Come funziona HTTPS?

HTTPS (Hypertext Transfer Protocol Secure) è un protocollo che garantisce la trasmissione sicura dei dati tra il client (ad esempio, un browser) e il server. Si basa su HTTP, ma utilizza la crittografia per proteggere le informazioni trasmesse.

Il funzionamento di HTTPS si basa sull'uso del protocollo TLS (Transport Layer Security), precedentemente chiamato SSL (Secure Sockets Layer). TLS/SSL garantisce tre aspetti chiave della sicurezza:

1. Crittografia: I dati tra client e server vengono cifrati, rendendoli illeggibili per osservatori esterni.
2. Integrità dei dati: Si verifica che i dati non siano stati modificati durante la trasmissione.
3. Autenticazione: Il server conferma la propria autenticità al client.

Il processo di stabilimento di una connessione HTTPS include diverse fasi, chiamate "TLS/SSL Handshake":

1. Client Hello: Il client invia al server un "Client Hello" contenente:
   • La versione di TLS supportata.
   • La lista degli algoritmi di cifratura supportati.
   • Un numero casuale.
2. Server Hello: Il server risponde con un "Server Hello", scegliendo tra le opzioni proposte dal client:
   • La versione di TLS.
   • Uno degli algoritmi di cifratura.
   • Un numero casuale.
   • Il certificato del server.
3. Certificate: Il client riceve e verifica l'autenticità del certificato del server:
   • Verifica la firma digitale del certificato usando la chiave pubblica dell'autorità di certificazione (CA).
   • Verifica la validità del certificato.
   • Verifica che il nome di dominio nel certificato corrisponda a quello richiesto.
4. Client Key Exchange: Il client genera un pre-mester secreto, lo cifra con la chiave pubblica del certificato del server e lo invia al server.
5. Change Cipher Spec (Client): Il client informa il server di essere pronto a iniziare a scambiare dati cifrati.
6. Finished (Client): Il client invia un messaggio cifrato con un hash di tutti i messaggi precedenti del Handshake per verificare l'integrità.
7. Change Cipher Spec (Server): Il server decifra il pre-mester secreto usando la sua chiave privata e genera chiavi simmetriche per cifrare la sessione. Poi, informa il client di essere pronto a scambiare dati cifrati.
8. Finished (Server): Il server invia un messaggio cifrato con un hash di tutti i messaggi precedenti del Handshake.
9. Trasmissione di dati cifrati: Dopo aver completato con successo il Handshake, il client e il server usano le chiavi simmetriche generate per cifrare tutti i dati successivi.

In questo modo, HTTPS garantisce un canale di comunicazione sicuro, rendendo la navigazione web più sicura.