Como é alcançada a segurança do HTTPS?

A segurança do HTTPS é alcançada através da combinação de três mecanismos-chave baseados no protocolo TLS/SSL:

Criptografia: Os dados trocados entre o cliente e o servidor são transformados num formato ilegível usando algoritmos de criptografia. Isto impede a sua interceptação e leitura por terceiros. São utilizados diferentes tipos de criptografia:
- Criptografia simétrica (por exemplo, AES) para cifrar o tráfego após o estabelecimento da ligação.
- Criptografia assimétrica (por exemplo, RSA, criptografia de curva elíptica) para trocar a chave simétrica e verificar a autenticidade do servidor.
Integridade dos dados: São utilizadas funções hash criptográficas (por exemplo, SHA-256) para criar uma "impressão" única dos dados transmitidos. A parte receptora pode calcular o hash por si mesma e compará-lo com o recebido. Qualquer alteração nos dados alterará o hash, sinalizando uma possível violação da integridade.
Autenticação: Através de certificados digitais emitidos por centros de certificação confiáveis (CA), o cliente verifica a autenticidade do servidor. O certificado contém a chave pública do servidor e é assinado com a chave privada da CA. Os navegadores confiam em certos CA, e se a assinatura do certificado for válida, o cliente pode estar seguro de que está a comunicar com o servidor legítimo e não com um atacante.

Desta forma, o HTTPS garante a confidencialidade, integridade e autenticidade dos dados durante a sua transmissão.