Instituto Federal de São Paulo

O que é?

Os certificados SSL são utilizados para garantir uma comunicação segura entre um computador servidor e um computador cliente. A grande maioria dos serviços disponíveis online utilizam esses certificados como forma de garantir a sua autenticidade, não permitindo a falsificação do seu site. É possível identificar a segurança de um site, quando aparece o cadeado fechado  e o HTTPS na barra de endereços do navegador. Essa identificação informa que o protocolo de comunicação estabelecido entre o navegador cliente e o computador servidor é o HTTP + SSL (o protocolo padrão dos navegadores somado a camada de criptografia). 

Em linhas gerais, quando um cliente se conecta a um servidor através da internet, essa conexão ocorre de forma indireta, a mensagem enviada pelo cliente, antes de chegar ao servidor, passa por diversos outros equipamentos e computadores. O mesmo processo ocorre quando o servidor envia uma mensagem para o cliente. Nem sempre se sabe qual o caminho exato que os pacotes vão percorrer, tão pouco se pode garantir com certeza que todos os nós são honestos. Então, como garantir que a comunicação entre o cliente e o servidor seja confidencial e privada (que ninguém no meio a veja), íntegra (que ninguém no meio a altere) e autêntica (que na outra ponta da comunicação tem de ser o servidor, e não alguém se passando pelo servidor, isto é, que a informação tenha a procedência desejada)?

O uso da criptografia (cuja origem é do âmbito militar ou de segurança nacional), visa resolver esse problema: mandar mensagens seguras por um canal inseguro. Existem dois tipos de criptografia: simétrica (os dois pares compartilham um segredo) e assimétrica (um deles possui um segredo que o outro não possui). O SSL/TLS utiliza ambos: assimétrica para assegurar a autenticidade, e simétrica para a confidencialidade e integridade.

E, como esse par de chaves (pública e privada) é utilizado para garantir a autenticidade? Em primeiro lugar, o servidor envia ao cliente sua chave pública. Eventualmente, ele assina algo com sua chave privada provando ao cliente que ele é mesmo o "dono" da chave pública. Até aí tudo bem, mas como o cliente pode ter certeza que a chave que ele recebeu veio mesmo do servidor? Aí entra um caso do ovo e da galinha:

Se o cliente já conhece a chave pública do servidor (i.e. tem salvo no seu computador a chave do servidor associada à sua identidade/domínio que pertence ao servidor), então é tranquilo. Caso contrário, ele precisa que alguém de confiança faça intermédio nessa comunicação (como verificar a assinatura do servidor se o cliente não tem nada para comparar com ela?). Isso é feito através de um certificado. Um certificado é uma chave pública associada a uma identidade (um nome) cujo o seu respectivo par é assinado por alguém de confiança.

Existem mais de uma maneira de se fazer isso - Autoridades Certificadoras (AC), Redes de Confiança (Web of Trust), Notários, etc. Mas o mais comum é o uso de Autoridades Certificadoras. Elas são, a grosso modo, um conjunto de empresas cuja chave pública já vem embutida nos softwares que os clientes/usuários usam. Se o cliente estiver usando o Firefox, por exemplo, pode verificar quem são elas consultando Ferramentas > Opções > Avançado > Certificados > Certificados (de novo) > Autoridades.

Nossa certificadora é a ICPEdu. O IFSP possui uma Autoridade Certificadora SSL Corporativa do serviço ICPEdu e a emissão de certificados duplamente qualificados através da AC da ICPEdu assinada pela Raiz da GlobalSign e chave pública de 2048 bits.