Imparare il gergo della sicurezza delle password: TLS

Ogni giorno affidiamo a internet le nostre informazioni più private. I dati della carta di credito, le coordinate per le transazioni bancarie, i messaggi personali, gli indirizzi e i numeri di telefono vengono inviati proprio da qui. Ma cosa ci protegge esattamente? La risposta è: il TLS. In questo articolo spieghiamo che cos'è, come viene utilizzato e perché ne hai bisogno.

Che cos'è il TLS?

Da un lato, notizie come questa possono farci sentire tutti un po' sciocchi. Dall'altro, è estremamente importante sapere che possiamo sempre stare un passo avanti rispetto ai criminali informatici, anche quando la nostra unica difesa è una buona password.

Come funziona il TLS?

Il protocollo TLS fornisce una connessione privata e sicura tra un client (ad es. un browser web) e un server (ad es. nordpass.com). In pochi secondi, la comunicazione tra le due parti viene verificata, autenticata, certificata e crittografata. Ciò che si ottiene con il TLS è noto come "crittografia simmetrica sicura". Tuttavia, un handshake (una serie di datagrammi scambiati tra le parti) segreto è il modo migliore per comprendere il processo.

1. Il client invia un messaggio di presentazione al server: questo messaggio indica quale versione del protocollo TLS è supportata dal client. Specifica anche le suite di cifratura supportate e una sequenza di numeri casuali noti come byte casuali del client (client random).

   (I byte casuali garantiscono che l'handshake sia stato appena creato. La casualità aiuta a impedire agli aggressori di simulare in anticipo una serie di sessioni numerate e scegliere quelle a te pertinenti. Entrambe le parti produrranno una sequenza casuale come verifica, ma tratteremo più a fondo l'argomento in seguito.)

2. Il server invia un messaggio di presentazione in risposta: il messaggio di risposta contiene il certificato TLS/SSL del server, la suite di crittografia scelta e un'altra sequenza casuale di numeri (server random). Il certificato attiva il protocollo HTTPS e accanto all'URL viene mostrato il simbolo di un lucchetto.

3. Il client autentica il server: il client verifica il certificato TLS/SSL del server con l'autorità che lo ha emesso. Ciò conferma l'identità del server e dimostra che il client sta comunicando con il proprietario effettivo del dominio.

4. Il client crea un "premaster secret": il client ottiene una chiave pubblica dal certificato TLS/SSL del server. La chiave viene utilizzata per crittografare un'altra sequenza casuale di numeri, denominata premaster secret. Quest'ultimo può essere decodificato solo con una chiave privata detenuta dal server.

5. Il server utilizza la propria chiave privata per decodificare il premaster secret.

6. Viene creata una chiave di sessione: a questo punto, sono in gioco tre serie di sequenze di numeri casuali (1: client random, 2: server random e 3: premaster secret). Il client e il server le utilizzano tutte e tre per generare una chiave di sessione. La chiave di sessione rappresenta una misura di protezione: è una chiave univoca utilizzata solo una volta per proteggere esclusivamente la sessione in corso. Infatti, ne viene creata una nuova ogni volta che si visita un sito che adotta questo protocollo.

7. Il client comunica di essere pronto: il client invia un messaggio di completamento, crittografato con la chiave di sessione esclusiva.

   Il server comunica di essere pronto: il server fa esattamente lo stesso.

8. L'handshake è completo: la comunicazione tra il client (ad es. Safari) e il server (ad es. nordpass.com) è resa sicura tramite la crittografia del protocollo TLS ed è quindi protetta da potenziali attacchi.

Il TLS previene gli attacchi hacker?

Il TSL è tanto sicuro quanto affidabile: uno "shared secret" viene negoziato tra due parti e protetto utilizzando livelli multipli di codici e chiavi monouso. In questo modo, chi tenta di intercettare i tuoi dati o effettuare attacchi non avrà nulla su cui fare leva.

La crittografia multistrato codifica i tuoi dati, trasformandoli in sequenze incomprensibili e casuali. Anche in caso di un attacco passivo ai tuoi dati, l'aggressore non sarebbe in grado di decodificare le tue comunicazioni.

Dove si usa il TLS?

Il TLS di norma viene impiegato nei contesti qui di seguito:

Comunicazioni via internet. E-mail, app di messaggistica istantanea o Voice Over IP come Skype.

Transazioni online. app finanziarie come PayPal e Western Union e siti web di online banking. Il protocollo TLS viene spesso usato nei siti di shopping online (è indicato dal lucchetto verde nel browser).

Qual è la differenza tra TLS e SSL?

Il TLS è una versione migliorata del protocollo SSL.

Nel 1994, l'SSL (Secure Sockets Layer) è stato inventato per crittografare i dati, fornire uno strumento di autenticazione tra client e server e proteggere i dati trasmessi su reti non sicure. Nel giro di un anno, di fatto è divenuto il metodo migliore per proteggere i dati di e-mail, browser web e VoIP. Tuttavia, in questo protocollo era stata individuata una grossa falla nella sicurezza.

Nel 2013, Google aveva espresso grande preoccupazione sulla sicurezza garantita dal protocollo SSL 3.0. Poiché l'SSL utilizza una combinazione di testo semplice e testo crittografato, aveva permesso agli hacker di leggere password e rivelare i dati degli account di utenti di siti web. Qualsiasi sito web che utilizza l'SSL è esposto a questo tipo di attacco, denominato POODLE.

Il protocollo TLS è stato progettato per rimediare ai difetti insiti nell'SSL: naturalmente, il TLS è stato adottato dalle aziende di tutto il mondo. Il modo migliore che hanno per evitare problemi di sicurezza sui siti web è garantire che i propri siti e server di hosting supportino solo la versione più recente del TLS.

Perché abbiamo bisogno del TLS?

HTTP è l'acronimo di Hypertext Transfer Protocol ed è la base di qualsiasi sito web. Gli URL dei siti web che iniziano con HTTPS utilizzano una connessione privata e sicura: la S di HTTPS significa appunto "Secure" (sicuro).

I protocolli TLS o SSL sono la tecnologia di sicurezza alla base dell'HTTPS.

Il TLS mette in sicurezza le connessioni online tramite la crittografia, rendendo i tuoi dati illeggibili agli hacker. Senza questo protocollo, potenzialmente si potrebbe spiare qualsiasi connessione online. Chiunque potrebbe leggere i nostri messaggi, le chiamate online potrebbero essere intercettate e i dati della nostra carta di credito sarebbero alla portata dei malintenzionati. La cosa più bella del TLS? Non ti accorgi nemmeno che è in funzione.