopo do protocolo SSL.