O que é um certificado de CA e como ele funciona?

[ware_item id=33][/ware_item]

Uma ilustração de um certificado CA.


Recentemente, o governo do Cazaquistão obrigou temporariamente os cidadãos a instalar uma Autoridade de Certificação (CA) que permitia ao estado descriptografar todo o conteúdo e as comunicações em um ataque do tipo "homem do meio".

O certificado até permitia ao governo alterar dados e induzir os usuários a executarem e baixarem vírus e spyware. A iniciativa do governo do Cazaquistão pode ter falhado por enquanto, mas a ameaça é real.

Autoridades de certificação explicadas

Uma autoridade de certificação verifica se um site é o que diz ao criptografar dados entre seus servidores e você. A CA assinará o certificado de criptografia do site, que é apresentado ao usuário toda vez que um site é aberto.

O certificado ExpressVPN, assinado por uma Autoridade de Certificação (Amazon).

Os fornecedores de navegadores e sistemas operacionais não podem validar a propriedade de todos os sites por conta própria; portanto, eles delegam isso em várias CAs confiáveis. Todas as CAs devem ter processos e verificações para garantir que os certificados sejam emitidos apenas ao legítimo proprietário de um domínio.

Por exemplo, ao visitar o site do seu banco, você quer ter certeza de que está realmente usando o site do seu banco e não um impostor. Portanto, seu navegador verificará se o certificado apresentado pelo site é emitido por uma CA confiável, formando uma "cadeia de confiança", fornecendo uma prova de que você realmente está usando o site correto.

No passado, houve vários casos em que os fornecedores de navegadores e SOs tiraram os direitos das CAs porque se mostraram incompetentes ou maliciosos na maneira como emitiam certificados. Se a autoridade de certificação assinar solicitações de terceiros, como estados-nação ou hackers, o sistema não funcionará.

Seu computador vem com um conjunto de autoridades de certificação pré-instaladas, enquanto o Firefox usa sua própria lista, avaliada por seus próprios especialistas. O Cazaquistão está tentando incluir sua autoridade de certificação maliciosa no Firefox, mas a Mozilla recusou educadamente. A CA não está incluída em nenhum outro navegador principal, mas é possível adicionar qualquer CA manualmente. Os desenvolvedores de navegadores estão cientes dessa brecha, com alguns propondo bloquear permanentemente CAs maliciosas e tornar impossível para os usuários instalá-las ou ignorar restrições.

Uma autoridade de certificação falsa

Criando sua própria autoridade de certificação e dando-se a capacidade de se passar por qualquer site que desejar, o governo do Cazaquistão está tentando contornar essa importante cadeia de confiança.

Enquanto ele controla o fluxo de dados, ele pode apresentar qualquer servidor como "legítimo" e usá-lo para phishing de suas credenciais. Por exemplo, o certificado válido do twitter.com prova que você realmente está conectado ao Twitter e que é seguro digitar seu nome de usuário e senha. No entanto, se o seu computador confiar em uma autoridade de certificação falsa, alguém poderá direcionar sua conexão ao seu próprio servidor enquanto estiver posando como Twitter.

O que é um certificado HTTPS?

O protocolo HTTPS (Hypertext Transfer Protocol Secure) é um protocolo usado para criptografar sites. Quando você navega para um site que suporta HTTPS (atualmente a maioria de todos os sites), um canal criptografado é configurado entre o dispositivo e o servidor do site, garantindo que ninguém entre eles possa ler suas senhas ou informações confidenciais. Essa medida de segurança geralmente é indicada com um bloqueio na barra de endereços do navegador.

Para verificar se o seu computador está conectado a um site do banco real e não a um clone, o certificado HTTPS é assinado por uma CA. Quando você navega para o site, o servidor apresenta uma assinatura eletrônica mostrando que a autoridade verificou que pertence ao site que você está tentando visitar.

Como o HTTPS é muito confiável quando não é subvertido, a grande maioria dos sites e aplicativos depende exclusivamente da segurança fornecida pelo HTTPS para manter os dados seguros em trânsito.

Trabalhos de criptografia

Criptografia simples como HTTPS pode ter um efeito profundo na segurança e privacidade on-line, e é por isso que os regimes autoritários tendem a atacá-lo.

Especialmente em estados com sistemas jurídicos não confiáveis ​​e falta de responsabilização pelo poder, não podemos confiar aos governos o acesso aos nossos dados privados. Como inúmeros exemplos demonstraram, as informações privadas (como informações de cartão de crédito e mensagens privadas) vão cair nas mãos de departamentos regionais, depois oficiais individuais e, eventualmente, no crime organizado, onde isso ameaça a estabilidade da sociedade..

O que é um certificado de CA e como ele funciona?
admin Author
Sorry! The Author has not filled his profile.