Skip to main content
Mais uma pergunta.
Fonte Link
Leonel Sanches da Silva
  • 89,6mil
  • 9
  • 125
  • 233

É necessário que um site tenha certificado válido para que a comunicação com ele seja segura? Por que?

Sim, é. Toda e qualquer requisição feita em cima de SSL requer uma chave que está contida dentro do certificado. O conteúdo da requisição é criptografado no servidor e enviado para o cliente, que descriptografa a requisição usando a chave do certificado.

Quando há algum problema com o certificado (não confiável, expirado, etc.) a inviolabilidade da comunicação não é garantida:

  • Se o certificado não é confiável, significa que não há como garantir que a chave deste certificado está realmente protegida, pois não há como garantir a integridade da autoridade certificadora, e que ela pode ser reproduzida em um certificado falso, o que faz com que um atacante possa obter o conteúdo de suas requisições e que possa descriptografá-las e ter acesso ao seu conteúdo;
  • Se o certificado expirou, significa que, por algum processo, algum atacante pode conseguir quebrar a criptografia e obter a chave. Há alguns métodos pra isso. Particularmente, quebrar SSL é complicado e demorado, mas não impossível.

Autoridades certificadoras possuem seu próprio certificado, que é chamado de certificado raiz. Os principais certificados de autoridades certificadoras são distribuídos pelos navegadores de Internet.

Seria essa uma prática aceitável? [utilizar certificados do cacert.org]

Se você tem um site que lida com informações sensíveis, tais como dados muito sigilosos, de importância financeira, governamental ou corporativa, não, porque os browsers não distribuem o certificado raiz do CACert.org, e que portanto torna o CACert uma autoridade certificadora não confiável.

Para sites em que a segurança seja necessária, mas não num nível mais crítico, não vejo problemas. O CACert utiliza um método de uma rede de confiança entre toda a comunidade, ou seja, se algum certificado é reportado como inválido por alguém da comunidade, o certificado passa a não ser mais aceito por ela.

Posso simplesmente dizer pros meus usuários ingnorarem o alerta de segurança e pronto, tal como esses sites do governo fazem?

Não deveria. Analogamente falando, é como se você tivesse uma fila de pessoas para entrar num lugar restrito por idade e não conferisse se os documentos delas são verdadeiros ou não.

Apesar de interceptação de SSL não ser comum no Brasil, não deixa de ser um problema de segurança.

Que impactos um certificado inválido tem na segurança de um site?

Ele não garante inviolabilidade da requisição porque não atende aos requisitos de segurança do padrão SSL. Ou seja, não é garantido que as informações que circulam entre você e o servidor não possam ser interceptadas e lidas.

É necessário que um site tenha certificado válido para que a comunicação com ele seja segura? Por que?

Sim, é. Toda e qualquer requisição feita em cima de SSL requer uma chave que está contida dentro do certificado. O conteúdo da requisição é criptografado no servidor e enviado para o cliente, que descriptografa a requisição usando a chave do certificado.

Quando há algum problema com o certificado (não confiável, expirado, etc.) a inviolabilidade da comunicação não é garantida:

  • Se o certificado não é confiável, significa que não há como garantir que a chave deste certificado está realmente protegida, pois não há como garantir a integridade da autoridade certificadora, e que ela pode ser reproduzida em um certificado falso, o que faz com que um atacante possa obter o conteúdo de suas requisições e que possa descriptografá-las e ter acesso ao seu conteúdo;
  • Se o certificado expirou, significa que, por algum processo, algum atacante pode conseguir quebrar a criptografia e obter a chave. Há alguns métodos pra isso. Particularmente, quebrar SSL é complicado e demorado, mas não impossível.

Autoridades certificadoras possuem seu próprio certificado, que é chamado de certificado raiz. Os principais certificados de autoridades certificadoras são distribuídos pelos navegadores de Internet.

Seria essa uma prática aceitável? [utilizar certificados do cacert.org]

Se você tem um site que lida com informações sensíveis, tais como dados muito sigilosos, de importância financeira, governamental ou corporativa, não, porque os browsers não distribuem o certificado raiz do CACert.org, e que portanto torna o CACert uma autoridade certificadora não confiável.

Para sites em que a segurança seja necessária, mas não num nível mais crítico, não vejo problemas. O CACert utiliza um método de uma rede de confiança entre toda a comunidade, ou seja, se algum certificado é reportado como inválido por alguém da comunidade, o certificado passa a não ser mais aceito por ela.

Que impactos um certificado inválido tem na segurança de um site?

Ele não garante inviolabilidade da requisição porque não atende aos requisitos de segurança do padrão SSL. Ou seja, não é garantido que as informações que circulam entre você e o servidor não possam ser interceptadas e lidas.

