HTTPS qué es y porqué aparece en casi todas las páginas web que visitamos
Cuando navegamos por internet accedemos a diferentes páginas web, cada una con una dirección única que la diferencia de las demás, para así poder ubicarla siempre, como si fuera una dirección postal. Esas direcciones dan información de la página, estando a veces relacionadas con su contenido o indicando la página principal en caso de que sea una sub página, pero hay varios campos que siempre están ahí en una dirección web o URL, como por ejemplo un prefijo de la página, como puede ser www, o una terminación o sufijo para cerrar la dirección principal como puede ser .com, .net, .es… cada campo dando información sobre la página y su servidor.
Pero no solo hay esos campos en la URL, hay veces que podemos encontrar otros opcionales que no todos los navegadores muestran, como el HTTPS, que aparece como prefijo y no tiene una relación directa con la URL de la página. Por ejemplo, si queremos acceder a Google podremos escribir www.google.es o https://www.google.es y ambas nos llevarán a la misma página. De hecho, en algunas webs si introduces su dirección con el "https://" no podrás acceder a ellas debido a que no necesariamente todas las webs necesitan tener implementado este protocolo.
Esto se debe a que el HTTPS no forma parte de la URL ni hace referencia al contenido o características de la dirección web, sino a la comunicación que esa web hace con tu ordenador y viceversa, de forma que si la página web no lo soporta o soporta la versión HTTP (sin la “s“ final), no podremos comunicarnos correctamente introduciéndolo en la URL. Esa es la razón por la que los navegadores la añaden automáticamente cuando metemos una dirección web, ya que al ser un protocolo de comunicación no se puede saber la compatibilidad de una página hasta que se intenta establecer una conexión con ella.
Así pues, el HTTPS es un protocolo de comunicación, o, mejor dicho, es una extensión del protocolo HTTP de comunicación web, el cual se creó al comienzo de la World Wide Web y que es la base de los hipervínculos entre diferentes páginas web. Entonces, el HTTPS es un añadido al HTTP que se centra en garantizar la seguridad de las comunicaciones en una red usando certificados SSL o TLS, de ahí que cuando una página lo use nos aparezca un candadito en la barra del navegador o se relacione con que le sitio es seguro, razón por la que cada vez se extiende su uso más, aunque no siempre significará que todo es seguro, como veremos más adelante.
Funcionamiento del HTTPS
El funcionamiento del protocolo HTTPS está basado en un principio muy sencillo: los certificados. Estos certificados son los SSL, que son certificados más antiguos de un sistema desarrollado para garantizar la comunicación segura entre servidor y cliente, o los TLS, que son sus sucesores, más modernos y seguros.
Estos certificados se almacenarán en los servidores de las páginas web y servirán principalmente para tres propósitos:
- Garantizar la privacidad de las comunicaciones, para que terceras partes no puedan leer la información de las comunicaciones entre la web y el servidor, de forma que si es información sensible o confidencial como una contraseña o datos personales, estos se mantengan seguros.
- Asegurar la integridad de la información que se intercambia con el servidor, así ninguna de las partes que intervienen en la comunicación entre el servidor y el cliente, como pueden ser otros servidores o routers, no puedan alterar la información e introducir contenido malicioso en los mensajes.
- Identificar a las partes que participan en el intercambio de información, que es importante para que nadie pueda suplantar la identidad de las partes que se comunican, generando una firma digital única para cada dispositivo y así poder identificar que efectivamente es el que ha mandado ese mensaje y no otro ordenador o servidor haciéndose pasar por él.
Estas funciones las hace el protocolo HTTPS usando criptografía asimétrica, o lo que es lo mismo, una forma de encriptar mensajes basada en el uso de dos claves criptográficas, una de encriptación y otra de desencriptación. Todos los dispositivos generan un par de claves, la que se usa para la encriptación de cada mensaje es una clave pública, de forma que cualquiera puede verla y usará para enviar un mensaje, el cual solo se podrá desencriptar con su otra clave asignada de ese dispositivo, la cual es privada y solo tiene acceso el dispositivo que la genera, así todo el mundo puede enviar mensajes encriptados que solo el destinatario podrá leer.
Pero antes, el servidor y el cliente tendrán que ponerse de acuerdo en cómo comunicarse, lo cual es lo que se conoce como “handshake” por el cual el cliente le envía su clave pública al servidor y le da sus preferencias de seguridad, a lo cual el servidor le responde con una clave maestra que será la que usaran par comunicarse el resto de la sesión y su opción preferida de seguridad de las opciones que le ha facilitado el cliente. Luego, los dos lados verifican los certificados de seguridad para asegurarse que son verdaderos y, finalmente, si todos los pasos anteriores son satisfactorios, se establece la comunicación como segura.
Ahora bien, ¿cómo sabemos que esos certificados son correctos? Pues eso depende de quién firme el certificado, hay diferentes empresas que tienen servidores de autentificación a las que puedes pagar para que efectivamente te reconozcan que ese certificado tiene una validez y que eres quien dice ser, aunque otras webs, especialmente las más pequeñas suelen optar por firmar ese certificado ellas mismas, por eso algunas veces al entrar en blogs pequeños u otras webs aparece el mensaje de que la web puede no ser segura al ser ella misma la firmante de su certificado HTTPS.
El HTTPS no significa seguridad total
Pero aun así que una página tenga un certificado HTTPS y que nos aparezca el candadito en nuestro navegador no significa que esa página sea segura, y este es un detalle muy importante porque a veces se entiende que todas las páginas con HTTPS son completamente seguras, cuando, como acabamos de ver, este protocolo solo asegura la integridad y la seguridad en la comunicación, pero no la página web en sí.
Por eso, si nos conectamos a una página web fraudulenta, esta podrá ser HTTPS y eso significará que nos comunicaremos con ella de forma segura, pero no que su contenido lo sea. Algo muy a tener en cuenta, ya que siempre hay que andarse con ojo y el HTTPS, aunque sea necesario para que nuestros datos se envíen de forma segura, poco puede hacer si el servidor al que lo estamos enviando no es seguro como por ejemplo puede ser una web de phishing o alguna página para robar credenciales de redes sociales.
Fin del Artículo. ¡Cuéntanos algo en los Comentarios!
