SSL/TLS, il lucchetto verde non significa che un sito sia sicuro
Il lucchetto verde nella barra degli indirizzi è probabilmente l'indicatore di sicurezza più conosciuto dal grande pubblico, ma anche uno dei più fraintesi. Dice molto meno di quanto la maggior parte delle persone creda.
Cosa protegge davvero il certificato
Un certificato SSL, oggi più correttamente chiamato TLS, fa una cosa precisa. Cifra il traffico tra il browser di chi visita un sito e il server che lo ospita. Nessuno lungo il percorso può leggere quello che viene trasmesso, che sia una password, un numero di carta o il contenuto di una pagina. È una protezione indispensabile ogni volta che c’è un login o un pagamento, ma riguarda solo il tragitto dei dati, non quello che c’è dietro.
Il problema tipico è trattare il certificato come un traguardo, invece che come uno dei tanti requisiti minimi. Non è raro trovare siti con certificato regolarmente rinnovato che però hanno plugin fermi da anni, temi mai aggiornati o credenziali amministrative ancora impostate sui valori di default. Il traffico viaggia cifrato, ma il server dietro quel lucchetto può comunque avere vulnerabilità serie, e in pratica è quello che succede alla maggior parte dei siti WordPress compromessi ogni anno.
I diversi livelli di certificato
Esiste anche un equivoco diffuso su quali livelli di certificato esistano. Un certificato a validazione di dominio, il più economico e spesso gratuito tramite Let’s Encrypt, conferma solo che chi lo ha richiesto controlla quel dominio, e viene rinnovato automaticamente ogni 90 giorni senza che serva fare nulla. Non dice nulla sull’identità di chi gestisce il sito. I certificati con validazione estesa o organizzativa fanno controlli più approfonditi, ma per un sito vetrina o un blog quello di base è più che sufficiente. Il vero lavoro di sicurezza va fatto altrove.
Perché il rischio reale è invisibile
Un certificato scaduto genera un avviso ben visibile a chi visita il sito, e spinge quasi sempre a un rinnovo rapido. Un plugin con una vulnerabilità nota pubblicamente, invece, non genera nessun avviso per i visitatori. Il sito continua a funzionare in modo apparentemente regolare, lucchetto verde acceso, finché quella vulnerabilità non viene sfruttata per inserire codice malevolo o reindirizzare il traffico. Ed è esattamente questo il motivo per cui conviene tenere sotto controllo aggiornamenti di CMS e plugin, password diverse per ogni accesso e un backup funzionante, molto più che concentrarsi solo sul certificato.
Il certificato protegge il tragitto dei dati, non la casa dove poi arrivano.
Prima di considerare un sito davvero sicuro conta molto di più lo stato di aggiornamento di CMS e plugin rispetto alla sola presenza del certificato SSL.
Torna a tutte le news
