É necessário que um site tenha certificado válido para que a comunicação com ele seja segura? Por que?
Sim, é. Toda e qualquer requisição feita em cima de SSL requer uma chave que está contida dentro do certificado. O conteúdo da requisição é criptografado no servidor e enviado para o cliente, que descriptografa a requisição usando a chave do certificado.
Quando há algum problema com o certificado (não confiável, expirado, etc.) a inviolabilidade da comunicação não é garantida:
- Se o certificado não é confiável, significa que não há como garantir que a chave deste certificado está realmente protegida, pois não há como garantir a integridade da autoridade certificadora, e que ela pode ser reproduzida em um certificado falso, o que faz com que um atacante possa obter o conteúdo de suas requisições e que possa descriptografá-las e ter acesso ao seu conteúdo;
- Se o certificado expirou, significa que, por algum processo, algum atacante pode conseguir quebrar a criptografia e obter a chave. Há alguns métodos pra isso. Particularmente, quebrar SSL é complicado e demorado, mas não impossível.
Autoridades certificadoras possuem seu próprio certificado, que é chamado de certificado raiz. Os principais certificados de autoridades certificadoras são distribuídos pelos navegadores de Internet.
Seria essa uma prática aceitável? [utilizar certificados do cacert.org]
Se você tem um site que lida com informações sensíveis, tais como dados muito sigilosos, de importância financeira, governamental ou corporativa, não, porque os browsers não distribuem o certificado raiz do CACert.org, e que portanto torna o CACert uma autoridade certificadora não confiável.
Para sites em que a segurança seja necessária, mas não num nível mais crítico, não vejo problemas. O CACert utiliza um método de uma rede de confiança entre toda a comunidade, ou seja, se algum certificado é reportado como inválido por alguém da comunidade, o certificado passa a não ser mais aceito por ela.
Que impactos um certificado inválido tem na segurança de um site?
Ele não garante inviolabilidade da requisição porque não atende aos requisitos de segurança do padrão SSL. Ou seja, não é garantido que as informações que circulam entre você e o servidor não possam ser interceptadas e lidas.