O Ícone do Cadeado Verde na Barra do URL não é Mais um Símbolo no qual Você pode Confiar

Durante anos, você tem sido constantemente avisado para não inserir as suas informações pessoais em um site que não tenha um cadeado verde na barra de endereço. Alguns de vocês deram ouvidos a esse conselho, e alguns de vocês não o fizeram, mas você já se perguntou o que esse cadeado verde representa e como ele funciona?

Embora os navegadores, como o Google Chrome estejam diminuindo o ritmo lentamente (as razões se tornarão aparentes em um minuto), o cadeado verde ainda é universalmente reconhecido como um sinal de que o site que você está visualizando tem um certificado SSL e é carregado em HTTPS. Isso, por sua vez, significa que todas as informações que chegam e vão para o site são criptografadas e estão protegidas contra ataques do tipo Man-in-the-Middle .

Antigamente, os especialistas tinham outro motivo para avisá-lo para não inserir os seus dados em sites que não eram carregados por meio de HTTPS. Os certificados SSL são emitidos pelas Autoridades de Certificação (CAs), que costumavam cobrar várias centenas de dólares por ano por eles. Previsivelmente, os golpistas não estavam preparados para desembolsar esse tipo de dinheiro para fazer com que as suas páginas de phishing pareçam mais reais, e mesmo que tivessem, não teriam conseguido passar em algumas das verificações manuais feitas naqueles dias. Em outras palavras, os formulários reais de login da Amazon tinham bloqueios verdes e os falsos não. Isso, infelizmente, não é mais o caso.

O surgimento de certificados SSL gratuitos e o impacto que eles tiveram na internet

Infelizmente, os bandidos não foram os únicos a não conseguir encaminhar os seus sites através de HTTPS. Os certificados SSL eram muito caros para muitos proprietários de sites legítimos, o que significava que algumas lojas on-line estavam deixando os dados dos seus clientes expostos. Algo tinha que ser feito.

Em 2014, foi criada uma nova CA com o nome de Let's Encrypt, que começou a oferecer certificados SSL totalmente gratuitos. A Internet gostou da ideia.

O Let's Encrypt deixou oficialmente o Beta em abril de 2016, quando anunciou orgulhosamente que o número de certificados emitidos era de cerca de 1,7 milhão. Apenas quatorze meses depois, havia mais de 100 milhões de certificados Let's Encrypt.

Os certificados SSL gratuitos agora também são oferecidos por outras CAs e, por causa deles, o HTTPS está se tornando a norma e não a exceção. Em agosto, o especialista em segurança Scott Helme disse que, pela primeira vez, mais da metade dos sites do Alexa Top 1 Million foram carregados sob HTTPS. Essa mudança levou os fornecedores de navegador a abandonar o ícone de cadeado verde e substituí-lo por um sinal "Inseguro" maior quando uma página não é carregada sob o HTTPS. De fato, o cadeado está longe de ser tão útil quanto costumava ser.

Quase 50% de todas as páginas de phishing agora são carregadas por meio do HTTPS

O surgimento de certificados SSL gratuitos é uma das coisas boas que aconteceram com o mundo recentemente. Embora eles não sejam uma panacéia, eles permitiram que pequenos fornecedores on-line não apenas sobrevivessem, mas prosperassem, e até mesmo os sites HTML mais básicos não têm uma desculpa para rodar sob o HTTP.

Infelizmente, se os certificados SSL são gratuitos e fáceis de configurar para os proprietários de sites legítimos, eles também são gratuitos e fáceis de configurar para os golpistas. Na verdade, o PhishLabs, uma empresa de inteligência e mitigação de ameaças, disse a Brian Krebs que quase metade (cerca de 49%) de todas as páginas de phishing detectadas durante o terceiro trimestre deste ano foram carregadas sob HTTPS. Isso, o PhishLabs disse no Twitter, aumentou de 35% durante o segundo trimestre e de 33% no primeiro trimestre.

Os trapaceiros estão ativamente configurando certificados SSL nas suas páginas fraudulentas, em parte porque é fácil de fazer e não lhes custa nada, e em parte por causa das mudanças que os fornecedores de navegadores estão implementando. Eles percebem que é muito menos provável que os usuários forneçam as suas informações pessoais a um site que é carregado sob um aviso "Inseguro" visível.

O que podemos fazer sobre isso?

Isso significa que a decisão dos vendedores de navegador de se afastarem do cadeado verde é um grande erro? Não, não. A simples questão é que o ícone de cadeado nunca será tão útil quanto costumava ser. Se permanecer, não afetará a situação atual, porque se os fraudadores decidirem que precisam, eles receberão um certificado SSL gratuito.

Não deveríamos nos livrar dos certificados SSL gratuitos? Não, não devemos. Negar aos fornecedores a opção de proteger os dados dos seus clientes de graça será um grande salto para trás e colocará seriamente em risco milhões de informações pessoais. O que precisamos fazer é ensinar o maior número possível de usuários sobre o que é HTTPS.

O HTTPS não é um indicador de confiabilidade. Se não estiver presente, você pode ter certeza de que o site que está visualizando não é confiável, mas, mesmo que esteja lá, talvez você ainda esteja vendo uma fraude. Existem outros fatores nos quais você deve prestar mais atenção.