Certificato SSL<\/b> alla portata di tutti: questo \u00e8 l\u2019obiettivo che voglio perseguire dedicando questo post a tutti coloro che si trovano di fronte alla necessit\u00e0 e alla difficolt\u00e0 di capire cosa sia un certificato SSL e di comprendere se sia veramente necessario per il proprio sito o portale. Voglio quindi chiarire questi due aspetti per poi andare alla scoperta delle diverse tipologie di certificati esistenti, permettendo cos\u00ec di scegliere in libert\u00e0 il tipo di certificato che meglio si adatta alle proprie condizioni operative ed esigenze.<\/p>\nCertificato SSL: cosa e perch\u00e8?<\/h2>\n
Il primo dubbio da fugare riguarda il cos\u2019\u00e8 un certificato SSL e l\u2019esigenza che ha portato alla nascita di questa tecnologia. Quando due computer comunicano fra di loro sulla rete internet \u00e8 necessario che scambino informazioni delicate e private attraverso un sistema crittografato<\/b>, che renda cio\u00e8 le informazioni visibili solo al destinatario reale della comunicazione.<\/p>\n
Per risolvere il problema, i ricercatori e gli scienziati appassionati di crittografia hanno sviluppato un sistema a chiave segreta o simmetrica<\/b> che permetteva di codificare e decodificare le informazioni in modo da renderle criptiche o trasparenti a seconda di chi ne entrasse in possesso.<\/p>\n
Questa tipologia di comunicazione impone che tanto il mittente, quanto il destinatario della comunicazione siano in possesso della chiave segreta di crittazione, pena l\u2019impossibilit\u00e0 di cifrare o leggere il messaggio. Certo \u00e8 che questa chiave non pu\u00f2 essere scambiata sul web in chiaro, proprio per evitare che chiunque ne entri in possesso.<\/p>\n
La soluzione al problema di come scambiare la chiave segreta di crittazione \u00e8 quella di non scambiarla, ma di appoggiarsi a una chiave pubblica<\/b> che permetta di cifrare le informazioni che potranno essere decifrate solamente con la chiave privata<\/strong> corrispondente. Questa idea ha portato per\u00f2 a un nuovo problema, risolto con l\u2019uso di un certificato SSL.<\/p>\n In pratica \u00e8 come se venissero scambiati due pacchi fra due utenti: l\u2019utente A chiede all\u2019utente B di inviare il suo lucchetto gi\u00e0 aperto (chiave pubblica) in modo che l\u2019utente A possa chiudere il pacco destinato all\u2019utente B. Quando l\u2019utente B riceve il pacco con il lucchetto che ha inviato all\u2019utente A, per aprire il lucchetto deve usare la chiave che ha custodito gelosamente (chiave privata) e che \u00e8 l\u2019unica che gli permette di aprire il lucchetto che egli stesso ha inviato.<\/p>\n Questo meccanismo, per\u00f2, ha un problema: chi garantisce all\u2019utente B che il lucchetto lo sta inviando all\u2019utente A e non a un altro utente che ha preso il posto di A in modo fraudolento? E lo stesso dubbio si potrebbe avere per la spedizione del pacchetto che A invia a B. Qui entra in gioco il certificato SSL.<\/p>\n Per evitare che qualcuno si possa interporre in modo fraudolento fra l\u2019utente A e l\u2019utente B entra il gioco il certificato SSL<\/strong>. Quando l\u2019utente A chiede l\u2019invio del lucchetto certifica la sua identit\u00e0 tramite un certificato apposito (detto certificato SSL) in modo che l\u2019utente B possa non aver dubbi che si tratti davvero di una richiesta proveniente dall\u2019utente A. In pratica, chiunque si ponga nel mezzo dello scambio, realizzando quello che in gergo tecnico \u00e8 definito attacco MITM<\/b> (Man In The Middle), non viene riconosciuto perch\u00e9 privo del corrispondente certificato, mettendo in guardia l\u2019utente B dal condividere i propri dati.<\/p>\n A questo punto, ti domanderai: ma chi garantisce che il certificato SSL sia reale e non si tratti di una truffa? Al di sopra degli utenti A e B ci sono delle autorit\u00e0 certificatrici<\/b> o CA (Certification Authority) che sono riconosciute a livello globale come le uniche autorizzate a rilasciare un certificato SSL valido. Queste societ\u00e0 acquisiscono tutti i dati necessari per verificare la reale esistenza del soggetto che richiede il certificato e la sua buona fede nella raccolta dati sul web e dopo le dovute verifiche emettono un certificato SSL firmato con un sistema di crittografia a chiave asimmetrica (pubblica e privata).<\/p>\n Capito cos\u2019\u00e8, a cosa serve e da chi viene rilasciato un certificato SSL, starai ancora l\u00ec a domandarti se un certificato SSL ti \u00e8 utile per il tuo sito web. La risposta \u00e8: dipende!<\/p>\n Se raccogli dati sensibili<\/strong> sugli utenti che navigano fra le tue pagine o effettui attivit\u00e0 di ecommerce<\/strong> con tanto di supporto ai pagamenti tramite carta di credito, non puoi esimerti dall\u2019integrare un certificato SSL nel tuo sito. \u00c8 infatti una questione di sicurezza per i tuoi clienti e navigatori, che di fronte a una connessione sicura e protetta con un certificato SSL sono pi\u00f9 propensi e fiduciosi nel compilare i form con i dati che richiedi, sapendo che verranno inviati in modo cifrato solo a te e che li conserverai in modo opportuno, ottemperando agli obblighi che la legge sulla privacy impone.