HTTPS: cosa significa e perché è così importante

Tutti beneficiamo dell’incredibile varietà di siti web su Internet. Intrattenimento, informazioni, ispirazione, servizi e altro ancora sono disponibili in quantità apparentemente illimitate. Ma purtroppo non tutti i siti web sono innocui. Come nel mondo analogico, ci sono affari loschi, criminali e criminalità organizzata. Per esempio, capita che gli utenti di servizi bancari online vengano attirati su un sito web falso in modo da poter intercettare le loro credenziali d’accesso. Oppure qualcuno installa un hotspot WLAN pubblico per ascoltare segretamente la comunicazione in corso.

Inizialmente tutto il traffico di dati sul World Wide Web veniva gestito apertamente, con un testo in chiaro e facilmente hackerabile. Il protocollo HTTP media la comunicazione tra client web (browser web) e server web in modo non criptato. Ciò facilita le attività criminali come lo spionaggio di metadati o gli attacchi man in the middle.

Per rendere il Web più sicuro è stato sviluppato HTTPS. Ecco che cos’è e come funziona.

L’abbreviazione HTTPS sta per “Hypertext Transfer Protocol Secure”, tradotto: “Protocollo di trasferimento per ipertesti sicuro”. Il protocollo di trasferimento è per così dire la lingua nella quale il client web, di solito il browser, e il server web comunicano. HTTPS è la versione del protocollo di trasferimento che funziona con comunicazioni crittografate.

HTTPS assolve due funzioni:

La comunicazione tra client web e server web è crittografata, per impedire a terzi non autorizzati di intercettare la comunicazione, consultando ad esempio il traffico della rete WLAN.

Il server web viene autenticato inviando, all’inizio della comunicazione, un certificato al client web, che certifica l’affidabilità del dominio. Questa misura è utile per combattere la frode da parte di siti web falsi.

Che differenza c’è tra HTTP e HTTPS? La risposta è semplice: tecnicamente parlando nessuna! Il protocollo stesso, ovvero la sintassi, è identico in entrambe le varianti.

La differenza è che HTTPS utilizza uno speciale protocollo di trasporto, vale a dire SSL/TLS. Non il protocollo stesso ma il tipo di trasmissione è ulteriormente protetto. Si può esemplificare con la seguente analogia:

• Due persone parlano al telefono.
• Utilizzano un linguaggio comune per comunicare: HTTP.
• La connessione telefonica su cui è in esecuzione la chiamata non è protetta nel caso di HTTP mentre è in particolare a prova di intercettazioni nel caso di HTTPS.

La tabella seguente riassume le differenze principali dal punto di vista dell‘utente:

A seconda del browser e delle impostazioni di sicurezza, il software rifiuta persino di aprire un sito web non protetto o visualizza un avviso anziché il sito web.

Il protocollo HTTP regola solo come devono essere strutturati i contenuti scambiati tra il client web e il server web. Il protocollo di trasporto invece indica come i flussi di dati vengono trasferiti tra i computer. Ad esempio, garantisce che non vengano persi pacchetti di dati. Il protocollo di trasporto standard, utilizzato anche da HTTP, è TCP, il “Transmission Control Protocol”.

Esiste un’estensione per questo protocollo di trasporto, che crittografa i flussi di dati: questa estensione si chiama TLS (denominazione precedente SSL). Tutte le comunicazioni trasmesse utilizzando questo protocollo di trasporto sono crittografate in modo tale che solo il destinatario effettivo (browser o server web) è in grado di leggere il contenuto trasmesso.

Se un URL ha il prefisso https://, il browser aggiunge automaticamente il numero di porta 443. Questo numero indica al computer ricevente che deve comunicare tramite TLS/SSL.

La capacità degli hacker di spiare e manipolare i siti web è in costante aumento. Per questo motivo è importante crittografare i flussi di dati, soprattutto nelle reti ad accesso libero, come in un hotspot WiFi pubblico.

HTTPS è il nuovo standard. Come accennato, i siti web senza HTTPS sono segnalati negativamente o addirittura bloccati dagli attuali browser. HTTPS, inoltre, è probabile che abbia un effetto positivo sul ranking di Google, anche se Google finora non lo ha confermato esplicitamente.

Il regolamento generale europeo sulla protezione dei dati (RGPD) stabilisce che i siti web debbano essere aggiornati in termini di sicurezza, il che attualmente significa HTTPS.