Ir ao conteúdo
  • Cadastre-se

Se todo navegador consegue descriptografar um site SSL, um virus também não?


Posts recomendados

Bom, todo mundo acha bonito dizer que um site com cadeado verde(httpS) passa mais confiabilidade ao usuários além de deixas as transações seguras contra um possível espião que esteja no meio... Ok, muito bonito! Isso é aceito por todo mundo sem maiores questionamentos.
O certificado não usa a sua senha para criptografar nada, haja vista você já entrar em vários sites e de cara, sem que eles lhe peçam login e senha, eles já estão lá com https na URL, vide o facebook e o google.

Sendo assim, se a criptografia não depende de mim mas sim do certificado emitido por uma autoridade(no caso desse site a CloudFlare, Inc.) e pode ser descriptografada para ver o conteúdo por qualquer navegador, onde está a segurança nisso então? Afinal qualquer atacante ao meio poderia usar um software igual ao navegador para descriptografar o conteúdo, o que evitaria isso?

Imagine, eu sou o espião, vou lá, instalo teoricamente o tal certificado num programa tip wireshark da vida e fico la sniffando a rede , por que eu não conseguiria ver tudo o que está escrito no site que a pessoa está navegando?

 

Resumindo: se qualquer navegador pode ler o que é criptografado (SSL) sem precisar senha nenhuma, apenas instalando-se o tal certificado no navegador, o que impediria de um atacante do meio criar um software usando os mesmos certificados para descriptografar todo que trafegue por uma rede que passe por um computador ou cabo dele?

 

Alguém pode me esclarecer, afinal, se o meu raciocínio estiver certo e completo, certificados são uma pura ilusão.

 

obrigado.

  • Curtir 1
Link para o comentário
Compartilhar em outros sites

  • Membro VIP

Sou ignorante digital no assunto e imagino que a certificação citada serve apenas para indicar se o site é o mesmo que diz ser, ou seja, uma ilusão de segurança.

Por exemplo, o site do tribunal de justiça de São Paulo aparece como inseguro mas, de fato é ele mesmo, apenas está com a validade vencida (desde a implantação nunca foi renovado). Acredito que não haja interesse neste sentido porque não estão ganhando dinheiro com comércio, ao contrário de um site de leilões que perderia muitos clientes que ao tentar entrar se deparam com o sinal de alerta.

Imagino que a habilitação criptografada de comunicação com o site independe do certificado, com ou sem certificado a comunicação ocorre normalmente em outro patamar, quando o usuário clica em prosseguir, o que vale mesmo é o protocolo, no caso do snif não é o certificado que vai decodificar os pacotes capturados e sim, as chaves criptográficas utilizadas.

Resumo certificação diz quem conversa com quem e chaves criptográficas mostram o que conversam.

Isso dito é minha pura imaginação pois, realmente não sei como é na realidade. A única forma de saber seria implementar o ataque na prática para ver no que dá, crie seu próprio site e monitore o tráfego apenas dele, não faça isso com outros sites, pode se dar mal.

Link para o comentário
Compartilhar em outros sites

Crie uma conta ou entre para comentar

Você precisa ser um usuário para fazer um comentário

Criar uma conta

Crie uma nova conta em nossa comunidade. É fácil!

Crie uma nova conta

Entrar

Já tem uma conta? Faça o login.

Entrar agora

Sobre o Clube do Hardware

No ar desde 1996, o Clube do Hardware é uma das maiores, mais antigas e mais respeitadas comunidades sobre tecnologia do Brasil. Leia mais

Direitos autorais

Não permitimos a cópia ou reprodução do conteúdo do nosso site, fórum, newsletters e redes sociais, mesmo citando-se a fonte. Leia mais

×
×
  • Criar novo...