brak zabezpieczenia komunikacji HTTPS

Brak zabezpieczenia komunikacji HTTPS to luka bezpieczeństwa uniemożliwiająca szyfrowanie połączenia między użytkownikiem a serwerem.

Brak zabezpieczenia komunikacji HTTPS – czym jest ten problem

Brak zabezpieczenia komunikacji HTTPS oznacza, że przeglądarka nie tworzy szyfrowanego kanału między urządzeniem użytkownika a stroną internetową. W praktyce dane są przesyłane w sposób, który może ułatwiać ich odczytanie lub zmianę podczas drogi przez sieć. Dotyczy to między innymi treści formularzy, danych logowania, identyfikatorów sesji, zapytań kierowanych do serwera oraz informacji zwracanych przez witrynę.

HTTPS jest rozwinięciem protokołu HTTP uzupełnionym o mechanizmy szyfrowania i uwierzytelniania serwera. Połączenie wykorzystuje certyfikat cyfrowy oraz protokół TLS. Certyfikat pozwala przeglądarce sprawdzić, czy użytkownik łączy się z właściwą domeną, a TLS negocjuje parametry bezpiecznej wymiany danych. Gdy witryna działa wyłącznie przez HTTP, przeglądarka może wyświetlić ostrzeżenie o braku ochrony, zwłaszcza jeśli strona zawiera formularz logowania albo pole do wpisywania danych.

Samo pojawienie się ostrzeżenia nie przesądza jeszcze o tym, że komputer został zainfekowany. Jest to jednak sygnał, że poufność i integralność komunikacji nie są zapewnione na poziomie połączenia. W takiej sytuacji należy zachować ostrożność przy wpisywaniu haseł, danych kontaktowych i informacji związanych z płatnościami.

Brak zabezpieczenia HTTPS w kontekście technicznym i porównania

W bezpiecznym wariancie po wpisaniu adresu strony z prefiksem HTTPS przeglądarka rozpoczyna negocjację TLS. Serwer przedstawia certyfikat, a klient sprawdza jego ważność, nazwę domeny oraz zaufanie do wystawcy. Następnie ustalany jest tymczasowy klucz sesyjny, dzięki któremu przesyłane dane są szyfrowane. Osoba obserwująca ruch sieciowy może zauważyć, że urządzenie łączy się z określoną domeną, ale nie powinna móc odczytać pełnej treści komunikacji ani swobodnie jej zmodyfikować.

Przy zwykłym HTTP treść żądania i odpowiedzi może być widoczna dla podmiotów mających dostęp do ruchu pomiędzy urządzeniem a serwerem. Ryzyko rośnie w publicznych sieciach bezprzewodowych, w hotelach, lokalach usługowych, na lotniskach i w innych miejscach, w których użytkownik nie ma wpływu na konfigurację infrastruktury. Możliwe jest także podstawienie zmodyfikowanej odpowiedzi, przekierowanie na inną stronę albo przechwycenie informacji wykorzystywanych do utrzymania sesji.

HTTPS nie zastępuje innych zabezpieczeń. Nie chroni przed słabym hasłem, złośliwym dodatkiem do przeglądarki, fałszywą domeną, błędem aplikacji ani nieaktualnym systemem. Szyfrowanie połączenia nie oznacza również, że sama witryna jest godna zaufania. Strona oszustów może posiadać poprawny certyfikat dla własnej domeny. Z tego powodu należy sprawdzać pełny adres, pisownię domeny i kontekst komunikatu, a nie tylko obecność ikony kłódki.

Brak HTTPS i typowe problemy widoczne na komputerze

Najczęściej spotykanym objawem jest komunikat przeglądarki informujący, że połączenie nie jest prywatne albo że strona nie jest bezpieczna. Czasem ostrzeżenie pojawia się tylko przy jednej witrynie, a czasem dotyczy wielu stron. Różnica może wskazywać na odmienny charakter problemu. Jeśli dotyczy jednej domeny, możliwa jest błędna konfiguracja certyfikatu po stronie serwera. Jeżeli występuje przy większości stron, uwagę należy zwrócić na datę i czas systemowy, aktualność przeglądarki, ustawienia sieci oraz działanie oprogramowania filtrującego ruch.

Innym problemem jest częściowo zabezpieczona strona. Główna witryna może otwierać się z użyciem HTTPS, lecz część obrazów, skryptów, arkuszy stylów albo elementów formularza może być pobierana przez HTTP. Taki stan określa się jako mieszane zasoby. Nie zawsze powoduje on całkowite zablokowanie strony, ale może obniżać poziom ochrony i prowadzić do nieprawidłowego wyświetlania treści.

