(untitled) (Anais do Salão Inovação, Ensino, Pesquisa e Extensão, 2020)
A utilização do HTTPS é essencial para garantir a segurança das comunicações na Internet. Na prática, a maioria das pessoas acreditam que estão seguras pelo simples fato de utilizar HTTPS na Web. Entretanto, apesar da utilização do HTTPS em larga escala, muitos sites ainda não implementam da maneira correta seus certificados digitais, necessários às conexões HTTPS. O objetivo deste trabalho é realizar um levantamento sobre o estado do ecossistema HTTPS no Brasil. Para a análise, foram selecionados sites de instituições financeiras e governamentais, incluindo o governo federal, governos estaduais e sistemas de prefeituras municipais. Um dos principais pontos a observar em cada um dos sites selecionados é a qualidade e confiabilidade do certificado digital, utilizado e necessário para estabelecer as comunicações seguras. Para que um certificado digital seja considerado confiável, no corpo do certificado devem ser apresentadas as seguintes informações: (a) a Autoridade Certificadora (AC) que assinou o documento; (b) o domínio na qual aquele certificado é válido; e (c) a data de validade. Obviamente, todas essas informações devem estar corretas. Neste trabalho, foi selecionada a ferramenta testssl.sh para a realização da análise dos certificados digitais. Esta ferramenta apresenta todas as informações necessárias para a análise, além de permitir a automação das análises através de um script bash. Na primeira etapa do trabalho, foram identificados que aproximadamente 33% dos sites (todos eles governamentais) não disponibilizam HTTPS, ou seja, todas as comunicações são totalmente inseguras e não protegem a privacidade dos usuários. Na segunda etapa, foi constatado que somente 4,5% dos sites aceitam comunicações através da versão 1.3 do TLS, a única sem vulnerabilidades conhecidas até o momento. Em resumo, a maioria dos sites investigados apresenta algum problema em seu certificado. Além disso, a absoluta maioria dos sites são vulneráveis a ataques que interceptam e manipulam cookies do navegador do usuário a fim de conseguir informações sensíveis de um usuário autenticado. Em outras palavras, podemos afirmar que, apesar de utilizar HTTPS, a maioria dos usuários ainda não está segura.