<\/p>\n Con un certificato SSL ti identifichi come l\u2019interlocutore sul web che dici di essere e garantisci all\u2019utente un canale di comunicazione privilegiato e sicuro.<\/p>\n Purtroppo si! Le attivit\u00e0 svolte dagli enti certificatori di cui ti ho parlato prima sono costose e implicano quindi che i costi si riversino anche su chi decide di acquistare un certificato SSL. In realt\u00e0, esistono anche i certificati SSL autofirmati o self-signed<\/b> che puoi generare con una tua chiave e sono gratuiti: questi sono per\u00f2 utili ai fini di test, in quanto pur essendo capaci di crittografare il traffico HTTP, non sono riconosciuti e obbligano i browser a mostrare un avviso di \u201csito non attendibile\u201d<\/em>.<\/p>\n Ora che sai se devi procurarti un certificato SSL e perch\u00e9 lo devi comperare, ti troverai di fronte a un altro problema: quale certificato SSL<\/b> devi acquistare? In questa domanda \u00e8 celata una difficolt\u00e0 che non \u00e8 tanto dovuta alla modalit\u00e0 di richiesta di un certificato SSL (che si acquista come qualsiasi altro prodotto sul web), quanto ai termini tecnici utilizzati nella pubblicazione delle offerte.<\/p>\n La prima cosa su cui devi ragionare \u00e8 la seguente: ti serve un certificato SSL solo per un dominio unico<\/strong> o anche per tutta una serie di sottodomini<\/strong> con cui stai lavorando? In pratica, se il tuo sito \u00e8 www.esempio.com<\/em>, vuoi che il certificato SSL sia valido solo per www.esempio.com<\/em> o anche per store.esempio.com<\/em>?<\/p>\n Se il certificato serve solo per il dominio principale, allora hai bisogno di un prodotto SSL Single Domain o SD<\/b>. In questo caso risparmi parecchio rispetto ai costi tradizionali dei certificati SSL, ma al contempo sei limitato nella validit\u00e0 del certificato in s\u00e9, che \u00e8 applicabile al solo dominio che hai indicato in fase di attivazione. Qualora invece ti sia necessario un certificato SSL che sia valido per il dominio e per tutti i sottodomini da esso dipendenti, allora devi rivolgerti a un prodotto Wildcard<\/b>, con un esborso leggermente pi\u00f9 elevato. Sia in un caso che nell\u2019altro, comunque, i tuoi utenti vedranno nella barra del browser un lucchetto che identifica il tuo sito come sicuro, anche nello scambio delle informazioni tramite crittografia.<\/p>\n Considera anche che il prezzo di un SD o di un Wildcard dipendono non solo dalla tipologia di certificato in s\u00e9, quanto anche dall\u2019eventuale copertura assicurativa che il certificato include contro i rischi di manomissione e invalidazione della certificazione. Molti provider, infatti, rimborsano eventuali manomissioni con un massimale (dai 10 mila ai 250 mila dollari), che indica la cifra che viene risarcita all\u2019utente finale, qualora il certificato SSL non riesca a garantire quella sicurezza che ci si aspetta.<\/p>\n Un\u2019altra tipologia di certificato che potresti incontrare \u00e8 quello EV o Extended Validated<\/b>, a volte indicato anche come Domain Validated (DV) od Organization Validated (OV)<\/b>. Questo tipo di certificato SSL \u00e8 molto pi\u00f9 costoso di quelli che ti ho citato prima, ma non perch\u00e9 vari la tecnologia su cui si basa, quanto perch\u00e9 \u00e8 pi\u00f9 elaborato il percorso amministrativo e burocratico necessario per il rilascio del certificato.<\/p>\n In pratica, per i certificati SD o Wildcard, le aziende certificatrici procedono a una verifica breve dell\u2019identit\u00e0 del richiedente, basata sul nome a dominio, sui dati del proprietario e, a volte, su un\u2019email di verifica inviata al contatto amministrativo.<\/p>\n Nel caso di un certificato SSL EV, invece, la CA esegue un processo di validazione molto pi\u00f9 complesso<\/b>: l\u2019azienda richiedente viene contattata personalmente e viene acquisita tutta una serie di documentazioni e pratiche burocratiche (oltre a un controllo sulle firme della persona richiedente) sulla base delle quali la CA decide se concedere o no il certificato. Tutto questo processo ha un costo notevole, che si riflette poi sul prezzo del certificato.<\/p>\n D\u2019altra parte, a fronte di un esborso maggiore, il certificato SSL rilasciato \u00e8 tale da far colorare la barra degli indirizzi del browser di verde<\/b>, infondendo cos\u00ec maggiore sicurezza agli utenti del tuo sito.<\/p>\n","protected":false},"excerpt":{"rendered":" Certificato SSL<\/b> alla portata di tutti: questo \u00e8 l\u2019obiettivo che voglio perseguire dedicando questo post a tutti coloro che si trovano di fronte alla necessit\u00e0 di capire cosa sia e se sia veramente necessario per il proprio sito o portale.<\/p>\n","protected":false},"author":4,"featured_media":18975,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_eb_attr":"","footnotes":""},"categories":[32],"tags":[259,55],"class_list":["post-18921","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hosting","tag-certificati-ssl","tag-sicurezza"],"yoast_head":"\nCertificato SSL: gli attacchi MITM<\/h2>\n
Certificato SSL: ti serve davvero?<\/h2>\n
Certificato SSL: bisogna pagare?<\/h2>\n
Certificato SSL: quale scegliere?<\/h2>\n
Certificato SSL Single Domain (SD) o Wildcard<\/h3>\n
Certificato SSL EV o Extended Validated<\/h3>\n