brak TLS/SSL w połączeniu

Brak TLS/SSL w połączeniu to alternatywne, powtórzone określenie tej samej usterki dotyczącej braku szyfrowania sesji.

Brak szyfrowania sesji a działanie połączenia

Brak TLS/SSL w połączeniu oznacza, że komunikacja między programem a drugim punktem sieci nie jest chroniona szyfrowaniem sesji. Drugim punktem może być serwer witryny internetowej, serwer pocztowy, usługa synchronizacji albo panel konfiguracyjny urządzenia sieciowego. W praktyce dane są przesyłane w sposób, który nie zapewnia poufności typowej dla połączeń HTTPS lub innych usług wykorzystujących TLS. Określenie „brak TLS/SSL” bywa używane jako opis usterki, komunikat diagnostyczny albo skrótowe wskazanie nieprawidłowej konfiguracji. TLS jest współczesnym następcą SSL, przy czym SSL 2.0 i SSL 3.0 są przestarzałe i nie powinny być używane.

Samo nawiązanie połączenia bez szyfrowania nie musi od razu oznaczać awarii sprzętowej. Przyczyną może być wyłączona opcja bezpiecznego połączenia w aplikacji, użycie niewłaściwego portu, niezgodność obsługiwanej wersji protokołu, błędny certyfikat serwera lub połączenie z usługą, która nie oferuje TLS. W przypadku stron internetowych brak symbolu kłódki i użycie adresu zaczynającego się od http:// zamiast https:// wskazuje, że przeglądarka nie korzysta z szyfrowanego kanału HTTPS.

Jak TLS chroni wymianę danych

Połączenie TLS rozpoczyna się od procedury uzgadniania parametrów, określanej jako handshake. Klient i serwer ustalają wersję protokołu, wybierają wspólny zestaw algorytmów oraz uzgadniają klucze sesyjne. Serwer przedstawia certyfikat cyfrowy, który zawiera między innymi nazwę podmiotu, nazwę wystawcy i okres ważności. Przeglądarka lub inny klient sprawdza, czy certyfikat pasuje do nazwy hosta, czy nie wygasł i czy prowadzi do zaufanego urzędu certyfikacji. Po poprawnym zakończeniu uzgadniania dalsze dane są szyfrowane kluczem sesyjnym.

TLS zapewnia kilka odrębnych właściwości. Szyfrowanie ogranicza możliwość odczytania treści przez osoby obserwujące ruch sieciowy, integralność pozwala wykryć zmianę przesyłanych danych, a uwierzytelnienie serwera pomaga potwierdzić, że klient łączy się z właściwą usługą. Brak TLS usuwa te zabezpieczenia albo pozostawia je poza zakresem danego połączenia. Nie oznacza to automatycznie, że każda przesłana informacja zostanie przechwycona, ale zwiększa ryzyko ujawnienia danych, zwłaszcza w sieci publicznej lub przy obecności złośliwego urządzenia pośredniczącego.

Objawy i przyczyny konfiguracji bez TLS

Objaw zależy od programu i rodzaju usługi. Przeglądarka może wyświetlić ostrzeżenie o niezabezpieczonej stronie albo zablokować przesłanie formularza. Program pocztowy może zgłosić brak bezpiecznego połączenia, nieudaną autoryzację lub niezgodność parametrów serwera. Aplikacja może łączyć się poprawnie, ale używać zwykłego kanału bez szyfrowania, jeżeli administrator usługi pozostawił taką możliwość. W takim przypadku brak widocznego komunikatu nie jest dowodem, że połączenie jest chronione.

Do częstych przyczyn należą nieprawidłowy adres serwera, pomylenie portu szyfrowanego z portem przeznaczonym dla komunikacji jawnej oraz wybranie trybu „brak szyfrowania” w ustawieniach programu. Problem może również wynikać z nieaktualnego systemu lub aplikacji, która nie obsługuje wymaganej wersji TLS. Współczesne usługi najczęściej wymagają co najmniej TLS 1.2, a część środowisk korzysta z TLS 1.3. Znaczenie ma także zegar systemowy: znacznie błędna data lub godzina może spowodować odrzucenie prawidłowego certyfikatu jako jeszcze nieważnego albo już wygasłego.

Diagnostyka powinna obejmować sprawdzenie dokładnego komunikatu, adresu usługi, portu, wybranego trybu szyfrowania oraz daty i godziny w systemie. Nie należy bezrefleksyjnie zatwierdzać ostrzeżenia certyfikatu ani wymuszać starszych protokołów tylko po to, aby połączenie zaczęło działać. Jeżeli usługa ma obsługiwać TLS, właściwym kierunkiem jest ustalenie, dlaczego klient i serwer nie mogą uzgodnić bezpiecznych parametrów. Pomocne może być porównanie ustawień z dokumentacją konkretnej usługi oraz sprawdzenie, czy problem występuje także w innej sieci.

Przywrócenie bezpiecznego połączenia w komputerze

Usunięcie problemu polega na przywróceniu zgodności między klientem a usługą. W pierwszej kolejności sprawdza się, czy wpisany adres serwera jest prawidłowy i czy włączono właściwy wariant szyfrowania. Następnie warto zaktualizować system operacyjny, przeglądarkę lub używany program, ponieważ biblioteki kryptograficzne i magazyn zaufanych certyfikatów są częścią tych komponentów. Jeżeli aplikacja wymaga osobnego ustawienia certyfikatu, należy zweryfikować jego nazwę, okres ważności oraz pełny łańcuch zaufania, bez instalowania przypadkowych certyfikatów pobranych z nieznanego źródła.

W przypadku strony internetowej należy korzystać z adresu HTTPS, o ile dana usługa go udostępnia, i zwracać uwagę na ostrzeżenia przeglądarki. Przy poczcie elektronicznej trzeba rozróżnić szyfrowanie połączenia z serwerem od samego uwierzytelniania konta. Poprawne hasło nie szyfruje kanału, jeżeli program łączy się w trybie jawnym. Po zmianie ustawień należy ponowić test i sprawdzić, czy komunikat o braku TLS/SSL zniknął oraz czy certyfikat odpowiada nazwie usługi. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z konfiguracją połączeń sieciowych.

Jeżeli błąd pozostaje mimo poprawnych ustawień, trzeba rozważyć wpływ zapory sieciowej, programu antywirusowego filtrującego ruch HTTPS, serwera proxy albo uszkodzonych składników systemu. Diagnostyka powinna ustalić, czy blokada występuje tylko w jednej aplikacji, czy we wszystkich programach korzystających z tej samej usługi. Takie rozróżnienie pomaga oddzielić błąd konfiguracji konkretnego programu od problemu systemowego lub sieciowego. Do czasu wyjaśnienia przyczyny nie powinno się przesyłać poufnych danych przez połączenie, przy którym klient wyraźnie informuje o braku szyfrowania.