Segurança SSL
Este protocolo SSL permite que os seus dados sejam transferidos com toda a segurança, sejam eles, transacções bancárias (ex: pagamentos com cartões), disponibilização de dados médicos ou outros de carácter confidencial).
O certificado digital SSL é fornecido por empresas reconhecidas e certificadas no campo da segurança informática e de tecnologia de encriptação. Para atribuição de um destes certificados SSL existem uma série de verificações / validações de segurança que as empresas que pretendem adquirir um certificado SSL tem de passar. Só após a conclusão OK destas, bastante exaustivas e complexas, envolvendo, por exemplo, registos DNS, registo WhoIS, validações junto ao ISP (‘internet service provider’), etc, é que o certificado digital SSL é atribuído.
O Servidor SSL usado pela Multiefeitos utiliza as mais recentes implementações SSL2, SSL3 e o TLS1.0 ('Transport Layer Security'), permitindo autenticação do servidor, encriptação e integridade dos dados entre este e o software HTTP cliente (ex: browsers de navegação).
'Layer' SSL
O servidor SSL usa um certificado ISO X.509 que é autenticado através de tecnologia criptográfica RSA (chave publica). Com esta tecnologia RSA, o servidor SSL desencadeia uma chave criptográfica pública e o software cliente (ex: browsers HTTP) que contacta o servidor SSL, encripta os dados usando aquela chave RSA pública. Sómente o servidor SSL, para onde o browser liga, vai poder desencriptar esses dados, pois a chave privada só reside nesse servidor SSL, nunca é divulgada nem é acedida remotamente.
Assim, o servidor SSL e o software cliente (ex: browsers de navegação HTTP) usam chaves públicas RSA encriptadas, trocando entre eles, chaves de sessão geradas aleatóriamente para aquela ligação, sendo depois os dados desencriptados no servidor SSL, através da chave privada atrás referida.
Níveis de encriptação do servidor SSL
RC4-128 versão 128 bits do algoritmo de encriptação RC4 resultando numa protecção criptográfica de elevadíssimo nível;
IDEA-128 - Também de 128 bits sendo utilizada frequentemente em instituições bancárias. Para ter uma ideia e segundo as organizações de segurança SSL, esta norma é 309,485,009,821,345,068,724,781,056 vezes mais segura que (por exemplo) a norma RC4-40: Para ser usado este nível de encriptação SSL, tem de se obter uma autorização da Ascom AG, na Alemanha;
3DES (Triple DES) - faz encriptação de 3 chaves DES por 3 vezes. È mais seguro que a norma DES e não tão seguro como o RC4-128 sendo uma norma mais exigente em termos de processamento a nível de CPU;
DES - muito usado por muitas organizações governamentais permitindo apenas o uso de uma chave de 56 bits sendo também bastante mais lento;
RC4-40 - Este encriptador usa uma chave de 40 bits para a encriptação RC4. Muito embora esta versão ofereça um nível mais baixo de protecção, é no entanto, mesmo assim considerado internacionalmente, um encriptador de elevada ‘performance’.
DES-40 - usa o mesmo algoritmo que a encriptação DES, demorando o mesmo tempo de processamento com uma chave de 40 bits.
O servidor SSL usado pela Multiefeitos usa sempre, primeiro, o algoritmo de encriptação máximo RC4-128, “negociando” (fase 'SSL handshake', ver gráfico acima) com o software cliente (ex: software de navegação HTTP), qual o algoritmo de encriptação que este aceita.
Convém pois usar-se sempre software cliente actualizado (ex: se for HTTP, ultimas versões do MS Explorer, Mozilla, Firefox, Netscape, Safari, etc) pois estes implementam as ultimas versões de normas / algoritmos de encriptação disponíveis no mercado.