Protocol segur de transferència d'hipertext
El protocol segur de transferència d'hipertext (en anglés: Hypertext Transfer Protocol Secure o https) és un protocol d'aplicació basat en el protocol http, destinat a la transferència segura de senyes d'hipertext, és dir, és la versió segura d'http.
Característiques tècniques
.png)
.png)
El sistema HTTPS utilisa un sifrat basat en la seguritat de texts SSL/TLS per a crear un canal sifrat (el nivell del qual de sifrat depén del servidor remot i del navegador utilisat pel client) més apropiat per al tràfic d'informació sensible que el protocol HTTP. D'esta manera es conseguix que l'informació sensible (usuari i claus de pas normalment) no puga ser usada per un atacant que haja conseguit interceptar la transferència de senyes de la conexió, ya que lo únic que obtindrà serà un fluix de senyes sifrades que li resultarà impossible de dessifrar.
El port estàndar per a este protocol és el 443.
Història
Netscape Communications va crear HTTPS en 1994 per al seu navegador Netscape Navigator. Originalment, HTTPS utilisava el sifrat SSL, pero este es va tornar obsolet davant TLS. HTTPS va ser adoptat com un estàndar web en la publicació de RFC 2818 en maig de 2000.
Diferències en HTTP
En el protocol HTTP les URL comencen en http:// i utilisen per omissió el port 80, les URL d'HTTPS comencen en https:// i utilisen el port 443 per omissió.
HTTP és insegur i està subjecte a atacs man-in-the-middle i eavesdropping que poden permetre a l'atacant obtindre accés a bancs i a contes d'un lloc web i informació confidencial. HTTPS està dissenyat per a resistir eixos atacs i ser més segur.
Capes de ret
HTTPS opera en la capa més alta del model OSI, la capa d'aplicació; pero el protocol de seguritat opera en una capa més baixa, la capa de transport, sifrant un mensage HTTP previ a la transmissió i dessifrant un mensage una volta rebut. Estrictament parlant, HTTPS no és un protocol separat, sino que es referix a l'us del HTTP ordinari sobre una capa de sifrat en la conexió en el protocol SSL o TLS.
Configuració del servidor
Per a preparar un servidor web que accepte conexions HTTPS, l'administrador deu crear un certificat de clau pública per al servidor web. Este certificat deu estar firmat per una autoritat de certificació per a que el navegador web ho accepte. L'autoritat certifica que el titular del certificat és qui diu ser. Els navegadors web generalment són distribuïts en els certificats raïl firmats per la majoria de les autoritats de certificació per lo que estos poden verificar certificats firmats per ells.
Adquisició de certificats
Adquirir certificats pot ser gratuït o costar entre US$13 i US$1500 per any.
Les organisacions poden també ser la seua pròpia autoritat de certificació, particularment si són responsables d'establir accés a navegadors dels seus propis llocs (per eixemple, llocs en l'intranet d'una empresa, o grans universitats). Estes poden fàcilment agregar còpies del seu propi certificat firmat als certificats de confiança distribuïts en el navegador.
També existixen autoritats de certificació persona a persona (peer-to-peer).
Usar un control d'accés
El sistema pot també ser usat per a l'autenticació de clients en l'objectiu de llimitar l'accés a un servidor web a usuaris autorisats. Per a fer açò l'administrador del lloc típicament crea un certificat per a cada usuari, un certificat que és guardat dins del seu navegador. Normalment, est conté el nom i la direcció de correu de l'usuari autorisat i és revisat automàticament en cada reconexión per a verificar l'identitat de l'usuari, potencialment sense que cada volta tinga que ingressar una contrasenya.
En cas de claus privades compromeses
Un certificat pot ser revocat si este ya ha expirat, per eixemple quan el secret de la clau privada ha segut compromés. Els navegadors més nous com són Firefox, Opera, i Internet Explorer sobre Windows Vista implementen el Protocol d'Estat de Certificat Online (OCSP) per a verificar que eixe no és el cas. El navegador envia el número de série del certificat a l'autoritat de certificació o, és delegat via OCSP i l'autoritat respon, dient-li al navegador si deu o no considerar el certificat com a vàlit.
