DOCUMENTO TECNICO. Gli ultimi sviluppi della tecnologia SSL

Transcript

1 Gli ultimi sviluppi della tecnologia SSL

2 SOMMARIO + Introduzione 3 + Panoramica sull SSL 3 + Server Gated Cryptography: 4 la crittografia avanzata accessibile alla maggior parte degli utenti Web + SSL Extended Validation 4 (SSL EV): il gold standard dell autenticazione + Supporto del browser per l SSL EV 6 + Marchi di affidabilità di terze parti: 6 come ottenere la fiducia degli utenti + Riepilogo 7

3 Gli ultimi sviluppi della tecnologia SSL + Introduzione L acronimo SSL (Secure Socket Layer) indica lo standard mondiale per la sicurezza sul Web. La tecnologia SSL ricorre alla crittografia dei dati sensibili in modo da consentirne la lettura ai soli destinatari autorizzati, al fine di prevenire i potenziali problemi derivanti dalla visualizzazione non autorizzata di informazioni riservate, dalla manipolazione o dal furto di dati, dal phishing e dalle altre insidiose truffe nelle quali si può incorrere sul Web. Oltre a impedire la manomissione dei dati sensibili, la tecnologia SSL permette di rassicurare gli utenti sulla reale identità dei siti Web ai quali accedono. Il supporto per questa tecnologia è incorporato in tutti i principali sistemi operativi, le applicazioni Web e l hardware per server; ciò significa che la potente tecnologia di crittografia SSL offre alle aziende una copertura di sicurezza a livello di intero sistema in grado di limitare la responsabilità, che consente di rafforzare la fiducia degli utenti, incrementando la percentuale di transazioni completate e migliorando i risultati economici finali dell azienda. In seguito agli ultimi sviluppi della tecnologia SSL, esistono oggi vari tipi di SSL. In questo documento tecnico descriveremo alcuni di questi sviluppi, per consentire agli amministratori dei siti di prendere decisioni consapevoli in merito alla soluzione migliore per la propria organizzazione. + Panoramica sull SSL Oltre un decennio fa l SSL è diventato lo standard a garanzia della riservatezza delle comunicazioni online. Uno speciale file di dati chiamato certificato SSL viene creato per uno specifico server in uno specifico dominio per una specifica entità. Come per un passaporto o una patente di guida, i certificati SSL vengono rilasciati da autorità affidabili quali VeriSign. Per ottenere il rilascio di un certificato SSL, qualsiasi entità deve superare un autenticazione che ne verifichi l identità. Con l esplosione del phishing e di altre attività fraudolente sul Web finalizzate al furto dei dati personali degli utenti, l autenticazione dell identità è ora più importante che mai. Il livello di autenticazione dell identità verificato da un certificato SSL cambia in base al certificato SSL stesso e all autorità di certificazione che lo ha rilasciato. Con la tecnologia SSL, la connessione tra le due parti, ad esempio un utente e un sito Web sul quale è disponibile un certificato SSL, viene crittografata tramite un sistema di chiave privata e pubblica. Quando il browser dell utente raggiunge un sito Web protetto da tecnologia SSL, entrambe le parti vengono autenticate tramite un handshake sicuro tra i due sistemi. Per ciascuna sessione viene utilizzata una chiave univoca di crittografia (maggiore la lunghezza della chiave, più avanzata la crittografia). Una volta stabilita questa connessione, le due parti possono avviare una sessione sicura nella quale sono garantite la riservatezza e l integrità delle comunicazioni. Questa sicurezza è particolarmente importante quando gli utenti condividono informazioni sensibili o riservate tramite Internet, oppure su una extranet o anche su una intranet. Nel caso dell e-commerce, una connessione SSL sicura è di fondamentale importanza per la conclusione delle transazioni, in quanto gli utenti di Internet sono per la maggior parte spaventati dall idea di fornire dati su un sito Web non protetto dalla tecnologia SSL. Piccoli acquisti distribuiti qui e lì su Internet e una certa riluttanza a cambiare le vecchie abitudini di acquisto consolidate o a rivelare informazioni che consentano l identificazione personale: queste le caratteristiche di un enorme segmento della popolazione di utenti online a livello mondiale. Rimane l interrogativo: i potenziali acquirenti si sentiranno sufficientemente sicuri al punto da decidere di effettuare transazioni online consistenti sul suo sito Web? 3

4 + Server Gated Cryptography: la crittografia avanzata accessibile alla maggior parte degli utenti Web Se la reputazione di un azienda nella comunità online dipende dalla assoluta protezione delle informazioni elaborate tramite il suo sito Web, la soluzione per la sicurezza Internet adottata non può non includere la crittografia più avanzata disponibile per ciascun visitatore del sito. La crittografia, come indicato precedentemente, è il processo con il quale i dati vengono trasformati in un codice indecifrabile per qualsiasi utente non autorizzato. Più la crittografia è avanzata, più è difficile che le comunicazioni online possano essere intercettate. Questo aspetto è particolarmente importante se le attività online implicano l accettazione di un qualsiasi tipo di pagamento online, il collegamento con conti bancari o di intermediazione, la trasmissione di cartelle cliniche, la conformità con gli standard di sicurezza e riservatezza previsti a livello governativo o legislativo per l organizzazione, o l elaborazione di qualsiasi tipo di dato potenzialmente sensibile. Gli esperti del settore consigliano l utilizzo della crittografia ad almeno 128 bit per tutte le sessioni online sicure. Alcune configurazioni di browser Web server-client consentono sessioni protette con crittografia fino a 256 bit, il livello più avanzato di crittografia oggi disponibile in commercio. Il livello di crittografia abilitato per ciascuna sessione dipende dal supporto offerto dal browser e dal sistema operativo utilizzati dall utente, nonché dai sistemi server host. Se il browser o il sistema operativo dell utente non supportano livelli superiori di crittografia, per impostazione predefinita la sessione verrà stabilita al livello massimo di protezione supportato. Per anni negli Stati Uniti sono state in vigore restrizioni sulle esportazioni che proibivano ai produttori di browser la distribuzione di prodotti in grado di supportare livelli più elevati di crittografia. Benché nel gennaio del 2000 sia stata rimossa la maggior parte delle restrizioni, molti utenti, soprattutto al di fuori degli Stati Uniti, utilizzano ancora browser e sistemi operativi vecchi (es. versioni di Microsoft Internet Explorer precedenti alla 5.5 e sistemi Windows 2000), che per impostazione predefinita utilizzano livelli di crittografia bassi e deboli. Secondo una stima del 2005 di The Yankee Group, decine di milioni di utenti di Internet si collegano al Web utilizzando livelli di crittografia insufficienti 1. SGC è un estensione SSL originariamente creata per gli istituti finanziari non soggetti alle restrizioni statunitensi sulle esportazioni in materia di crittografia. Con la tecnologia SGC, i livelli di crittografia sono controllati dal server e non dipendono dal sistema client. Dopo la rimozione delle restrizioni sulle esportazioni, i certificati SSL abilitati SGC vengono ora rilasciati per tutti i tipi di siti Web, non soltanto per gli istituti finanziari autorizzati, come accadeva fino a una decina di anni fa. VeriSign offre i certificati SSL abilitati SGC leader sul mercato, garantendo a ciascun visitatore Web la protezione tramite lo standard minimo consigliato del settore, ossia la crittografia a 128 bit. + SSL Extended Validation (SSL EV): il gold standard dell autenticazione Un numero sempre crescente di utenti acquisisce dimestichezza con le ricerche su Internet; tuttavia permane una considerevole differenza tra gli utenti che semplicemente navigano nella rete e quelli psicologicamente propensi a effettuare transazioni commerciali online. Come rivelato da un indagine condotta da Gartner nel 2006, le preoccupazioni relative alla sicurezza hanno spinto quasi la metà degli acquirenti online a modificare il proprio modo di utilizzare la rete, con un costo di quasi 2 miliardi di dollari per la comunità commerciale online 2. È evidente, quindi, che troppi potenziali clienti dell e-commerce continuano a non avere fiducia (se non addirittura ad avere paura) di fornire informazioni finanziarie o personali a entità che non possono vedere o conoscere personalmente. Devono essere rassicurati e la richiesta di rassicurazioni da parte di questi acquirenti prima di completare una transazione finanziaria o fornire i propri dati personali cresce sempre più , The Yankee Group, Building Blocks of Transparent Web Security: Server-Gated Cryptography , Gartner, Trends in Consumer Society 4

5 Queste e simili osservazioni hanno condotto un gruppo di autorità di certificazione, fornitori di browser e auditor di WebTrust a creare il CA/Browser Forum con l obiettivo di sviluppare un nuovo standard SSL, che potesse essere compreso e accettato dal vasto mondo di utenti online. Questo consorzio, che comprende fra gli altri alcuni rappresentanti di Microsoft e VeriSign, ha creato la tecnologia SSL Extended Validation (EV). L obiettivo di questo nuovo standard è combattere la crescita delle minacce di Internet, quali ad esempio gli attacchi di phishing. L SSL EV richiede un rigoroso processo di autenticazione Web ed è considerato il gold standard del settore dell e-commerce per l autenticazione dell identità legittima di un sito Web. Per poter rilasciare certificati SSL EV, le autorità di certificazione devono superare una rigorosa verifica di WebTrust. VeriSign continua a essere all avanguardia nello sviluppo e nell implementazione di questo nuovo standard. I certificati SSL EV offrono agli utenti e alle aziende online un livello di protezione dalle sempre più sofisticate truffe Internet molto apprezzato e ampiamente riconosciuto. L SSL EV contiene diversi elementi di interfaccia speciali che hanno l obiettivo di rendere l identificazione di un sito autenticato immediatamente riconoscibile all utente finale. Nei nuovi browser ad alta sicurezza i certificati SSL EV vengono visualizzati in modo differente rispetto ai certificati SSL tradizionali. Al posto del piccolo simbolo del lucchetto visualizzato dai certificati SSL di tipo tradizionale, i certificati SSL EV, quando visualizzati nei browser ad alta sicurezza, cambiano il colore della barra degli indirizzi in un verde acceso. Questa modifica, immediatamente evidente all utente finale, ha l effetto di rafforzarne la fiducia. Overstock.com ha osservato che i visitatori che utilizzavano il browser Microsoft IE7, dopo l implementazione di certificati SSL EV di VeriSign, di media completavano transazioni con una frequenza dell 8,6% superiore rispetto agli utenti che utilizzavano browser non abilitati per la tecnologia EV. E ancora, dopo l introduzione della tecnologia SSL EV di VeriSign, DebtHelp.com ha registrato un incremento dell 11% del volume di transazioni completate dagli utenti di IE7 sul proprio sito Web. Oltre all evidente colore verde, nel campo definito barra di stato della sicurezza viene visualizzato in modo visibile il nome del proprietario del sito Web e l autorità di certificazione che ha rilasciato il certificato SSL EV. In questo campo l utente che raggiunge il sito vedrà alternarsi i due nomi. 5

6 Come i predecessori SSL, un certificato SSL EV consente la comunicazione crittografata sicura tra un sito Web e il browser di un utente e autentica inoltre l effettiva identità del sito Web, in modo tale che i visitatori possano avere la certezza di aver effettivamente raggiunto il sito che desiderano visitare, e non un sito contraffatto. I certificati SSL di VeriSign offrono questo gold standard per l autenticazione, insieme alla protezione potente della crittografia SGC. Entrambi questi sviluppi della tecnologia SSL sono contenuti nei certificati di VeriSign. + Supporto del browser per l SSL EV Microsoft, il primo produttore di browser a supportare questo nuovo standard, ha integrato gli elementi di interfaccia SSL EV nel browser Microsoft IE7. Benché abbia fatto da poco la sua comparsa, IE7 ha già guadagnato il 31% del mercato dei browser. Inoltre, gli utenti di Firefox 2.0 possono scaricare un estensione che consente loro di visualizzare la barra verde degli indirizzi quando incontrano un certificato SSL EV di VeriSign. Ad un solo mese dal suo rilascio, l estensione era stata scaricata da oltre utenti di Firefox 3. Fino al mese di agosto del 2007, questo vantaggio non era offerto da alcuna altra autorità di certificazione. + Marchi di affidabilità di terze parti: come ottenere la fiducia degli utenti Praticamente tutti gli acquirenti esprimono preoccupazione per i furti di identità, le frodi tramite carta di credito e le altre truffe nelle quali è possibile incorrere su Internet. Tali preoccupazioni sono ben fondate: nei 12 mesi precedenti luglio 2006, le perdite monetarie riconducibili alle truffe con furto d identità hanno raggiunto i 56,6 miliardi di dollari complessivi, con un costo medio per episodio di dollari 4. La buona notizia è che con ogni probabilità la consapevolezza degli utenti in merito alla disponibilità di soluzioni per i problemi di sicurezza è destinata ad aumentare man mano che gli operatori del settore della sicurezza Internet e alcune agenzie governative faranno circolare informazioni. A dire il vero, già ora gli utenti online sono sempre più consapevoli delle problematiche della sicurezza su Internet. Molti si aspettano ormai di vedere un marchio di affidabilità di terze parti familiare a identificazione di un sito Web di e-commerce come esercizio commerciale sicuro e affidabile. L esposizione di un marchio di affidabilità di terze parti consolidato sul proprio sito Web è ora un requisito essenziale affinché i potenziali acquirenti, da una semplice navigazione, giungano al completamento di una transazione. Dalla ricerca è emerso che il simbolo VeriSign Secured Seal viene riconosciuto dalla maggior parte degli acquirenti online, che sono propensi ad effettuare acquisti online proprio grazie alla presenza del sigillo 5. Con l acquisto di un certificato SSL VeriSign per il proprio sito Web, si ha diritto a esporre l esclusivo simbolo VeriSign Secured Seal. L esposizione del simbolo consente di rafforzare la fiducia dei clienti del sito Web, nonché di aumentare il numero di transazioni completate. Inoltre, cliccando sul simbolo i visitatori possono verificare il sito. Una settimana dopo avere esposto il simbolo VeriSign Secured Seal sul proprio sito Web, Opodo, servizio leader a livello paneuropeo nel settore viaggi, ha registrato un incremento del 10% delle vendite concluse 6. 3 Maggio 2007, , Javelin Strategy/Better Business Bureau, Identify Fraud Survey Report , studio Tech-Ed 6 Warren Jonas, Responsabile della gestione servizi, Opodo 6

7 Una volta protetto il sito Web con un certificato SSL VeriSign, non occorre fare altro che scaricare e installare il marchio di affidabilità di VeriSign Secured Seal. + Riepilogo La credibilità è essenziale nel mondo della sicurezza su Internet. Riconosciuto istantaneamente dall 88% degli utenti Web 7, VeriSign è oggi di gran lunga il marchio di sicurezza SSL (Secure Socket Layer) più riconoscibile al mondo. VeriSign ha conquistato la posizione leader offrendo al settore della sicurezza su Internet il proprio contributo per lo sviluppo degli standard, l aggiornamento dei protocolli e l implementazione delle tecnologie più avanzate per la comunità Web. Gli utenti online più esperti si fidano del nome VeriSign e hanno un atteggiamento di fiducia nei confronti delle transazioni sui siti Web protetti dal certificato e SSL VeriSign. Naturalmente questa reputazione non è stata creata dal giorno alla notte, ma poggia su una base di fiducia che è stata coltivata negli anni e consolidata grazie al coinvolgimento e al supporto offerti dalla società per lo sviluppo dell infrastruttura per la sicurezza su Internet. Le organizzazioni che ricorrono a transazioni su Internet hanno compreso che per la redditività dell impresa è indispensabile una piattaforma Internet sicura e affidabile. Maggiore la sicurezza percepita dall utente online, maggiore il successo dell azienda online nel trovare e fidelizzare una base clienti significativa. La creazione di un azienda online di successo richiede lo sviluppo e la coltivazione di un rapporto di fiducia con ciascun potenziale cliente. I prodotti VeriSign semplificano la creazione di questi rapporti. Un certificato SSL VeriSign è la soluzione ideale per garantire la riservatezza e la protezione dei dati potenzialmente sensibili e soprattutto per rassicurare i potenziali clienti sul fatto che l azienda custodirà e proteggerà le loro informazioni riservate. L esposizione del nome VeriSign enfatizza l affidabilità, la credibilità e la genuinità del sito Web presso i clienti. I clienti potranno quindi effettuare le transazioni per le quali hanno raggiunto il sito, in completa sicurezza. + Informazioni su VeriSign VeriSign gestisce un infrastruttura digitale che rende possibili e protegge giornalmente miliardi di interazioni sulle reti voce, video e dati di tutto il mondo. Ulteriori informazioni sono disponibili sul sito Web , studio Tech-Ed 2007 VeriSign Italy S.R.L. Tutti i diritti riservati. VeriSign, il logo VeriSign, il cerchio con all interno un segno di spunta e gli altri marchi, marchi di servizio e immagini, sono marchi registrati o non registrati di VeriSign e delle sue consociate negli Stati Uniti e in altri paesi. Tutti gli altri marchi di fabbrica sono di proprietà dei rispettivi proprietari ML