Sé que una conexión HTTPS proporciona:
La pregunta: ¿Pero qué pasa con el uso de TLS en el RFC HTTP / 2? ¿Significa lo mismo? ¿Podríamos finalmente abandonar el sistema de CA si HTTP / 2 solo proporcionaría conexión a través de TLS?
"HTTPS" es "HTTP dentro de SSL" (ahora, SSL evoluciona bajo el nombre "TLS" pero eso es lo mismo). HTTP / 2 no es nada especial aquí, excepto en que hace que el TLS sea de alguna manera obligatorio; en otras palabras, cuando (si) HTTP / 2 se convierte en algo real, todos los sitios que lo utilicen serán sitios HTTPS.
Desde el punto de vista de TLS, estos son solo bytes. TLS no sabe o le importa si los bytes transportados realmente codifican solicitudes HTTP / 1.1, solicitudes HTTP / 2 o cualquier otra cosa.
El "sistema CA" está vinculado a TLS, no a HTTP. HTTP / 2 no cambia nada al respecto. Lo que podría "deshacerse del sistema de CA" sería DANE , y esto se aplicaría igualmente a "HTTP normal" y HTTP / 2 (y realmente no eliminaría todas las CA, a pesar de la propaganda; fusionaría CA con registradores de dominio, lo que equivaldría más a un cambio de jugadores en lugar de la eliminación del concepto de CA).
Es lo mismo. No pudimos deshacernos de las CA porque las CA son una parte necesaria del sistema de confianza. No puedes confiar en ningún host si no tienes a alguien que verifique que los hosts son quienes dicen ser. Necesita una base de confianza en PKI y SSL no funciona bien si no tiene infraestructura para verificar los detalles de los operadores del sitio.
El objetivo de HTTP / 2 es mejorar el rendimiento del sistema de la web, no algo relacionado con la seguridad (aparte de la propuesta para permitir que los proxies actúen como intermediarios en la conexión encriptada con el permiso del usuario sin lanzar errores de confianza. aunque relacionado con el rendimiento en lugar de la seguridad.)
Lea otras preguntas en las etiquetas tls