April 19
I processi di crittografia sono di vitale importanza per la sicurezza di Internet. Impediscono hacker e ladri di ascolto sulle transazioni finanziarie, e le altre parti di spiare le comunicazioni sicure. Se funziona correttamente, è possibile inviare il proprio numero di carta di credito o altri dati privati tramite la connessione e garantire nessun altro può leggerlo. Il protocollo Secure Socket Layer (SSL) è un protocollo di crittografia che costituisce la base per la maggior parte delle comunicazioni sicure su Internet.
Per mantenere un messaggio privato, mittenti utilizzano la crittografia. Innanzitutto, il messaggio viene convertito in un numero o una serie di numeri. Successivamente, computer del mittente crittografa utilizzando un apposito algoritmo matematico che accetta una chiave e un messaggio e genera un messaggio crittografato. Sull'altra estremità, il ricevitore applica una chiave matematicamente correlate alla funzione correlata, che quindi produce il messaggio originale in forma numerica.
Il protocollo SSL utilizza un algoritmo RSA per generare chiavi e messaggi cifrati. Questo algoritmo prevede due chiavi: una chiave pubblica e una chiave privata. Una chiave pubblica può essere utilizzata solo per cifrare un messaggio; essa non può decifrare il messaggio. Solo la chiave privata può decifrare la trasmissione. Il destinatario del messaggio genera entrambi i tasti prima di inviare la chiave pubblica al mittente del messaggio. Il mittente utilizza quindi la chiave pubblica e uno speciale algoritmo per crittografare il messaggio, prima di essere rispedito al ricevitore. Il componente fondamentale è la seguente: anche se qualcuno spioni sulla transazione, e udire la chiave pubblica e il messaggio crittografato, non possono determinare il contenuto del messaggio decrittografato.
Una componente importante del protocollo SSL è il certificato, la verifica dell'identità del server. A "autorità di certificazione" è responsabile di accertare la chiave pubblica del titolare del certificato corrisponde l'identità del titolare, e rilascia un documento firmato digitalmente al momento della conferma. Una firma digitale è generato in un modo simile come un messaggio cifrato, ma con ordine inverso: sottoscrittore trasmette una chiave pubblica che è usata per decifrare un messaggio che potrebbe essere crittografata solo la chiave privata del firmatario.
Comunicazione sicura con un server sconosciuto inizia con una "stretta di mano", o procedura formale svolta dai due computer per confermare il server è che il cliente pensa che sia, e stabilire comunicazioni sicure. Il cliente primi contatti sul server, che risponde con un certificato e chiede uno scambio di chiavi. I due computer calcolano un segreto, noto come "master segreto", che sarà autenticare le conversazioni future fino a quando la connessione è chiusa. Il trasferimento dei dati può quindi riprendere.
Hypertext Transfer Protocol Secure (HTTPS) è un protocollo che combina il protocollo di sicurezza SSL con il protocollo di rete HTTP. Un server accede tramite il protocollo HTTPS avrà "https: //" invece di "http: //", dopo l'URL del server. Per esempio, il sito web di PayPal si può accedere solo tramite il protocollo HTTPS. In questo modo tutte le transazioni con la società siano sicuri. La maggior parte dei principali siti di transazioni finanziarie utilizzano il protocollo HTTPS per la sicurezza.
Un anello debole in SSL è il provider di certificati. Se il provider è fatto a rilasciare certificati fraudolenti, presumibilmente proteggere i dati potrebbero diventare vulnerabili. Nel marzo 2011, è stato rivelato un provider certificato SSL è stato violato da un calcolatore iraniana e indotti a fornire certificati fraudolenti per i siti come Google, Yahoo! e altri siti web di fiducia. Inoltre, se un fornitore rilascia un certificato legittima per un sito web o di cattivo parodia, come ad esempio "localhost" o "www.amazone.com," può indurre gli utenti a dare i dati di un impostore. La Federazione Electronic Frontier stima che le autorità di certificazione hanno rilasciato oltre 37.000 certificati a nomi non qualificati.