HTTPS/TLS: dati in transito, non affidabilità del sito

HTTPS e TLS cifrano i dati mentre viaggiano dal browser al server del sito web, impedendo a chiunque utilizzi la stessa rete Wi-Fi o un'altra rete di leggerli. Ciò significa che password, numeri di carte di credito e messaggi vengono resi illeggibili durante il transito. Tuttavia, l'icona del lucchetto indica soltanto che la connessione è cifrata, non che il sito è legittimo. Anche un sito di phishing può facilmente ottenere un certificato TLS gratuito e mostrare un lucchetto; pertanto, non affidarsi mai al solo HTTPS per considerare attendibile un sito.

Negli esami, prestare attenzione alle domande che lasciano intendere che HTTPS garantisca l'affidabilità del sito: non è così. Un rapido metodo di eliminazione: se una domanda afferma «HTTPS dimostra che il sito web è sicuro da usare», l'affermazione è falsa. Un altro indizio: TLS protegge dalle intercettazioni, non dal fatto che il sito possa essere malevolo. Ricordare inoltre che HTTPS non protegge i dati una volta giunti al server; il sito potrebbe comunque gestire le informazioni in modo inadeguato. Quando in una domanda compare l'espressione «cifratura dei dati in transito», pensare a TLS, senza però confonderlo con l'affidabilità del sito o la sicurezza dell'archiviazione dei dati.

Per mettersi alla prova, immaginare di utilizzare una rete Wi-Fi pubblica e di vedere un lucchetto. Chiedersi: «Questo significa che posso inserire in sicurezza i miei dati bancari?». La risposta è no: il lucchetto impedisce soltanto agli altri utenti della rete Wi-Fi di vedere i dati, ma il sito stesso potrebbe essere falso. Un semplice espediente mnemonico: «HTTPS protegge la strada, non la destinazione». Verificare sempre separatamente l'indirizzo e la reputazione del sito, anche in presenza del lucchetto.