O “S” em HTTPS não significa SSL

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

É natural presumir que, quando vemos um ícone de cadeado em nossos navegadores, o site está usando SSL para proteger nossas comunicações. Aparentemente, isso também indica aos consumidores que o site é, de fato, seguro. Tanto que, segundo a Pesquisa de Confiança do Consumidor de 2015 do CA Security Council, “apenas 3% forneceriam os dados de seu cartão de crédito a sites sem o ícone de cadeado”.

O impacto não se limita aos consumidores. Os participantes da nossa mais recente pesquisa Estado da Entrega de Aplicações que já haviam implementado ou planejavam implementar o “SSL em todos os lugares” demonstraram maior confiança (nota 3 ou superior em uma escala de 1 a 5) na capacidade de suas organizações de resistir a um ataque à camada de aplicação.

A verdade é que a maioria das pessoas não sabe dizer o que significa SSL, muito menos explicar como ele funciona. No entanto, elas sabem que se trata de um mecanismo para garantir a segurança das transações (e, portanto, de informações potencialmente confidenciais) ao interagir com um aplicativo ou site.

Isso é, em parte, culpa nossa (ou seja, do mercado). Temos usado SSL tanto para descrever o protocolo (RFC 6101) quanto como uma forma genérica de descrever uma conexão segura. SSL é o Band-Aid da segurança, o Google dos mecanismos de busca, o Kleenex dos lenços de papel.

A realidade é que o HTTPS não exige SSL. O “S” em “HTTPS” significa seguro e requer apenas algum método para proteger as conexões entre dois endpoints, como um navegador e um site. Cada vez mais, isso significa HTTP sobre TLS, não SSL.

Essa é uma diferença importante porque, embora tenham origens em comum, TLS não é SSL, e SSL não é TLS. São protocolos diferentes, cada um com seus próprios conjuntos de desafios, problemas e impactos. Ambos protegem as conexões da mesma forma — usam certificados para autenticação e pares de chaves pública/privada para criptografia —, mas as diferenças de implementação permanecem.

Por que você deveria se importar? Porque os protocolos mais recentes para aplicações web (HTTP/2 e SPDY) — e talvez os melhores, embora isso ainda esteja por ser comprovado — não são compatíveis com SSL. Eles são compatíveis com TLS. A rigor, eles não exigem TLS, mas as implementações dos navegadores compatíveis com ambos só oferecem suporte por meio de TLS, não de SSL.

É verdade que, hoje, ainda não há um número significativo de sites usando HTTP/2 ou SPDY, mas esse número está crescendo. Considere que 7,5% dos 1.000 sites mais acessados já disponibilizam conteúdo via HTTP/2:

Segundo a W3CTech (julho de 2015):

O novo padrão HTTP/2, cuja versão final foi publicada em maio de 2015, agora é usado por 0,4% de todos os sites (ante 0,24% no início do mês) e por 7,5% dos 1.000 sites mais acessados.

Agora, considere que não estamos falando apenas de navegadores e servidores. Também precisamos considerar o que isso significa para a integração — para o uso de APIs provenientes de alguns desses 1.000 sites mais acessados (como o Google), que podem exigir o uso não apenas de HTTP/2 ou SPDY, mas também de TLS. Todos os serviços públicos do Google que oferecem criptografia usam TLS. Se você estiver integrando alguma funcionalidade do Google, pode ser importante saber que eles usam TLS em vez de SSL, pois isso faz diferença nos bastidores.

Observe também que há implicações comerciais. De acordo com o PCI, o SSL não pode mais ser usado após 30 de junho de 2016. A partir dessa data, o uso de TLS passa a ser explicitamente obrigatório. Isso exige algumas mudanças para manter a conformidade com o PCI. E, claro, é importante estar em conformidade, pois o descumprimento pode trazer inúmeras consequências. Pode, por exemplo, resultar em taxas mais altas para a conta de comerciante, multas aplicadas pelas operadoras de cartão de crédito ou até mesmo na revogação total da sua autorização para processar pagamentos e transações. Em caso de violação de segurança, sua empresa estará mais sujeita a processos judiciais e multas por não ter tomado as devidas precauções em relação à segurança.

Por fim, há esta RFC com uma redação bastante enfática (RFC 7568) que explica claramente por que você realmente deveria migrar para o TLS:

3. Não use o SSL versão 3.0

O SSLv3 NÃO DEVE ser usado. Negociação do SSLv3 a partir de qualquer versão do TLS

NÃO DEVE ser permitido.

Qualquer versão do TLS é mais segura do que o SSLv3, embora a mais recente

É preferível usar a versão mais recente disponível.

No entanto, não é viável presumir que você vá simplesmente trocar o SSL pelo TLS neste exato momento. Afinal, embora o TLS seja baseado no SSL v3, ele não é 100% retrocompatível com seu antecessor, e são necessárias algumas alterações de configuração para desabilitar o SSL e forçar o uso do TLS. Essas alterações geralmente exigem uma reinicialização. Em um ambiente de grande porte, esse processo é, compreensivelmente, trabalhoso e demorado.

Mas já está na hora de começar a considerar seriamente por quanto tempo você pretende oferecer suporte ao SSL e quando deseja migrar exclusivamente para o TLS.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie