Todos já passamos por isso: ao tentar acessar um site do governo, o navegador não completava a solicitação porque a página era insegura, a conexão não era particular ou, mais especificamente, o certificado SSL era inválido. Isso finalmente mudará com o recebimento do selo Webtrust SSL Baseline pelo Instituto Nacional de Tecnologia da Informação (ITI) nesta sexta-feira (17).
Funciona assim: quando você acessa um site com HTTPS, como o Tecnoblog, a conexão entre o seu computador e o servidor de destino é criptografada, evitando que os dados trafegados sejam interceptados por alguém mal intencionado. Um navegador comprova a identidade do servidor de destino através de um certificado de segurança que, por sua vez, deve ser emitido por uma autoridade certificadora legítima.
No caso de boa parte dos sites do governo federal, os certificados de segurança são emitidos pelo ITI, que não é reconhecido pelos navegadores mais utilizados no mundo, como Chrome, Firefox, Edge e Safari. Isso dificulta ou até impede o acesso às páginas: o navegador do Google mostra uma mensagem nada amigável dizendo que “invasores podem estar tentando roubar suas informações” e bloqueia o acesso.
O problema deverá acabar com o recebimento do selo Webtrust SSL Baseline pelo ITI. “É o requisito que faltava para que a cadeia SSL raiz da ICP-Brasil pudesse ser inserida nos repositórios dos grandes sistemas operacionais, nos quais a distribuição será feita de forma automática”, diz o assessor especial do ITI, Eduardo Lacerda, em comunicado.
O ITI diz que possui um acordo em vigor com a Microsoft “que permitirá, de imediato, a inserção dessa nova raiz apenas nos seus repositórios confiáveis”, o que resolve o problema de certificado inválido para os usuários de Windows. “Quanto às demais plataformas, serão apresentados o selo e os respectivos relatórios de auditoria para continuarmos as tratativas para inserção progressiva do certificado raiz também em seus repositórios confiáveis”, afirma o ITI.
Alguns sites do governo não apresentavam erros porque possuíam certificados SSL emitidos por outras empresas, como a GlobalSign no caso do portal gov.br ou a iniciativa Let’s Encrypt na página da Anatel, mas as falhas ainda surgiam no site da Receita Federal, por exemplo. O “Sua conexão não é particular” finalmente deverá sumir de todos eles em breve.
Antes tarde do que mais tarde.
Nenhum comentário:
Postar um comentário