niezaszyfrowane połączenia do zewnętrznych systemów

Niezaszyfrowane połączenia do zewnętrznych systemów narażają przesyłane dane na przechwycenie po drodze.

Co oznacza brak szyfrowania połączenia

Niezaszyfrowane połączenie do zewnętrznego systemu przesyła dane w formie, którą urządzenia pośredniczące mogą odczytać bez posiadania klucza kryptograficznego. Dotyczy to między innymi treści formularzy, nazw użytkowników, identyfikatorów sesji, zapytań do usług internetowych, załączników oraz odpowiedzi otrzymywanych od zdalnego serwera. Jeżeli komputer łączy się z usługą przez zwykły protokół HTTP, dane aplikacyjne są przesyłane bez ochrony zapewnianej przez TLS. Podobny problem występuje przy używaniu nieszyfrowanego FTP, Telnetu albo niektórych konfiguracji poczty elektronicznej.

Ryzyko nie ogranicza się do odczytania samej treści. Osoba mająca możliwość obserwowania ruchu może poznać adresy odwiedzanych usług, parametry zapytań, nazwy plików, identyfikatory urządzeń lub inne metadane. W przypadku braku uwierzytelnienia serwera użytkownik nie ma także technicznej gwarancji, że odpowiada mu właściwy system zewnętrzny. Niezaszyfrowany kanał nie zapewnia poufności, a sam fakt, że połączenie działa i zwraca poprawne dane, nie potwierdza jego bezpieczeństwa.

Jakie zagrożenia powstają w trakcie transmisji

Przechwycenie ruchu jest możliwe w każdym miejscu, w którym dane przechodzą przez infrastrukturę sieciową. W sieci lokalnej istotnym zagrożeniem może być nieprawidłowo zabezpieczony punkt dostępowy, zainfekowany komputer, przełącznik o zmienionej konfiguracji albo osoba podłączona do tej samej sieci bezprzewodowej. W publicznej sieci Wi-Fi użytkownik ma mniejszą kontrolę nad urządzeniami pośredniczącymi. Również dostawca dostępu lub operator infrastruktury może technicznie obserwować niezaszyfrowaną treść, jeśli ruch nie jest chroniony wyżej w stosie sieciowym.

Brak szyfrowania ułatwia nie tylko podsłuch, lecz także modyfikację transmisji. Napastnik może zmienić odpowiedź serwera, podmienić pobierany plik, wstrzyknąć skrypt do strony albo przekierować użytkownika do innego miejsca. Szczególnie niebezpieczne są dane uwierzytelniające i tokeny sesyjne przesyłane bez ochrony, ponieważ ich przejęcie może pozwolić na dostęp do konta bez znajomości hasła. Sama obecność ikony kłódki w jednej części serwisu nie zabezpiecza zasobów pobieranych z innych, nieszyfrowanych adresów.

Rozpoznawanie problemu na laptopie i komputerze PC

Podstawowym sygnałem ostrzegawczym jest adres zaczynający się od http:// zamiast https://. W programach pocztowych lub klientach plikowych należy sprawdzić ustawienia portu i rodzaju zabezpieczenia, ponieważ numer portu sam w sobie nie dowodzi, że komunikacja jest szyfrowana. Przykładowo zwykły FTP nie szyfruje poleceń ani danych, natomiast SFTP jest odrębnym mechanizmem działającym przez SSH i nie należy utożsamiać tych nazw. Podobnie Telnet i SSH mają różne właściwości bezpieczeństwa, mimo że oba mogą służyć do zdalnej pracy w wierszu poleceń.

W przeglądarce można użyć narzędzi deweloperskich i zakładki Network, aby sprawdzić schemat adresu oraz informacje o połączeniu. W systemie Windows pomocne bywają także polecenia nslookup lub Resolve-DnsName do weryfikacji rozwiązywania nazwy, ale nie potwierdzają one szyfrowania transmisji. Analiza ruchu narzędziem takim jak Wireshark wymaga odpowiedniej wiedzy i uprawnień; dla połączenia TLS zawartość aplikacyjna powinna być nieczytelna bez kluczy sesyjnych, podczas gdy w ruchu HTTP żądania i odpowiedzi mogą być widoczne wprost. Nie należy przechwytywać komunikacji innych osób ani omijać zabezpieczeń sieci.

Bezpieczne ustawienia i działania serwisowe

W aplikacji należy wybierać szyfrowany wariant usługi, na przykład HTTPS zamiast HTTP, SFTP zamiast FTP oraz SSH zamiast Telnetu. W przypadku poczty trzeba korzystać z konfiguracji oferującej TLS zgodnie z dokumentacją konkretnego dostawcy, a następnie sprawdzić, czy program nie przechodzi automatycznie do połączenia nieszyfrowanego po błędzie negocjacji. Warto aktualizować system, przeglądarkę i używane aplikacje, ponieważ obsługa współczesnych wersji bibliotek kryptograficznych zależy od oprogramowania oraz konfiguracji serwera. Certyfikat powinien być sprawdzany przez aplikację, a ostrzeżeń o niezgodnej nazwie, nieważności lub nieznanym wystawcy nie należy bezrefleksyjnie zatwierdzać.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można sprawdzić ustawienia aplikacji, obecność niepożądanych przekierowań oraz sposób łączenia programów z usługami zewnętrznymi. Naprawa problemu może obejmować usunięcie starego klienta, korektę konfiguracji, aktualizację certyfikatów systemowych, zmianę adresu usługi na wariant szyfrowany albo weryfikację, czy aplikacja nie korzysta z wymuszonego przez siebie połączenia plaintext. Jeżeli zewnętrzny system obsługuje wyłącznie nieszyfrowany protokół, bezpiecznym rozwiązaniem jest jego wymiana, aktualizacja lub odseparowanie zgodnie z dokumentacją administratora, a nie przesyłanie przez niego poufnych informacji.