segura - ¿Cómo proporciona seguridad HTTPS?
ssl en godaddy (5)
Quiero saber cómo se implementa HTTPS. Si los datos están cifrados o la ruta está cifrada (a través de la cual se pasan los datos). Estaré agradecido si alguien me proporciona detalles de implementación.
El servidor y el cliente no tienen control sobre la ruta que se utiliza para transmitir los datos. La ruta utilizada es un asunto para la capa de red (Protocolo de Internet - IP), no para la Seguridad de la capa de transporte (TLS)
Los datos en sí están encriptados, y también hay medios para verificar la autenticidad del servidor, como lo menciona Noon Silk.
En dos maneras.
Asegurándose de que toda la información transmitida entre usted y el sitio web esté encriptada. Lo hace a través de un proceso de intercambio de claves utilizando RSA (que intercambia una ''clave de sesión'', que se utiliza para el cifrado real).
Al (intentar) demostrar confianza en el sitio web que visita. Los certificados se proporcionan a los dominios, y la idea es que en su máquina confíe solo en certificados de diversas fuentes acreditadas. Entonces, (en teoría) puede estar seguro de que cuando aparece un certificado de "Your Bank", es realmente el sitio web de "Your Bank", y no otro sitio web. En la práctica, muy pocas personas cuidan / notan este aspecto de SSL.
Es la seguridad de la capa de transporte . No es nivel de aplicación. Aún debe seguir las prácticas de codificación segura y varias otras técnicas para garantizar que su sitio sea seguro.
Pensé que esta era una explicación legible para el ser humano muy concisa: http://robertheaton.com/2014/03/27/how-does-https-actually-work/
Aquí está mi versión resumida:
Conceptos:
- Algoritmo de criptografía asimétrica : cifrado de clave pública, descifrado de clave privada.
- Algoritmo de criptografía simétrica : cifrado y descifrado de claves públicas.
Apretón de manos:
- Hola : el cliente envía el algoritmo de criptografía y la versión SSL que admite.
- Intercambio de certificados : el servidor envía el certificado para identificarse y la clave pública del certificado.
- Intercambio de claves : el cliente utiliza una clave pública de certificado para cifrar una nueva clave pública regenerada por el cliente (utilizando el algoritmo de criptografía asimétrica acordado del paso 1) y la envía al servidor. El servidor lo descifra usando su clave privada (usando un algoritmo de criptografía asimétrica).
- Intercambio de datos : esta clave pública ahora la conocen tanto el cliente como el servidor. Se utiliza para solicitudes / respuestas posteriores tanto para el cifrado como para el descifrado tanto en el cliente como en el servidor (algoritmo de criptografía simétrica)
Puedes leer todos los detalles en el TLSv1 RFC-2246 .
Para el análisis de seguridad, específicamente la siguiente sección:
F. análisis de seguridad
El protocolo TLS está diseñado para establecer una conexión segura entre un cliente y un servidor que se comunica a través de un canal inseguro. Este documento hace varias suposiciones tradicionales, incluyendo que los atacantes tienen recursos computacionales sustanciales y no pueden obtener información secreta de fuentes fuera del protocolo. Se asume que los atacantes tienen la capacidad de capturar, modificar, eliminar, reproducir y, de otro modo, manipular los mensajes enviados a través del canal de comunicación. Este apéndice describe cómo TLS ha sido diseñado para resistir una variedad de ataques.
contenido adicional cortado
Muy simple, HTTPS usa Secure Socket Layer para cifrar los datos que se transfieren entre el cliente y el servidor. SSL utiliza el algoritmo RSA http://en.wikipedia.org/wiki/RSA , una tecnología de encriptación asimétrica. Los detalles precisos de cómo funciona el algoritmo son complejos, pero básicamente aprovechan el hecho de que si bien la multiplicación de dos grandes números primos es fácil, el factor de vuelta al resultado en los números primos constituyentes es muy, muy difícil. Cómo funciona todo el cifrado SSL / RSA es:
El servidor genera dos números primos grandes y los multiplica juntos. Esto se llama la "clave pública". Esta clave está disponible para cualquier cliente que desee transmitir datos de forma segura al servidor. El cliente utiliza esta "clave pública" para cifrar los datos que desea enviar. Ahora, debido a que este es un algoritmo asimétrico, la clave pública no se puede usar para descifrar los datos transmitidos, solo cifrarlos. Para descifrar, necesita los números primos originales, y solo el servidor los tiene (la "clave privada"). Al recibir los datos cifrados, el servidor utiliza su clave privada para descifrar la transmisión.
En el caso de que navegue por la web, su navegador le otorga al servidor su clave pública. El servidor utiliza esta clave para cifrar los datos que se enviarán a su navegador, que luego utiliza su clave privada para descifrar.
Entonces, sí, todos los datos transmitidos a / desde el servidor a través de HTTP están encriptados y encriptados correctamente. Las implementaciones SSL típicas usan 128 o 256 dígitos para sus claves. Para romper esto necesitas una gran cantidad de recursos de computación.
Que yo sepa, la solicitud de un servidor activo no está encriptada; use httpfox https://addons.mozilla.org/en-US/firefox/addon/6647/ o Wireshark http://www.wireshark.org/ o algo por confirmar.