Impariamo i termini tecnici relativi alla sicurezza delle password: TLS

Cos'è il TLS?

Da un lato, notizie come questa possono farci sentire tutti un po' sciocchi; dall'altro, è estremamente importante sapere che possiamo sempre rimanere un passo avanti rispetto ai criminali informatici, anche quando la nostra unica difesa è una buona password.

Come funziona il TLS?

Il protocollo TLS fornisce una connessione privata e sicura tra un client (es. un browser) e un server (es. nordpass.com). In pochi secondi, la comunicazione tra le due parti viene verificata, autenticata, certificata e crittografata. Ciò che si ottiene con il TLS è noto come "crittografia simmetrica sicura". Tuttavia, un handshake segreto (ovvero una serie di informazioni scambiate tra le parti) è il modo migliore per comprendere la procedura.

1. Il client invia un messaggio di presentazione al server: questo messaggio indica quale versione del protocollo TLS è supportata dal client. Specifica anche le suite di cifratura supportate e una sequenza di numeri casuali noti come byte casuali del client (client random).

   (I byte casuali garantiscono che l'handshake sia stato appena creato. La casualità aiuta a impedire agli aggressori di simulare in anticipo una serie di sessioni numerate e scegliere quelle a te pertinenti. Entrambe le parti produrranno una sequenza casuale come verifica, ma tratteremo più a fondo l'argomento in seguito.)

2. Il server invia un messaggio di presentazione in risposta: questo messaggio di risposta contiene il certificato TLS/SSL del server, la suite di crittografia scelta e un'altra sequenza casuale di numeri (server random). Il certificato attiva il protocollo HTTPS e, accanto all'URL, viene mostrato il simbolo di un lucchetto.

3. Il client autentica il server: il client verifica il certificato TLS/SSL del server con l'autorità che lo ha emesso. Ciò conferma l'identità del server e dimostra che il client sta comunicando con il proprietario effettivo del dominio.

4. Il client crea un "premaster secret": il client ottiene una chiave pubblica dal certificato TLS/SSL del server. La chiave viene utilizzata per crittografare un'altra sequenza casuale di numeri, denominata premaster secret, che può essere decodificata solo con una chiave privata detenuta dal server.

5. Il server utilizza la propria chiave privata per decodificare il premaster secret.

6. Viene creata una chiave di sessione: a questo punto, sono in gioco tre serie di sequenze di numeri casuali (1: client random, 2: server random e 3: premaster secret). Il client e il server le utilizzano tutte e tre per generare una chiave di sessione. La chiave di sessione rappresenta una misura di protezione: è una chiave univoca utilizzata solo una volta per proteggere esclusivamente la sessione in corso. Infatti, ne viene creata una nuova ogni volta che si visita un sito che adotta questo protocollo.

7. Il client comunica di essere pronto: il client invia un messaggio di completamento, crittografato con la chiave di sessione esclusiva.

   Il server comunica di essere pronto: il server fa esattamente lo stesso.

8. L'handshake è completo: la comunicazione tra il client (es. Safari) e il server (es. nordpass.com) è protetta con la crittografia TLS e al sicuro dai criminali informatici.

Il TLS previene gli attacchi hacker?

Il TSL è tanto sicuro quanto affidabile: uno "shared secret" viene negoziato tra due parti e protetto utilizzando livelli multipli di codici e chiavi monouso. In questo modo, chi tenta di intercettare i tuoi dati o effettuare attacchi non avrà nulla su cui fare leva.

La crittografia multistrato codifica i tuoi dati, trasformandoli in sequenze incomprensibili e casuali: in questo modo, anche se un criminale informatico spiasse in modo passivo i tuoi dati, non sarà in grado di decodificarli.

Dove si usa il TLS?

Il TLS viene utilizzato soprattutto nei seguenti contesti:

Comunicazioni tramite internet. E-mail, app di messaggistica istantanea o servizi Voice Over IP come Skype.

Transazioni online. Applicazioni finanziarie come PayPal e Western Union, nonché siti di servizi bancari online. Il protocollo TLS viene spesso usato anche nei siti di shopping online (è indicato dal lucchetto verde nel browser).

Qual è la differenza tra TLS e SSL?

Il TLS è una versione migliorata del protocollo SSL.

Nel 1994, l'SSL (Secure Sockets Layer) è stato inventato per crittografare i dati, fornire uno strumento di autenticazione tra client e server e proteggere i dati trasmessi su reti non sicure. Nel giro di un anno, di fatto è divenuto il metodo migliore per proteggere i dati di e-mail, browser web e VoIP. Tuttavia, in questo protocollo era stata individuata una grossa falla nella sicurezza.

Nel 2013, Google aveva espresso grande preoccupazione sulla sicurezza garantita dal protocollo SSL 3.0: poiché l'SSL utilizza una combinazione di testo in chiaro e testo crittografato, gli hacker riuscivano a leggere le password e ad accedere ai dati degli account di utenti sui siti web. Qualsiasi sito web che utilizza l'SSL è esposto a questo tipo di attacco, denominato POODLE.

Il protocollo TLS è stato progettato per rimediare ai difetti insiti nell'SSL: naturalmente, il TLS è stato poi adottato da aziende di tutto il mondo. Per le imprese, il modo migliore per evitare problemi di sicurezza sui siti web è garantire che i propri siti e server di hosting supportino solo la versione più recente del TLS.

Perché abbiamo bisogno del TLS?

HTTP è l'acronimo di HyperText Transfer Protocol ed è la base di ogni sito web. I siti il cui indirizzo inizia con HTTPS utilizzano una connessione sicura e privata: la S della sigla HTTPS sta infatti per "sicuro".

I protocolli TLS o SSL sono la tecnologia di sicurezza alla base dell'HTTPS.

Il TLS mette in sicurezza le connessioni online tramite la crittografia, rendendo i tuoi dati illeggibili agli hacker. Senza questo protocollo, potenzialmente si potrebbe spiare qualsiasi connessione online: chiunque potrebbe leggere i nostri messaggi, le chiamate online potrebbero essere intercettate e i dati della nostra carta di credito sarebbero alla portata dei malintenzionati. Sai qual è la cosa migliore della protezione TLS? Non ti accorgi nemmeno che è in funzione.