O que é um
certificado SSL?

Depois de receber o certificado SSL, você o instala no servidor. Você também instala um certificado intermediário que estabelece a credibilidade do seu certificado SSL, vinculando-o ao certificado raiz da CA. As instruções para instalar e testar seu certificado serão diferentes dependendo do servidor.

Na imagem abaixo, você pode ver a cadeia de certificados. Ela conecta o certificado do servidor ao certificado raiz da CA (neste caso, a DigiCert) por meio de um certificado intermediário.

O mais importante de um certificado SSL é ele ser assinado digitalmente por uma CA confiável, como a DigiCert. Qualquer um pode criar um certificado, mas os navegadores só confiam nos certificados de uma organização mantida na sua própria lista de CAs confiáveis. Os navegadores vêm com uma lista pré-instalada de CAs confiáveis, conhecida como repositório de CAs com raiz confiável. Para ser adicionada a esse repositório e se tornar uma autoridade de certificação, a empresa deve ser auditada e atender aos padrões de segurança e autenticação estabelecidos pelos navegadores.

Um certificado SSL emitido por uma CA para uma organização e seu domínio/site verifica se um terceiro confiável autenticou a identidade dessa organização. Se o navegador confiar na CA, ele também confiará na identidade dessa organização. O navegador informa ao usuário que o site é seguro, e o usuário se sente protegido ao navegar e até mesmo ao inserir informações confidenciais.

O que é SSL (Secure Sockets Layer)?

Secure Sockets Layer (SSL) é uma tecnologia de segurança padrão que estabelece um link criptografado entre um servidor e um cliente, normalmente um servidor Web (site) e um navegador ou um servidor de e-mail e um cliente de e-mail (por exemplo, o Outlook). Ele é mais conhecido do que a tecnologia TLS, ou Transport Layer Security, que é a sucessora do SSL.

Como o certificado SSL cria uma conexão segura?

Quando um navegador tenta acessar um site protegido por SSL, ele e o servidor Web estabelecem uma conexão SSL por meio de um processo chamado “handshake SSL” (veja o diagrama abaixo). Observe que o handshake SSL é invisível para o usuário e acontece instantaneamente.

Basicamente, três chaves são usadas para configurar a conexão SSL: as chaves pública, privada e de sessão. Qualquer conteúdo criptografado com a chave pública só pode ser descriptografado com a chave privada e vice-versa. Como a criptografia e a descriptografia com chaves privada e pública consomem muita capacidade de processamento, elas só são usadas durante o handshake SSL para criar uma chave de sessão simétrica. Depois que a conexão segura é feita, a chave de sessão é usada para criptografar todos os dados transmitidos.

1. O navegador se conecta a um servidor Web (site) protegido por SSL (https). O navegador solicita a identificação do servidor.
2. O servidor envia uma cópia de seu certificado SSL, inclusive sua chave pública.
3. O navegador verifica a raiz do certificado em uma lista de CAs confiáveis ​​e se o certificado não expirou, não foi revogado e se o nome comum é válido para o site ao qual ele está se conectando. Quando o navegador confia no certificado, ele cria, criptografa e retorna uma chave de sessão simétrica usando a chave pública do servidor.
4. O servidor descriptografa a chave de sessão simétrica usando a chave privada e retorna uma confirmação criptografada com a chave de sessão para iniciar a sessão criptografada.
5. O servidor e o navegador agora criptografam todos os dados transmitidos com a chave de sessão.