Adopció d'HTTPS
En febrer de 2017, l'adopció HTTPS va ser:
- Argentina: 9,77% del total de dominis.[1]
- Espanya: 5,11% del total de dominis.[2]
- Mèxic: 13.31% del total de dominis.[3]
- Chile: 18,71% del total de dominis.[4]
- Colòmbia: 4,85% del total de dominis.[5]
Des de Google s'està intentant incentivar l'us d'https per a millorar la seguritat de transferència d'informació en internet. En 2016,Plantilla:Actualisar el navegador Chrome marca com "no segures" les URL servides per HTTP i segons les comunicacions de la companyia en un futur es marcaran com "no segures" totes les URL que no se servixquen per HTTPS. Açò està aumentant la taxa d'implementació de certificats SSL i cada volta més web se servixen per HTTPS.[6]
Llimitacions
El nivell de protecció depén de l'exactitut de l'implementació del navegador web, el software del servidor i els algoritmes de sifrat actualment soportats.
Ademés, HTTPS és vulnerable quan s'aplica a contingut estàtic de publicació disponible. El lloc sancer pot ser indexat usant una arrapa web, i l'URI del recurs sifrat pot ser endevinada coneixent solament el tamany de la petició/resposta. Açò permet a un atacant tindre accés al text pla (contingut estàtic de publicació), i al text sifrat (La versió sifrada del contingut estàtic), permetent un ataque criptográfico.
Degut a que SSL opera baix HTTP i no té coneiximent de protocols de nivell més alt, els servidors SSL solament poden presentar estrictament un certificat per a una combinació de port/IP en particular[7] Açò vol dir, que en la majoria dels casos, no és recomanable usar Hosting virtual name-based en HTTPS. Existix una solució anomenada Server Name Indication (SNI) que envia el hostname al servidor ans que la conexió siga sifrada, no obstant molts navegadors antics no soporten esta extensió. El sopforte per a SNI està disponible des de Firefox 2, Opera 8, i Internet Explorer 7 sobre Windows Vista.[8][9]
Vore també
Referències
- ↑ «archive. org/web/20170213163916/https://www. ardomo. com/estadisticas-del-internet-argentí Copia archivada». Archivat des d'el ardomo. com/estadisticas-del-internet-argentí original, el 13 de febrer de 2017. Consultat el 12 de febrer de 2017.
- ↑ https://www. glasdom. es glasdom. es/ archivat en Wayback Machine. /estadisticas-del-internet-espanol
- ↑ «archive. org/web/20170213090513/https://www. sofos. mx/estadisticas-del-internet-mexicà Copia archivada». Archivat des d'el sofos. mx/estadisticas-del-internet-mexicà original, el 13 de febrer de 2017. Consultat el 20 de febrer de 2017.
- ↑ «archive. org/web/20170213090415/https://www. domilo. cl/estadisticas-del-internet-chilé Copia archivada». Archivat des d'el domilo. cl/estadisticas-del-internet-chilé original, el 13 de febrer de 2017. Consultat el 12 de febrer de 2017.
- ↑ «archive. org/web/20170213163628/https://www. domilo. co/estadisticas-del-internet-colombià Copia archivada». Archivat des d'el domilo. co/estadisticas-del-internet-colombià original, el 13 de febrer de 2017. Consultat el 20 de febrer de 2017.
- ↑ «googleblog. com/2016/09/moving-towards-more-secure-web. html Moving towards a more secure web» (en en). Google Online Security Blog. Consultat el 2024-10-19.
- ↑ apache. org/docs/2.0/ssl/ssl_faq. htmlvhosts Apache FAQ: Why ca't I use SSL with name-based/senar-IP-based virtual hosts?
- ↑ ebrahim. org/2006/02/21/server-name-indication-sni/ Server Name Indication (SNI)
- ↑ mozilla. org/show_bug. cgi? aneu=116169 Mozilla 1.8
- Este artícul conté una traducció derivada de «Protocolo seguro de transferencia de hipertexto» de Wikipedia en castellà publicada baix la Llicència de documentació lliure de GNU i la Llicència Creative Commons Reconeiximent-CompartirIgual 4.0 Internacional.