logowanie bez szyfrowanego połączenia

Logowanie bez szyfrowanego połączenia to przesyłanie danych uwierzytelniających otwartym tekstem, podatne na przechwycenie.

Na czym polega logowanie bez szyfrowanego połączenia

Logowanie bez szyfrowanego połączenia oznacza, że dane przesyłane między urządzeniem a usługą nie są chronione kryptograficznie podczas transmisji. Dotyczy to przede wszystkim identyfikatora użytkownika, hasła, kodu dostępu albo tokenu sesyjnego. Jeżeli aplikacja korzysta ze zwykłego protokołu HTTP zamiast HTTPS, zawartość żądania może być możliwa do odczytania przez osobę, która uzyska dostęp do ruchu sieciowego. W przypadku HTTP Basic Authentication hasło jest zwykle kodowane w formacie Base64, ale samo kodowanie nie jest szyfrowaniem i nie zapewnia poufności.

Ryzyko nie ogranicza się do poznania samego hasła. Przechwycony identyfikator sesji może pozwolić na przejęcie już uwierzytelnionej sesji, nawet jeśli osoba atakująca nie zna hasła. W niezabezpieczonej transmisji możliwa jest także modyfikacja przesyłanych danych, na przykład podmiana adresu przekierowania, treści formularza albo odpowiedzi serwera. Z tego powodu brak szyfrowania wpływa jednocześnie na poufność, integralność i wiarygodność komunikacji.

Jak dane uwierzytelniające mogą zostać przechwycone

Przechwycenie danych jest szczególnie łatwe w sieci, w której ruch może obserwować inny użytkownik. Dotyczy to między innymi otwartych punktów dostępu Wi-Fi, nieprawidłowo zabezpieczonej sieci lokalnej oraz zainfekowanego komputera lub routera. Osoba monitorująca pakiety nie musi znajdować się przy laptopie. Wystarczy możliwość obserwowania fragmentu trasy pomiędzy urządzeniem a usługą. Jeżeli logowanie odbywa się przez HTTP, login i hasło mogą pojawić się w żądaniu w postaci możliwej do bezpośredniego odtworzenia.

Podobny problem występuje przy korzystaniu z nieszyfrowanych protokołów przeznaczonych do innych zadań. Telnet przesyła sesję tekstową bez ochrony kryptograficznej, a standardowy FTP nie szyfruje domyślnie poleceń ani danych. W poczcie elektronicznej znaczenie ma konfiguracja konkretnego połączenia: sam protokół POP3 lub IMAP nie gwarantuje ochrony, jeżeli nie jest używany z odpowiednim szyfrowaniem transportowym. Nie należy też utożsamiać SFTP z FTP — SFTP działa jako podsystem SSH, natomiast FTP i SFTP są odrębnymi protokołami.

HTTPS, TLS i oznaki niebezpiecznej konfiguracji

Bezpiecznym odpowiednikiem logowania przez HTTP jest HTTPS, czyli HTTP przesyłany w zabezpieczonym kanale TLS. TLS szyfruje komunikację między klientem a serwerem oraz pozwala klientowi zweryfikować tożsamość serwera na podstawie certyfikatu. Sama obecność symbolu kłódki w przeglądarce nie oznacza jednak, że cała usługa jest godna zaufania. Potwierdza ona przede wszystkim prawidłowe ustanowienie zabezpieczonego połączenia z określoną domeną; nie potwierdza uczciwości właściciela strony ani bezpieczeństwa konta.

Przy sprawdzaniu problemu należy zwrócić uwagę na dokładny adres strony, obecność prefiksu https://, komunikaty przeglądarki o certyfikacie oraz ewentualne przekierowanie z HTTPS do HTTP. Ostrzeżenie o nieważnym, wygasłym albo niedopasowanym certyfikacie nie powinno być ignorowane. Warto również sprawdzić, czy formularz logowania nie wysyła danych do innego adresu niż strona wyświetlana w przeglądarce. Hasło wpisane na stronie działającej przez HTTPS może być nadal zagrożone, jeżeli komputer jest zainfekowany złośliwym oprogramowaniem, dlatego szyfrowanie transmisji nie zastępuje aktualnego systemu, ochrony konta i ostrożności użytkownika.

Sprawdzenie problemu na laptopie lub komputerze PC

Podczas diagnostyki można rozpocząć od porównania zachowania tej samej usługi w kilku przeglądarkach oraz od sprawdzenia adresu wyświetlanego przed wysłaniem formularza. Jeżeli tylko jedna aplikacja pokazuje ostrzeżenie, przyczyną może być jej konfiguracja, rozszerzenie przeglądarki, lokalny filtr ruchu albo nieaktualne składniki systemu. Gdy ostrzeżenie występuje na wielu urządzeniach w tej samej sieci, trzeba uwzględnić konfigurację routera, serwera DNS lub punktu dostępowego. Nie należy wpisywać hasła testowego do nieznanej strony tylko po to, aby sprawdzić, czy formularz działa.

Warszawskie Pogotowie Komputerowe zajmuje się serwisowaniem laptopów i komputerów PC, w tym diagnostyką problemów z systemem, przeglądarką internetową oraz konfiguracją połączenia sieciowego. W ramach analizy można ustalić, czy komunikat wynika z błędnego adresu usługi, nieaktualnego certyfikatu widzianego przez system, ingerencji niepożądanego oprogramowania albo ustawień lokalnego środowiska. Po usunięciu przyczyny należy ponownie zweryfikować adres HTTPS i unikać logowania do usług, które nadal wymagają przesyłania danych uwierzytelniających otwartym tekstem.