brak zabezpieczeń (brak HTTPS

Brak zabezpieczeń, w tym HTTPS, to zbiorcze określenie luki uniemożliwiającej ochronę danych podczas ich przesyłania.

Co oznacza brak HTTPS w połączeniu ze stroną

Brak zabezpieczeń, w tym HTTPS, oznacza, że połączenie między przeglądarką a serwerem nie korzysta z mechanizmu szyfrowania TLS. W praktyce adres strony zaczyna się od http://, a nie od https://. Przy zwykłym HTTP treść żądania i odpowiedzi jest przesyłana w sposób możliwy do odczytania przez urządzenie znajdujące się na trasie połączenia. Dotyczy to między innymi adresu odwiedzanej strony, parametrów przekazywanych w formularzu oraz zawartości pobieranych dokumentów.

HTTPS nie jest odrębnym rodzajem strony internetowej, lecz sposobem przesyłania protokołu HTTP przez zabezpieczone połączenie TLS. Podczas nawiązywania sesji przeglądarka sprawdza certyfikat serwera, uzgadnia parametry kryptograficzne i tworzy klucze używane do szyfrowania dalszej komunikacji. Współczesne konfiguracje powinny korzystać z TLS 1.2 lub TLS 1.3. Sam fakt wyświetlenia strony nie potwierdza jednak prawidłowej konfiguracji, ponieważ strona może używać HTTPS tylko częściowo, mieć nieprawidłowy certyfikat albo ładować elementy przez niezabezpieczone HTTP.

Jakie informacje mogą zostać ujawnione podczas transmisji

Połączenie bez HTTPS nie zapewnia poufności danych przesyłanych między urządzeniem a serwerem. Osoba mająca dostęp do tej samej niezaufanej sieci, na przykład publicznej sieci bezprzewodowej, może przechwycić zawartość komunikacji. Dotyczy to sytuacji, w których formularz logowania, wyszukiwarka, formularz kontaktowy albo inny mechanizm wysyła dane metodą HTTP. Możliwe jest także odczytanie lub zmodyfikowanie treści odpowiedzi zwracanej przez serwer.

Brak szyfrowania wpływa również na integralność komunikacji. Atakujący, który potrafi ingerować w transmisję, może podmienić pobierany kod HTML, skrypt JavaScript, arkusz stylów albo odnośnik do pliku. W efekcie użytkownik może zobaczyć zmienioną treść lub uruchomić kod dostarczony przez pośrednika, mimo że sam serwer przechowuje inną wersję strony. HTTPS ogranicza takie ryzyko dzięki uwierzytelnieniu serwera certyfikatem oraz wykrywaniu zmian w zaszyfrowanych danych. Nie zastępuje jednak aktualizacji oprogramowania serwera, poprawnej kontroli dostępu ani bezpiecznego kodu aplikacji.

Objawy nieprawidłowej konfiguracji zabezpieczeń

Podstawowym sygnałem jest adres rozpoczynający się od http:// oraz komunikat przeglądarki informujący o braku bezpiecznego połączenia. Warto sprawdzić także, czy po wpisaniu adresu HTTPS następuje przekierowanie z kodem 301 lub 308 do właściwej wersji adresu. Jeżeli strona działa zarówno pod HTTP, jak i HTTPS, użytkownik może nadal trafić na niezabezpieczony wariant. Pomocne jest sprawdzenie certyfikatu w przeglądarce: jego domeny, okresu ważności oraz tego, czy łańcuch certyfikatów jest zaufany.

Innym problemem jest mieszana zawartość, określana jako mixed content. Występuje wtedy, gdy dokument główny jest pobierany przez HTTPS, ale część zasobów, takich jak obrazy, skrypty, arkusze CSS lub ramki, jest odwoływana przez HTTP. Przeglądarki mogą blokować aktywną mieszaną zawartość, szczególnie skrypty, albo wyświetlać ostrzeżenia. Konfiguracja powinna również wymuszać bezpieczny wariant przez nagłówek HSTS, czyli Strict-Transport-Security, po wcześniejszym upewnieniu się, że wszystkie wymagane poddomeny działają poprawnie przez HTTPS. Sprawdzenia wymagają także ciasteczka sesyjne: dla połączeń HTTPS powinny mieć między innymi atrybut Secure, aby przeglądarka nie wysyłała ich zwykłym HTTP.

Diagnostyka po stronie laptopa i komputera PC

Na laptopie lub komputerze PC można rozpocząć od porównania adresów HTTP i HTTPS, sprawdzenia komunikatu w pasku adresu oraz otwarcia informacji o certyfikacie. Warto wykluczyć problem ograniczony do jednej przeglądarki, testując aktualną wersję innego programu, a także sprawdzić datę i godzinę systemową, ponieważ znaczne odchylenie może powodować błędną ocenę ważności certyfikatu. Należy zachować ostrożność przy wyjątkach bezpieczeństwa: zaakceptowanie ostrzeżenia nie naprawia certyfikatu i nie szyfruje wcześniejszego połączenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z przeglądarką, certyfikatami oraz dostępem do stron internetowych. Podczas sprawdzania można rozdzielić problem lokalny, związany z systemem, przeglądarką, zegarem lub konfiguracją sieci, od problemu występującego na serwerze. Jeżeli ostrzeżenie pojawia się na wielu urządzeniach i w różnych sieciach, prawdopodobną przyczyną jest konfiguracja domeny albo certyfikatu po stronie serwera. Jeżeli występuje wyłącznie na jednym komputerze, należy sprawdzić aktualizacje przeglądarki, lokalne certyfikaty, ustawienia proxy oraz działanie oprogramowania filtrującego ruch.