brak szyfrowania wiadomości zawierających dane

Brak szyfrowania wiadomości zawierających dane to ogólne określenie luki narażającej poufną korespondencję na przechwycenie.

Na czym polega brak szyfrowania wiadomości

Brak szyfrowania wiadomości zawierających dane oznacza, że treść korespondencji jest przesyłana albo przechowywana w postaci możliwej do odczytania bez zastosowania odpowiedniego mechanizmu kryptograficznego. Dotyczy to między innymi wiadomości e-mail, komunikatów przesyłanych przez formularze, treści wymienianych w komunikatorach oraz plików dołączonych do korespondencji. Sama obecność hasła do konta nie szyfruje automatycznie każdej wiadomości. Hasło zabezpiecza dostęp do konta, natomiast szyfrowanie zmienia dane w zaszyfrowany zapis, który powinien być nieczytelny bez właściwego klucza.

Ryzyko zależy od miejsca, w którym szyfrowanie nie jest stosowane. Wiadomość może być chroniona podczas logowania do usługi, ale później przesyłana między serwerami bez ochrony treści. Może też być przesyłana bezpiecznym kanałem, lecz zapisana w skrzynce odbiorcy w zwykłej postaci. Dlatego określenie „szyfrowana wiadomość” wymaga rozróżnienia szyfrowania transmisji od szyfrowania samej treści. Pierwsze zabezpiecza komunikację na określonym odcinku połączenia, a drugie ogranicza możliwość odczytania danych przez osoby lub systemy, które nie powinny mieć do nich dostępu.

Różnica między szyfrowaniem połączenia a szyfrowaniem treści

W usługach internetowych często stosuje się szyfrowanie kanału komunikacyjnego za pomocą protokołu TLS. Przeglądarka sygnalizuje ochronę połączenia z witryną między innymi ikoną kłódki i adresem rozpoczynającym się od HTTPS. Taka ochrona zabezpiecza dane przesyłane między urządzeniem a konkretnym serwerem, o ile połączenie jest prawidłowo skonfigurowane. Nie oznacza jednak, że operator usługi, administrator skrzynki albo odbiorca nie może zobaczyć treści wiadomości zapisanej po swojej stronie. TLS nie jest więc równoznaczny z szyfrowaniem end-to-end, czyli szyfrowaniem od nadawcy do odbiorcy.

Szyfrowanie end-to-end polega na tym, że wiadomość jest szyfrowana przed wysłaniem i odszyfrowywana dopiero na urządzeniu odbiorcy. W takim modelu pośrednicząca infrastruktura przekazuje zaszyfrowane dane, ale nie powinna posiadać klucza pozwalającego odczytać ich treść. W praktyce trzeba jeszcze sprawdzić, czy szyfrowane są także załączniki, metadane, kopie zapasowe i powiadomienia wyświetlane na ekranie. Informacja o szyfrowaniu transportowym może być prawdziwa, a mimo to sama wiadomość może pozostawać dostępna w niezaszyfrowanej postaci w skrzynce lub na serwerze.

Jak rozpoznać problem w konfiguracji wiadomości

Pierwszym krokiem jest ustalenie, jaki kanał został użyty do przesłania informacji. W przypadku poczty elektronicznej znaczenie ma konfiguracja protokołu dostępu do skrzynki, takiego jak IMAP lub POP3, oraz protokołu wysyłania SMTP. Połączenie z szyfrowaniem TLS może chronić dane między programem pocztowym a serwerem, ale nie gwarantuje szyfrowania wiadomości na całej drodze od nadawcy do odbiorcy. Warto sprawdzić ostrzeżenia wyświetlane przez usługę pocztową, szczegóły zabezpieczeń wiadomości oraz to, czy odbiorca korzysta z kompatybilnego mechanizmu szyfrowania.

W komunikatorach należy odróżnić zwykłe szyfrowanie połączenia od deklarowanego szyfrowania end-to-end. Pomocne są ustawienia konkretnej aplikacji, informacje o zabezpieczeniu danego czatu oraz sposób działania kopii zapasowych. Jeżeli wiadomość jest automatycznie przekazywana do innej aplikacji, zapisywana w historii powiadomień albo synchronizowana z kolejnym urządzeniem, powstają dodatkowe miejsca przechowywania danych. Problem może dotyczyć również programu pocztowego lub komunikatora na laptopie: nieaktualna aplikacja, błędna konfiguracja certyfikatu, wyłączona weryfikacja połączenia albo zapisane lokalnie pliki mogą powodować, że ochrona jest słabsza, niż wynikałoby to z samej nazwy usługi.

Znaczenie ustawień systemu i sprawności komputera

Na laptopie lub komputerze PC można sprawdzić aktualność systemu operacyjnego, programu pocztowego i komunikatora, a także ustawienia kont używanych do przesyłania wiadomości. Należy zwrócić uwagę na komunikaty o nieprawidłowym certyfikacie, połączeniu bez szyfrowania oraz wymuszaniu starszego sposobu komunikacji. Nie powinno się ignorować ostrzeżeń tylko dlatego, że wiadomość została wysłana poprawnie. Pomyślne dostarczenie korespondencji potwierdza działanie transportu, ale nie potwierdza poufności treści.

Jeżeli problem wynika z awarii komputera, uszkodzonego profilu użytkownika, błędnej konfiguracji programu albo nieprawidłowego działania systemu, potrzebna jest diagnostyka konkretnego urządzenia i używanego oprogramowania. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego może sprawdzić stan techniczny komputera oraz konfigurację programu odpowiedzialnego za obsługę wiadomości. Zakres takiej czynności powinien wynikać z rzeczywistej przyczyny problemu, ponieważ samo włączenie szyfrowania połączenia nie zastępuje właściwego zabezpieczenia treści korespondencji.