Avete tutti presente immagino quel lucchetto verde che compare nella barra in alto prima di un indirizzo web, ma sapete esattamente cosa significa? Cosa vuol dire sito sicuro? Gli altri allora non lo sono?
Niente di tutto ciò. I siti in cui compare il “green lock” sono dotati di un certificato rilasciato da una “Certification Autority” riconosciuta legalmente che attesta che il sito cui ci stiamo collegando e’realmente quello, cioè non ci sono possibilita’ che qualche male intenzionato si sia intromesso nella comunicazione tra il vostro pc e il server dove risiede il sito per deviare magari il traffico verso un sito malevolo, allo scopo di infettarvi il pc o rubarvi le credenziali di accesso a qualche servizio simulando la pagina del sito reale (fenomeno di phishing che approfondiremo in un prossimo articolo).
Quindi per esempio se ora siete collegati al mio sito https://agostini.online(notate la s finale che contraddistingue il protocollo SSL dove s sta per secure) e vedete il lucchetto verde potete stare sicuri che siete interfacciati con me 🙂
Inoltre questo protocollo crea e scambia delle chiavi di cifratura che rendono la comunicazione tra i due pc, server(il mio sito) e client (il vostro pc) crittografata in modo che se il solito malfattore intercettasse la comunicazione non sarebbe in grado di leggerne il contenuto, molto importante specialmente quando s’inviano dati personali come per esempio indirizzi mail tramite un form contatti o ancora di più un user e password per accedere ad una qualsiasi area protetta:
Carol ovviamente non rischia nulla al contrario di Helen…
Ecco quindi che se ci troviamo di fronte ad un sito il cui indirizzo comincia per http e non https il nostro programma di navigazione ci avverte che questa procedura di doppia sicurezza (identita’ certa del sito e connessione cifrata) non e’ attiva e quindi “rischiamo di piu'”, questo non significa pero’ che il sito sia pericoloso, cosa a cui si sarebbe portati a pensare leggendo “sito non sicuro”.
Tra l’altro Google tende a premiare con posizioni di indicizzazione migliore i siti che dispongono della connessione ssl.
AGGIORNAMENTO:
Ultimamente vengono segnalati oltre ai messaggi informativi di sicurezza una oggettiva impossibilità ad accedere a siti sprovvisti di certificato, soprattutto, ma non solo, attraverso i link inviati tramite whatsup,
producendo un “errore ssl”. In questo caso l’unico modo per risolvere è acquistare un certificato ssl presso il provider dove è hostato il sito (in alcuni casi viene dato in omaggio) ed installarlo sul sito in modo da proteggerlo e ovviare all’errore ssl. In caso di scelta del tipo di certificato vi consiglio sempre il più economico, che funziona perfettamente e dà le stesse garanzie di protezione dei dati, quelli più costosi certificano anche dati personali ed aziendali oltre al sito e alla crittografia, secondo questo schema:
Sebbene tutto Certificati X.509 utilizzano metodi simili per garantire crittografia, autenticazione e integrità, variano in modo significativo nelle informazioni che includono sulle identità che proteggono. Un modo utile per classificare i certificati è il metodo utilizzato dall’autorità di certificazione (CA) per convalidare le informazioni sull’oggetto incluse nel certificato:
La convalida del dominio (DV) è il livello di convalida più basso e verifica che chi richiede il certificato controlli il dominio che il certificato protegge.
Organizzazione Validation (OV) verifica l’identità dell’organizzazione (ad es. un’organizzazione aziendale, senza scopo di lucro o governativa) del Soggetto elencato nel certificato, insieme al luogo in cui opera l’organizzazione.
Convalida individuale (IV) verifica l’identità della persona fisica lindicato come Oggetto del certificato. Potrebbe essere la stessa persona che ha richiesto il certificato. Spesso viene verificato anche l’indirizzo dell’Individuo.
Extended Validation (EV), come OV, verifica l’identità di un’organizzazione. Tuttavia, EV rappresenta uno standard di affidabilità più elevato rispetto a OV e richiede controlli di convalida più rigorosi confermare che l’organizzazione sia correttamente registrata presso le autorità nella sua giurisdizione e che lo sia soddisfa i requisiti stabiliti dal CA/Browser Forum.
(fonte ssl.com)