Do nieporozumień dochodzi również wtedy, gdy adres zostaje wpisany bez właściwego prefiksu, a strona nie przekierowuje automatycznie do wersji HTTPS. Warto też pamiętać, że komunikat o certyfikacie może wynikać z nieprawidłowej daty na komputerze, wygasłego certyfikatu, certyfikatu wystawionego dla innej domeny lub niekompletnego łańcucha zaufania. Każdy z tych przypadków wymaga osobnego rozpoznania.

• Ostrzeżenie na jednej stronie może wskazywać na błąd konfiguracji tej witryny.
• Ostrzeżenie na wielu stronach może mieć związek z ustawieniami komputera lub sieci.
• Brak symbolu HTTPS przy formularzu powinien skłaniać do rezygnacji z wpisywania poufnych danych.
• Problemy z certyfikatem nie powinny być omijane przez bezrefleksyjne wybieranie opcji przejścia dalej.

Brak zabezpieczenia komunikacji HTTPS – praktyczne wskazówki

Przy pojawieniu się ostrzeżenia warto najpierw zamknąć kartę z problematyczną stroną i sprawdzić, czy adres został wpisany prawidłowo. Należy zweryfikować, czy domena nie zawiera dodatkowych znaków, literówek albo nietypowego rozszerzenia. Następnie można sprawdzić datę, godzinę i strefę czasową ustawione w systemie, ponieważ znaczne odchylenie może powodować odrzucanie prawidłowych certyfikatów.

Pomocne bywa otwarcie tej samej witryny w aktualnej przeglądarce oraz w innej zaufanej sieci. Jeżeli ostrzeżenie znika po zmianie sieci, należy rozważyć problem z punktem dostępowym, filtrowaniem połączeń lub przekierowaniem w sieci lokalnej. Jeżeli pozostaje niezależnie od urządzenia i sieci, bardziej prawdopodobny staje się problem po stronie witryny.

Nie powinno się wpisywać hasła na stronie, która wyświetla ostrzeżenie o braku szyfrowania, nawet jeśli jej wygląd przypomina znany serwis. Hasła użyte wcześniej na podejrzanej stronie należy zmienić z poziomu poprawnie zabezpieczonego adresu. Warto włączyć uwierzytelnianie wieloskładnikowe, stosować różne hasła oraz aktualizować system, przeglądarkę i programy ochronne. W przypadku komputera wykorzystywanego do pracy lub obsługi rachunków należy także sprawdzić, czy nie ma nieznanych rozszerzeń przeglądarki, profili proxy albo aplikacji przechwytujących ruch.

Właściciel witryny powinien wymusić przekierowanie z HTTP do HTTPS, odnowić certyfikat przed upływem jego ważności, poprawnie skonfigurować łańcuch certyfikatów i usunąć mieszane zasoby. Przydatne jest również ustawienie mechanizmów wymuszających korzystanie z szyfrowanego połączenia oraz regularne testowanie konfiguracji po każdej zmianie serwera lub aplikacji. Sama instalacja certyfikatu nie wystarczy, jeżeli część podstron nadal odwołuje się do niezabezpieczonych zasobów.

Kiedy brak zabezpieczenia HTTPS wymaga zgłoszenia do serwisu

Do serwisu warto zgłosić problem, gdy ostrzeżenia pojawiają się na wielu znanych stronach, utrzymują się mimo poprawnej daty i godziny albo towarzyszą im samoczynne przekierowania, nietypowe reklamy, zmieniona strona startowa i nieznane rozszerzenia. Wskazaniem do sprawdzenia komputera jest także sytuacja, w której inne urządzenia w tej samej sieci działają prawidłowo, a tylko jeden komputer nie może poprawnie otwierać stron HTTPS.

Przydatne będzie przekazanie informacji o nazwie przeglądarki, dokładnej treści komunikatu, adresach stron, na których występuje problem, oraz o tym, czy błąd pojawia się także po połączeniu z inną siecią. Nie należy usuwać ostrzeżeń bez sprawdzenia ich przyczyny ani instalować przypadkowych programów obiecujących naprawę certyfikatów. W Warszawie rozpoznanie problemu z brakiem zabezpieczenia komunikacji HTTPS można powierzyć firmie Warszawskie Pogotowie Komputerowe 24/7, która zajmuje się diagnostyką komputerów i laptopów.

Jeżeli ostrzeżenie dotyczy wyłącznie jednej zewnętrznej witryny, zgłoszenie powinno trafić również do jej administratora. Jeżeli natomiast problem obejmuje przeglądarkę, ustawienia sieci, certyfikaty zapisane w systemie lub możliwe niepożądane oprogramowanie, potrzebne jest sprawdzenie urządzenia i konfiguracji krok po kroku. Takie rozdzielenie przyczyn pozwala uniknąć błędnej oceny, w której problem po stronie strony internetowej przypisuje się komputerowi albo odwrotnie.