15

Onde eu trabalho, o pessoal sempre costuma comentar que tem que colocar HTTPS nos sistemas para ele ficar mais seguro.

Eu gostaria de saber:

  • Em quê o SSL torna mais seguro um site?

  • Quais são os tipos de ataques que eles evitam?

  • Na implementação de um SSL, existe alguma relação de segurança contra alguns tipos de ataque como CSRF por exemplo?

7
  • 1
    Eu estava respondendo mas como você já está satisfeito com a resposta dada nem preciso postar mais nada.
    – Maniero
    5/02/2015 às 15:02
  • 2
    @bigown Não é todo dia que consigo ser mais rápido que o Jon Skeet brasileiro. :D 5/02/2015 às 15:13
  • 3
    Não, o fato de eu responder bastante e ter reputação alta, não dá para me comparar com o Jon Skeet que tem competência técnica e capacidade de comunicação comprovada. Minha reputação só reflete a dedicação ao site, nada mais que isto. Me considero um profissional medíocre e invejo os usuários daqui que dominam muitas coisas melhor que eu. E não é falsa modéstia, até porque eu não tenho essa qualidade/defeito :P É só constatação da realidade. No máximo sou a sujeira debaixo da unha do Jon Skeet :)
    – Maniero
    5/02/2015 às 15:37
  • 5
    @bigown Embora estejamos usando os comentários para chat offtopic, eu devo dizer que a sua reputação reflete muito mais do que apenas dedicação, reflete também qualidade, expertise, competência técnica e de comunicação comprovada. E se você for alguém medíocre no site, então isso significaria que não haveria ninguém que seja bom aqui (o que não é verdade). Pode ter certeza que ninguém em sã consciência te considera medíocre por aqui e as suas contribuições são de um altíssimo nível de excelência muito difícil de ser alcançado. 5/02/2015 às 15:47
  • 2
    O cara é humilde :) 5/02/2015 às 16:27

2 Respostas 2

19

Em quê o SSL torna mais seguro um site?

Criptografia. No HTTP normal, os dados são enviados em plaintext dentro dos pacotes de rede e alguém que estiver usando um sniffer, que é um programa que captura os pacotes, poderá ver o conteúdo deles.

No entanto, se o conteúdo dos dados que trafegam na sua conexão forem de importante confidencialidade (ex: dados bancários, e-mails pessoais, etc), o SSL* lhe provê uma criptografia forte e muito difícil de ser quebrada** (e o HTTPS nada mais é do que o HTTP sobre o SSL). Desta forma se alguém inspecionar os seus pacotes de dados sem conhecer as chaves criptográficas usadas, o conteúdo consistirá apenas de uma sequência de bytes aparentemente aleatória e sem sentido.

Quais são os tipos de ataques que eles evitam?

Principalmente ataques baseados em interceptação de dados. Se os pacotes forem interceptados, para quem não tiver conhecimento das chaves criptográficas usadas, o conteúdo deles não fará nenhum sentido.

Além disso, sem o SSL, alguém poderia maliciosamente alterar o conteúdo dos pacotes entre a origem e o destino, afinal eles transitam em plaintext, sem criptografia. Com o SSL, isso torna-se praticamente impossível, pois sem ter as chaves criptográficas não dá para introduzir alterações significativas no pacote sem fazer com que ele pareça estar simplesmente corrompido (sendo então descartado por completo). O máximo que um atacante conseguirá com isso é destruir os pacotes, e não modificá-los.

Na implementação de um SSL, existe alguma relação de segurança contra alguns tipos de ataque como CSRF por exemplo?

Não. Isso daí ja é algo que deve ser implementado pela aplicação, não é responsabilidade da camada de transporte (que é aonde o SSL está).


(*) - O SSL (Secure Sockets Layer) foi substituído pelo TLS (Transport Layer Security), mas isso daí é um detalhe irrelevante para a sua pergunta. O SSL teve três versões: 1.0, 2.0 e 3.0. E depois veio o TLS 1.0, 1.1, 1.2 e o 1.3 está sendo projetado. Na prática o TLS 1.0 nada mais é do que um SSL 3.1 que decidiram mudar de nome para padronizá-lo com a IETF (Internet Engineering Task Force).

(**) - Na realidade o SSL permite que ambas as partes negociem qual protocolo criptográfico será usado de fato, e se ambos concordarem com um protocolo fraco então a segurança não estará assegurada. Por isso é importante configurar o servidor para rejeitar cipher suites inseguras, muitas delas habilitadas por padrão na instalação. O ssllabs possui ferramentas interessantes para testar o servidor e o navegador.

Agradeço ao Omni e ao mgibsonbr pelas sugestões dadas em seus comentários.

2
  • a versao informal do TLS1.0 e SSL3.1 e nao SSL4.0. Gostei da sua nota, mas acrescentaria a razão da troca de nome (standardização do protocolo pela IETF)
    – jpmnteiro
    6/02/2015 às 8:12
  • @Omni Feito. :) 6/02/2015 às 8:37
10

São dois grandes benefícios:

  • todos os dados trafegados por este protocolo são criptografados, então tem pouca utilidade se alguém interceptar os pacotes entre o cliente e o servidor. Isto é feito de forma transparente, sua aplicação não precisa saber lidar com a criptografia.
  • ele fornece uma identificação confiável dos agentes envolvidos na comunicação impedindo que dados sejam alterados no meio do caminho após as duas pontas concordarem que vão se comunicar de forma segura (hand shaking).

Então ele é útil para garantir a autenticidade e integridade do dado transportado.

Além disto para usar o HTTPS é preciso ter um certificado. Se ele for obtido por uma autoridade certificadora confiável a identidade do servidor pode ser comprovada. Isto não é uma ganho direto, mas é importante. Em tese, isto deveria prevenir alguns ataques sociais, mas as pessoas não colaboram.

Ataques feitos à aplicação como o CSRF ou XSS não serão prevenidos já que estamos falando um protocolo de transporte. Ele previne ataques como o Man in the Middle (só um exemplo). Qualquer ataque que tente se beneficiar dos dados transportados são prevenidos com o HTTPS.

O uso deste protocolo não diminui em nada a necessidade de cuidado para desenvolver a aplicação ou de manter o servidor seguro, afinal se um invasor se apoderar do seu servidor de nada adiantará a comunicação estar segura. Ele não previne ataques de negação de serviço

Tentei dar mais algumas informações relevantes

Coloquei no GitHub para referência futura.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .