Internet senza crittografia

HTTP (HyperText Transfer Protocol) è stato progettato nei primi anni Novanta senza alcuna cifratura. Ogni richiesta e risposta viene inviata come testo leggibile attraverso la rete.

Questo significa che qualsiasi router, ISP o attaccante tra il dispositivo e il server può leggere le credenziali di accesso, le informazioni personali e il contenuto di ogni pagina visitata.

In un attacco man-in-the-middle (MITM), l'attaccante si posiziona tra due parti che comunicano e inoltra il traffico, potendo leggerlo o modificarlo. Su una rete non cifrata, per riuscirci non serve alcuno sforzo particolare.

L'attaccante può visualizzare tutti i dati, iniettare contenuti dannosi nelle risposte o modificare silenziosamente gli invii dei moduli, ad esempio cambiando il destinatario di un bonifico bancario.

Le reti WiFi pubbliche sono mezzi di trasmissione condivisi. Su una tipica rete WiFi aperta e priva di cifratura, ogni dispositivo connesso può catturare i pacchetti degli altri dispositivi usando strumenti come Wireshark.

Nell'epoca precedente alla diffusione di HTTPS, bastava sedersi in un bar con uno sniffer di pacchetti per raccogliere sessioni di accesso, leggere email e catturare password di decine di utenti nelle vicinanze.

FTP (File Transfer Protocol) trasmette sia i nomi utente sia le password in chiaro. Una singola cattura di pacchetti durante l'accesso rivela le credenziali complete.

Nonostante ciò, i server FTP sono rimasti comuni fino a buona parte degli anni 2000 e alcuni esistono ancora oggi. SFTP (SSH File Transfer Protocol) e FTPS (FTP over TLS) sono alternative sicure che cifrano sia le credenziali sia i dati.

Il DNS traduce i nomi di dominio in indirizzi IP. Senza DNSSEC (DNS Security Extensions), le risposte DNS non sono autenticate e possono essere falsificate.

Un attaccante potrebbe avvelenare una cache DNS per reindirizzare gli utenti che digitano "mybank.com" verso un server malevolo sotto il suo controllo, raccogliendo le credenziali prima di inoltrarle alla banca reale.

SMTP, il protocollo per l'invio delle email, è stato progettato nel 1982 senza alcuna sicurezza. Le email attraversano diversi server (relay di posta) prima di arrivare al destinatario e ogni passaggio potrebbe leggere o modificare il messaggio.

Senza TLS sulle connessioni SMTP e senza crittografia end-to-end come PGP, l'email è in pratica una cartolina: chiunque la gestisca può leggere ciò che vi è scritto.

Nel 2010, uno sviluppatore pubblicò Firesheep, un'estensione di Firefox che automatizzava il furto dei cookie di sessione sulle reti WiFi aperte. Con un solo clic, consentiva di accedere all'account Facebook, Twitter o Amazon di un'altra persona.

Firesheep non richiedeva conoscenze tecniche. Catturava i cookie di sessione non cifrati trasmessi via WiFi e presentava all'attaccante un elenco degli account da dirottare.

Prima che HTTPS diventasse standard, i primi siti di e-commerce inviavano i numeri delle carte di credito in richieste HTTP POST in chiaro. Gli attaccanti che monitoravano il traffico di rete potevano raccogliere numeri di carte su larga scala.

All'inizio, fare acquisti online richiedeva agli utenti di fidarsi del fatto che il sito fosse legittimo e che nessuno stesse osservando. Entrambe le supposizioni erano spesso errate e portarono a enormi perdite dovute alle frodi alla fine degli anni Novanta.

Su una rete non cifrata, gli attaccanti potevano leggere tutto il traffico, rubare i cookie di sessione per impersonare gli utenti, iniettare script malevoli nelle pagine web, catturare password e credenziali e reindirizzare gli utenti verso siti di phishing tramite MITM.

Anche la sorveglianza su larga scala era estremamente facile. Un attaccante con accesso a un importante punto di interscambio Internet poteva monitorare milioni di utenti simultaneamente senza essere rilevato.

HTTPS cifra il traffico usando TLS e impedisce intercettazione, manomissione e impersonificazione. L'annuncio di Google del 2014, secondo cui HTTPS sarebbe stato un fattore di ranking nei risultati di ricerca, ne ha accelerato enormemente l'adozione.

Nel 2024, oltre il 95% del traffico web è cifrato. Let's Encrypt, lanciato nel 2016, ha reso disponibili certificati TLS gratuiti per ogni proprietario di un sito web, eliminando il principale ostacolo economico all'adozione.

La storia delle comunicazioni Internet non cifrate dimostra perché la sicurezza richieda più livelli. Anche se un controllo fallisce, gli altri dovrebbero limitare i danni.

Le reti moderne combinano TLS, DNSSEC, trasparenza dei certificati, HSTS e crittografia autenticata per costruire protezioni sovrapposte, in cui la debolezza di una è compensata dalla forza di un'altra.

Verifichi la Sua comprensione dei pericoli delle comunicazioni non cifrate.

Senza la crittografia, ogni comunicazione su Internet è visibile a chiunque si trovi tra il mittente e il destinatario. Gli attacchi MITM, il dirottamento delle sessioni, il furto delle credenziali e l'avvelenamento DNS erano semplici da eseguire sulle reti non cifrate.

HTTPS e TLS hanno trasformato Internet da mezzo di trasmissione condiviso in un sistema che consente comunicazioni private. Il passaggio da HTTP a HTTPS è uno dei più importanti miglioramenti della sicurezza nella storia di Internet.