korzystanie z niezabezpieczonego HTTP

Korzystanie z niezabezpieczonego HTTP to przesyłanie danych bez szyfrowania, narażające je na przechwycenie.

Jak działa niezabezpieczone połączenie HTTP

Korzystanie z niezabezpieczonego HTTP oznacza otwieranie strony lub korzystanie z usługi internetowej za pomocą protokołu Hypertext Transfer Protocol bez warstwy szyfrującej TLS. W adresie strony występuje wtedy prefiks http://, a nie https://. HTTP działa na poziomie wymiany żądań i odpowiedzi: przeglądarka wysyła do serwera między innymi adres zasobu, nagłówki oraz parametry żądania, a serwer odsyła kod odpowiedzi, nagłówki i treść strony. Sam protokół HTTP nie zapewnia poufności ani integralności przesyłanych danych.

Dane przesyłane przez HTTP mogą być odczytywane przez urządzenie mające możliwość obserwowania ruchu sieciowego pomiędzy komputerem a serwerem. Dotyczy to między innymi treści stron, parametrów adresu URL, części nagłówków oraz danych formularzy wysyłanych metodą GET lub POST. Osoba obserwująca transmisję może również próbować zmienić odpowiedź serwera przed dostarczeniem jej do przeglądarki. HTTP nie potwierdza, że otrzymana treść pochodzi dokładnie od wskazanego serwera i nie została zmodyfikowana po drodze.

Ryzyko przechwycenia danych i podmiany treści

Najbardziej oczywistym skutkiem używania HTTP jest brak szyfrowania treści przesyłanej w sieci. Jeżeli formularz logowania, wyszukiwarka albo panel ustawień korzysta z HTTP, dane wpisane przez użytkownika mogą zostać przechwycone w postaci możliwej do odczytania. Szczególne znaczenie ma to w przypadku haseł, tokenów sesji, kluczy dostępowych i innych informacji, które pozwalają uzyskać dostęp do konta. Samo użycie silnego hasła nie usuwa tego problemu, jeżeli hasło jest wysyłane przez nieszyfrowane połączenie.

Brak integralności umożliwia także modyfikowanie przesyłanej strony. Zmieniona odpowiedź może zawierać dodatkowy skrypt JavaScript, fałszywy formularz, inny adres pobierania pliku albo komunikat nakłaniający do instalacji nieznanego programu. Podmiana może nastąpić w sieci lokalnej, w publicznej sieci bezprzewodowej albo na innym odcinku trasy między urządzeniem i serwerem. HTTP nie dostarcza mechanizmu, który pozwala przeglądarce wykryć każdą taką zmianę na podstawie samego protokołu.

Rozpoznawanie HTTP w przeglądarce i systemie

Podstawowym sygnałem jest adres zaczynający się od http:// oraz komunikat przeglądarki wskazujący na brak bezpiecznego połączenia, szczególnie przy formularzu wymagającym wpisania danych. W narzędziach deweloperskich przeglądarki można sprawdzić zakładkę sieciową i zobaczyć protokół użyty przy konkretnych żądaniach. Strona otwarta przez HTTPS może nadal pobierać obrazy, arkusze stylów, skrypty lub ramki przez HTTP. Takie żądania noszą nazwę mixed content, czyli zawartości mieszanej, i są ograniczane przez współczesne przeglądarki, ponieważ osłabiają ochronę strony.

Przydatne jest również sprawdzenie przekierowania po wpisaniu adresu. Przekierowanie z HTTP do HTTPS poprawia sytuację dopiero od momentu wykonania przekierowania; pierwsze żądanie nadal zostało wysłane bez szyfrowania. Trwałą ochronę zapewnia adres HTTPS oraz prawidłowo skonfigurowany certyfikat serwera. Certyfikat nie szyfruje samego HTTP. Potwierdza tożsamość serwera w ramach połączenia TLS i umożliwia przeglądarce ustanowienie szyfrowanego kanału przed wymianą właściwej treści aplikacji.

Bezpieczne ustawienia podczas naprawy laptopa lub komputera

Na komputerze warto korzystać z wersji strony oznaczonej jako HTTPS, sprawdzić poprawność adresu domeny i nie wpisywać haseł ani danych płatniczych do formularzy dostępnych wyłącznie przez HTTP. Jeżeli urządzenie automatycznie otwiera strony HTTP, przyczyną może być zapisany skrót, rozszerzenie przeglądarki, ustawienie aplikacji albo oprogramowanie przechwytujące ruch. Należy także aktualizować przeglądarkę i system, ponieważ obsługa ostrzeżeń, certyfikatów oraz mechanizmów blokowania niebezpiecznej zawartości zależy od ich wersji.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z przeglądarką, konfiguracją sieci oraz objawami wskazującymi na nieprawidłowe przekierowania. Podczas sprawdzania urządzenia można przeanalizować ustawienia proxy, konfigurację DNS, listę rozszerzeń przeglądarki, zapisane skróty internetowe i reguły zapory sieciowej. Sama zmiana adresu z HTTP na HTTPS nie naprawi jednak serwera, który nie udostępnia bezpiecznej wersji usługi; w takim przypadku konieczny jest kontakt z administratorem tej strony.