É necessário que um site tenha certificado válido para que a comunicação com ele seja segura? Por que?

Sim, é. Toda e qualquer requisição feita em cima de SSL requer uma chave que está contida dentro do certificado. O conteúdo da requisição é criptografado no servidor e enviado para o cliente, que descriptografa a requisição usando a chave do certificado.

Quando há algum problema com o certificado (não confiável, expirado, etc.) a inviolabilidade da comunicação não é garantida:

  • Se o certificado não é confiável, significa que não há como garantir que a chave deste certificado está realmente protegida, pois não há como garantir a integridade da autoridade certificadora, e que ela pode ser reproduzida em um certificado falso, o que faz com que um atacante possa obter o conteúdo de suas requisições e que possa descriptografá-las e ter acesso ao seu conteúdo;
  • Se o certificado expirou, significa que, por algum processo, algum atacante pode conseguir quebrar a criptografia e obter a chave. Há alguns métodos pra isso. Particularmente, quebrar SSL é complicado e demorado, mas não impossível.

Autoridades certificadoras possuem seu próprio certificado, que é chamado de certificado raiz. Os principais certificados de autoridades certificadoras são distribuídos pelos navegadores de Internet.

Seria essa uma prática aceitável? [utilizar certificados do cacert.org]

Se você tem um site que lida com informações sensíveis, tais como dados muito sigilosos, de importância financeira, governamental ou corporativa, não, porque os browsers não distribuem o certificado raiz do CACert.org, e que portanto torna o CACert uma autoridade certificadora não confiável.

Para sites em que a segurança seja necessária, mas não num nível mais crítico, não vejo problemas. O CACert utiliza um método de uma rede de confiança entre toda a comunidade, ou seja, se algum certificado é reportado como inválido por alguém da comunidade, o certificado passa a não ser mais aceito por ela.

Posso simplesmente dizer pros meus usuários ingnorarem o alerta de segurança e pronto, tal como esses sites do governo fazem?

Não deveria. Analogamente falando, é como se você tivesse uma fila de pessoas para entrar num lugar restrito por idade e não conferisse se os documentos delas são verdadeiros ou não.

Apesar de interceptação de SSL não ser comum no Brasil, não deixa de ser um problema de segurança.

Que impactos um certificado inválido tem na segurança de um site?

Ele não garante inviolabilidade da requisição porque não atende aos requisitos de segurança do padrão SSL. Ou seja, não é garantido que as informações que circulam entre você e o servidor não possam ser interceptadas e lidas.

Fonte Link
Leonel Sanches da Silva
  • 89,6mil
  • 9
  • 125
  • 233

É necessário que um site tenha certificado válido para que a comunicação com ele seja segura? Por que?

Sim, é. Toda e qualquer requisição feita em cima de SSL requer uma chave que está contida dentro do certificado. O conteúdo da requisição é criptografado no servidor e enviado para o cliente, que descriptografa a requisição usando a chave do certificado.

Quando há algum problema com o certificado (não confiável, expirado, etc.) a inviolabilidade da comunicação não é garantida:

  • Se o certificado não é confiável, significa que não há como garantir que a chave deste certificado está realmente protegida, pois não há como garantir a integridade da autoridade certificadora, e que ela pode ser reproduzida em um certificado falso, o que faz com que um atacante possa obter o conteúdo de suas requisições e que possa descriptografá-las e ter acesso ao seu conteúdo;
  • Se o certificado expirou, significa que, por algum processo, algum atacante pode conseguir quebrar a criptografia e obter a chave. Há alguns métodos pra isso. Particularmente, quebrar SSL é complicado e demorado, mas não impossível.

Autoridades certificadoras possuem seu próprio certificado, que é chamado de certificado raiz. Os principais certificados de autoridades certificadoras são distribuídos pelos navegadores de Internet.

Seria essa uma prática aceitável? [utilizar certificados do cacert.org]

Se você tem um site que lida com informações sensíveis, tais como dados muito sigilosos, de importância financeira, governamental ou corporativa, não, porque os browsers não distribuem o certificado raiz do CACert.org, e que portanto torna o CACert uma autoridade certificadora não confiável.

Para sites em que a segurança seja necessária, mas não num nível mais crítico, não vejo problemas. O CACert utiliza um método de uma rede de confiança entre toda a comunidade, ou seja, se algum certificado é reportado como inválido por alguém da comunidade, o certificado passa a não ser mais aceito por ela.

Que impactos um certificado inválido tem na segurança de um site?

Ele não garante inviolabilidade da requisição porque não atende aos requisitos de segurança do padrão SSL. Ou seja, não é garantido que as informações que circulam entre você e o servidor não possam ser interceptadas e lidas.