13

É uma dúvida de leigo, mas gostaria de uma informação sobre o assunto...

Em HTTP temos a possibilidade de usar um certificado de segurança tipo SSL para garantir a encriptação dos dados que circulam pelo site etc. Dessa forma o protocolo muda para HTTPS.

Eu gostaria de saber se no novo protocolo HTTP/2 eu ainda vou precisar desses certificados, ou se o HTTP/2 já é encriptado por padrão, oferecendo uma conexão mais segura etc. Ou será que vamos ter o protocolo HTTPS2 ou HTTP2S?

No HTTP/2 ainda vou precisar me preocupar com esse tipo de segurança?

1

1 Resposta 1

11
+50

O fato de ser "encriptado por padrão" não removeria a necessidade de certificados. A encritação e o certificado cumprem um papel completamente diferente.

Além do mais, o HTTP/2 possui o H2C (http2 without TLS), que não é encriptado por padrão, mas isso não é suportados pelos navegadores.


A encritação apenas tem o intuito de proteger os dados trafegados, isso não é tudo. Apenas ter os dados transferidos de maneira encriptada não é suficiente, já que não há certeza de que está se comunicando com site correto.

O certificado tenta corrigir este problema. O seu dispositivo tem um lista de chaves públicas dos autoridades confiáveis (os "Certificates Authorities" ou "CA"), então o seu computador confia nessas entidades.

Quando acessa um site (site.com) é verificado se o certificado foi emitido por uma dessas autoridades (e também pode ser verificado se o certificado consta no CT-Log), então se o certificado for válido (e foi emitido por um CA que confia) é porque está acessando o site correto. Isso é, ao acessar site.com terá certeza de que é o site.com que irá receber as informações.

Um agente malicioso, via de regra, não conseguirá forjar um certificado e se passar por site.com. Um CA solicitará uma prova para confirmar a titularidade do site.com e ele será incapaz de fazer isso. Se fizer, o certificado também constará no CT-Log e será notório que algo errado ocorreu. Se um CA for corrupto ele provavelmente será removido no futuro, como já ocorreu no passado com a Symantec, WoSign, DigiNotar...

O certificado não confirma se as intenções do site são boas ou ruins. Uma loja.com com certificado pode igualmente roubar os seus dados do cartão de crédito. A diferença é que os dados foram enviados de maneira segura e teve certeza de que eles foram destinados para loja.com, não foi alguém se passando por loja.com, o que poderia ocorrer sem certificado.

Então os certificados serão ainda necessários, talvez ainda mais, já que precisará deles para usar o HTTP/2.

3
  • 1
    E se o agente malicioso utilizar um certificado reconhecido? Ele passaria a ser confiável?
    – Woss
    Commented 23/07/2019 às 21:29
  • 1
    @AndersonCarlosWoss Se o certificado for emitido por uma autoridade que confia, ele é confiável. De alguma maneira ele terá que convencer o CA à emitir um certificado, ou roubar a chave privada do site legitimo. Mas, o que é mais fácil, é convencer você a confiar numa autoridade não-confiável (enviar um arquivo alá .crt para você e você adicionar ele como confiável) ou se o seu dispositivo já vier de fabrica com uma autoridade desse naípe.
    – Inkeliz
    Commented 23/07/2019 às 21:47
  • Cara agradeço pela resposta, deu para dar uma clareada nas coisas. []´s
    – hugocsl
    Commented 24/07/2019 às 13:59

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .