Por que fatores é alcançada a segurança do protocolo HTTPS?

A utilização de protocolos TLS/SSL para encriptar os dados entre o cliente e o servidor, garantindo a confidencialidade e integridade da informação transmitida. A encriptação assimétrica (RSA, ECC) é usada para troca segura de chaves, e a encriptação simétrica (AES) para encriptar os próprios dados.

A utilização de certificados digitais emitidos por centros de certificação confiáveis (CA) para confirmar a autenticidade do servidor. O navegador verifica a cadeia de confiança do certificado até à CA raiz.

Algoritmos de hashing (SHA-256) para verificar a integridade dos dados, garantindo que não tenham sido alterados durante a transmissão.

Exemplo de troca de chaves usando encriptação assimétrica:

// O cliente envia ao servidor os seus parâmetros de troca de chaves.  
// O servidor responde com os seus parâmetros de troca de chaves (por exemplo, chave pública).  
// O cliente gera uma chave secreta de sessão e a cifra com a chave pública do servidor.  
// A chave secreta cifrada é enviada ao servidor.  
// O servidor decifra a chave secreta de sessão com a sua chave privada.  
// Agora, o cliente e o servidor têm uma chave secreta comum para encriptação simétrica de dados.  

Exemplo de verificação de integridade de dados usando hashing:

// Antes de enviar os dados, o remetente calcula o hash dos dados.  
// O remetente envia os dados e o hash ao destinatário.  
// O destinatário recebe os dados e o hash.  
// O destinatário calcula o hash dos dados recebidos.  
// Se o hash calculado corresponder ao hash recebido, os dados não foram modificados.  

Aspectos importantes:

• Versões TLS/SSL: Uso de versões atuais e seguras do protocolo (TLS 1.2, TLS 1.3). Versões obsoletas (SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1) têm vulnerabilidades conhecidas.
• Confiabilidade da autoridade de certificação: Confiança na CA que emitiu o certificado.
• Configuração do servidor: Configuração correta dos parâmetros TLS/SSL no servidor.
• Atualidade do certificado: O certificado deve estar válido (não expirado).
• Segurança da chave privada: Armazenamento seguro da chave privada do servidor.

Comparação de alguns algoritmos de encriptação usados no HTTPS:

Algoritmo	Tipo de encriptação	Propósito	Exemplos de uso no HTTPS
RSA	Assimétrico	Troca de chaves, assinaturas	Troca de chave simétrica
ECC (Curva Elíptica)	Assimétrico	Troca de chaves, assinaturas	Troca de chaves mais eficiente
AES	Simétrico	Encriptação de dados	Encriptação do tráfego principal
ChaCha20-Poly1305	Simétrico	Encriptação e autenticação	Encriptação do tráfego principal
SHA-256	Hashing	Verificação de integridade dos dados	Verificação de integridade

Em conjunto, estes fatores garantem uma conexão segura, protegendo contra interceptação, substituição e falsificação de dados.