brak protokołu HTTPS

Brak protokołu HTTPS to luka bezpieczeństwa uniemożliwiająca szyfrowanie połączenia między użytkownikiem a serwerem.

Co oznacza brak protokołu HTTPS

Brak protokołu HTTPS oznacza, że przeglądarka łączy się z witryną za pomocą zwykłego HTTP, bez szyfrowania warstwy transportowej. W adresie strony pojawia się wtedy prefiks http://, a nie https://. HTTPS nie jest odrębnym językiem stron internetowych, lecz sposobem przesyłania HTTP przez zabezpieczone połączenie TLS (Transport Layer Security). TLS szyfruje dane przesyłane pomiędzy przeglądarką a serwerem i pozwala przeglądarce sprawdzić tożsamość serwera na podstawie certyfikatu.

W połączeniu bez HTTPS treść żądania i odpowiedzi może być przesyłana w postaci możliwej do odczytania przez urządzenie pośredniczące w komunikacji. Dotyczy to między innymi adresów odwiedzanych zasobów, parametrów przesyłanych w formularzu oraz części nagłówków HTTP. Brak szyfrowania nie oznacza automatycznie, że serwer został zaatakowany, ale usuwa ważną warstwę ochrony przed podsłuchem i modyfikacją transmisji. Szczególne znaczenie ma to przy logowaniu, zakupach internetowych, przesyłaniu formularzy i korzystaniu z paneli administracyjnych.

Jakie zagrożenia powstają podczas połączenia HTTP

Połączenie HTTP nie zapewnia poufności danych. Osoba mająca możliwość obserwowania ruchu sieciowego może zobaczyć informacje przesyłane pomiędzy komputerem a serwerem, o ile nie są one dodatkowo chronione przez inną warstwę. Jeżeli formularz logowania działa przez HTTP, nazwa użytkownika i hasło mogą zostać przechwycone. Podobne ryzyko dotyczy numerów zamówień, treści wiadomości, tokenów sesyjnych oraz innych danych umieszczanych w żądaniach lub ciasteczkach.

HTTP nie zapewnia także integralności transmisji. Oznacza to, że dane przesyłane przez sieć mogą zostać zmienione, zanim trafią do przeglądarki. W praktyce może to prowadzić do podmiany fragmentu strony, dodania niepożądanego skryptu albo przekierowania użytkownika do innego adresu. Ryzyko jest większe w niezaufanych sieciach Wi-Fi, publicznych punktach dostępu i sieciach, w których urządzenie pośredniczące ma możliwość ingerowania w ruch. Sam fakt wyświetlenia strony nie potwierdza, że jej treść dotarła do komputera bez zmian.

Certyfikat, TLS i kontrola adresu strony

Bezpieczna strona powinna być dostępna pod adresem HTTPS, a przeglądarka powinna prawidłowo zweryfikować certyfikat TLS. Certyfikat zawiera między innymi nazwę domeny, dla której został wystawiony, oraz informacje o podmiocie podpisującym certyfikat. Weryfikacja obejmuje sprawdzenie nazwy domeny, okresu ważności, łańcucha zaufania i zgodności certyfikatu z używanym połączeniem. Ostrzeżenie przeglądarki o błędzie certyfikatu może wskazywać na wygaśnięcie certyfikatu, niewłaściwą konfigurację domeny, brak zaufanego certyfikatu pośredniego albo próbę przechwycenia połączenia.

HTTPS chroni transmisję pomiędzy konkretnym klientem a konkretnym serwerem, ale nie zastępuje innych mechanizmów bezpieczeństwa. Prawidłowy certyfikat nie dowodzi, że właściciel witryny jest uczciwy, a szyfrowanie nie usuwa podatności aplikacji, błędów konfiguracji ani złośliwej treści opublikowanej na stronie. Warto również sprawdzić, czy po wejściu na adres HTTP następuje przekierowanie do HTTPS oraz czy formularze, arkusze stylów, skrypty i obrazy są pobierane przez bezpieczne adresy. Wczytywanie części zasobów przez HTTP tworzy tak zwaną zawartość mieszaną i może powodować ostrzeżenia albo blokowanie zasobów przez przeglądarkę.

Rozpoznanie problemu na komputerze i działania serwisowe

Podstawową kontrolę można rozpocząć od sprawdzenia pełnego adresu w pasku przeglądarki. Należy zweryfikować, czy adres zaczyna się od https://, czy przeglądarka nie pokazuje ostrzeżenia oraz czy domena jest zapisana poprawnie. W narzędziach deweloperskich przeglądarki można przejrzeć zakładkę sieciową i sprawdzić, czy żądania są wykonywane przez HTTPS oraz czy występują błędy certyfikatu lub komunikaty o zawartości mieszanej. Przydatne jest także porównanie zachowania strony w innej przeglądarce i w innej sieci, ponieważ problem może dotyczyć konfiguracji serwera, DNS, routera, programu filtrującego ruch albo samego komputera.

Jeżeli problem występuje na wielu urządzeniach, prawdopodobną przyczyną jest konfiguracja witryny lub serwera: brak certyfikatu, nieprawidłowe przekierowanie, błędna nazwa domeny albo niepełny łańcuch certyfikatów. Jeżeli tylko jeden laptop lub komputer PC wyświetla ostrzeżenia, trzeba dodatkowo sprawdzić datę i godzinę systemową, aktualność przeglądarki, certyfikaty systemowe, ustawienia proxy oraz działanie programów zabezpieczających. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy przyczyną problemu z dostępem do stron HTTPS jest konfiguracja lub usterka komputera.