Internet přechází masově na šifrovanou webovou komunikaci. Vyvolalo to zjištění, že nás různorodé tajné služby roky usilovně šmírovaly, zatímco jsme věřili, že Internet je bezpečný. Což nikdy nebyl a šifrované (https) spojení bylo už dlouho nutností pro e-shopy, sociální sítě, či prostě cokoliv, kde se zadávaly a přenášely jakékoliv osobní informace. Ostatně, už se to tu jednou řešilo v Jaký je rozdíl mezi http a https? A proč si na to dávat pozor?
To že v prohlížeči máte ikonku šifrovaného připojení ale neznamená, že web na který jste právě přišli je bezpečný. Není to nic jiného, než příznak toho, že komunikace mezi vámi a webem probíhá šifrovaně a (teoreticky) nikdo nemůže tuto komunikaci odposlouchávat.
Je zcela běžné, že phishingové (rhybaření) aktivity dnes používají šifrované připojení a zelenou ikonkou vyvolávají (nereálný) pocit toho, že návštěvník je v bezpečí. Na konci roku 2017 to ostatně ukázala i studie A Quarter of Phishing Attacks are Now Hosted on HTTPS Domains: Why? a phishingové útoky na PayPal či Apple používají šifrované připojení dokonce v 75 procentech případů.
TIP: V Co hrozí na veřejných Wi-Fi neznámého původu? se naučíte nějaké ty podstatné věci týkající se používání WiFi sítí
Ani certifikát nepomůže
Dnes už ani příliš neplatí, že certifikát spojený s https webem vám skutečně může 100% potvrdit, že je bezpečný nebo že snad skutečně patří tomu, koho vidíte v popisku.
Problém tvoří hacknuté weby, kam se podařilo proniknout útočníkům, kde provozovatel ani netuší, že jeho web je zneužíván. Stejný problém tvoří falešné certifikáty, se kterými se sice nesetkáte tak často, ale může k tomu dojít. Falešné mohou být kompletně, kdy se vydavatel certifikátu příliš neobtěžuje ověřovat vlastníka, nebo částečně, kdy se využívá různě vypadající „shody“ v podobě jmen.
Realita navíc je, že většina internetových uživatelů neumí zobrazit certifikát aby se podívali, koho se týká – stačí jim prostě zelený zámeček, který považují za dostatečné ujištění důvěryhodnosti.
Poznáte ale podle certifikátu jednoznačně něco? Velmi těžko, útoky umí být velmi vynalézavé, takže budete muset zkoumat poněkud více. Především začít u samotné domény a zjistit si komu patří. Zda skutečně tomu za koho se případně web vydává. Pokud při ověřování zjistíte, že skrývá údaje o vlastníkovi, tak už to je dostatečně dobrý důvod proč nedůvěřovat. Dobré bývá si i ověřit historii domény. Doména má navíc vlastníka, který by měl mít uveden telefon i e-mail, takže lze ověřit přímým kontaktem. Tohle všechno se vám může hodit pokud chcete ověřit věrohodnost neznámého e-shopu.
Můžete se i podívat na vydaný certifikát, kde zjistíte kdo ho vydal a kdo by měl být ten, kdo ho vlastní. Užitečné může být i zda není příliš nový, protože to by mohlo napovídat na nějakou podivnou změnu. Bohužel ze zcela neznámých důvod například Google Chrome značně ztížilo možnost podívat se na údaje v certifikátu a v Microsoft v Edge to neumožňuje vůbec, ale o tomhle až v nějakém dalším tipu.
Shrňme to
Přítomnost zeleného zámečku znamená, že se mezi vámi a webem přenáší vše šifrované a nikdo by to cestou neměl být schopen odchytit, ani (a to je důležité) měnit (viz MITM). Neznamená to ale, že web je bezpečný, že je skutečně tím za koho se vydává.
A dodatek – v červenci 2018 začalo Chrome označovat weby bez http za nezabezpečené, viz Co to znamená, když prohlížeč označuje web jako nezabezpečený? Proč je https důležité a http musí skončit? a Provozujete web na http místo https? Hodně nešťastný nápad.
TIP: Více o bezpečnosti a soukromí hledejte v Průvodce bezpečným Internetem, který bezpečný být nemůže
