szyfrowanie transportowe

Szyfrowanie transportowe zabezpiecza wiadomość wyłącznie w trakcie jej przesyłania, nie po dostarczeniu.

Co obejmuje szyfrowanie transportowe

Szyfrowanie transportowe chroni dane podczas przesyłania ich między urządzeniem użytkownika a drugim punktem komunikacji, na przykład serwerem strony internetowej, serwerem poczty albo urządzeniem sieciowym. Dane są przekształcane do postaci nieczytelnej dla osoby, która przechwyci ruch pomiędzy tymi punktami. Ochrona dotyczy konkretnego połączenia lub odcinka trasy, dlatego jej działanie zaczyna się po zestawieniu zabezpieczonego kanału i kończy po jego zamknięciu albo po odebraniu danych przez punkt końcowy.

W praktyce pojęcie to najczęściej odnosi się do protokołu TLS używanego przez HTTPS, szyfrowanych połączeń pocztowych oraz wielu aplikacji internetowych. TLS zapewnia poufność przesyłanych danych, integralność komunikatów i uwierzytelnienie serwera na podstawie certyfikatu. Nie oznacza jednak automatycznie, że treść pozostaje zaszyfrowana po dostarczeniu. Serwer może odszyfrować komunikat i zapisać go w postaci jawnej, przetworzyć albo przekazać dalej innym kanałem.

TLS, certyfikat i przebieg bezpiecznego połączenia

Podczas nawiązywania połączenia TLS klient i serwer uzgadniają parametry kryptograficzne, w tym wersję protokołu oraz zestaw algorytmów. Współczesne wdrożenia powinny korzystać z TLS 1.2 lub TLS 1.3. TLS 1.3 skraca proces uzgadniania połączenia i usuwa część starszych mechanizmów, natomiast TLS 1.2 nadal jest spotykany w systemach i urządzeniach wymagających zgodności ze starszym oprogramowaniem. Przestarzałe SSL oraz starsze wersje TLS nie powinny być włączane tylko dlatego, że konkretny program ich wymaga, bez oceny ryzyka i możliwości aktualizacji.

Certyfikat serwera nie jest samym szyfrem przechowującym treść wiadomości. Jego zadaniem jest potwierdzenie tożsamości serwera dla nazwy domenowej oraz przekazanie klucza publicznego. Klient sprawdza między innymi podpis wystawcy, okres ważności, zgodność nazwy domeny i zaufanie do łańcucha certyfikatów. Po poprawnym uwierzytelnieniu strony obie strony wyprowadzają wspólny klucz sesyjny, który służy do szybkiego szyfrowania właściwych danych. W TLS 1.3 klucze sesyjne są uzgadniane z użyciem mechanizmów zapewniających poufność przekazywaną, więc późniejsze ujawnienie długoterminowego klucza serwera nie powinno odsłonić wcześniej zarejestrowanych sesji, jeśli użyto odpowiednich parametrów.

Granice ochrony na różnych odcinkach trasy

Transportowe szyfrowanie nie jest tym samym co szyfrowanie end-to-end. W połączeniu HTTPS dane są chronione między przeglądarką a serwerem HTTPS, ale po odszyfrowaniu mogą być dostępne dla aplikacji działającej na tym serwerze. Jeżeli serwer przekazuje je do innego systemu, bezpieczeństwo kolejnego odcinka zależy od jego własnej konfiguracji. Połączenie może więc składać się z kilku osobnych kanałów TLS, z których każdy ma własne uwierzytelnienie, klucze i punkt odszyfrowania.

Podobna zasada dotyczy poczty elektronicznej. Połączenie klienta pocztowego z serwerem może być zabezpieczone przez TLS, a następnie serwer nadawcy może przekazywać wiadomość do serwera odbiorcy innym połączeniem. Zabezpieczenie jednego odcinka nie gwarantuje ochrony wszystkich następnych. W przypadku awarii, błędnej konfiguracji lub wymuszenia połączenia bez szyfrowania aplikacja może przejść na kanał jawny albo odmówić wysyłki, zależnie od zastosowanych ustawień. Użytkownik powinien zwracać uwagę na ostrzeżenia przeglądarki, poprawną nazwę domeny oraz aktualność systemu i aplikacji, ponieważ szyfrowanie nie naprawia złośliwego oprogramowania ani fałszywej strony internetowej.

Znaczenie szyfrowanego ruchu podczas serwisowania sprzętu

Na laptopie lub komputerze PC szyfrowanie transportowe zależy przede wszystkim od używanej aplikacji, systemu operacyjnego, przeglądarki i konfiguracji sieci. Objawami problemu mogą być ostrzeżenia o nieważnym certyfikacie, błędy negocjowania TLS, brak możliwości otwarcia części stron albo nieprawidłowa data systemowa powodująca odrzucenie aktualnego certyfikatu. Przyczyną może być również nieaktualna przeglądarka, program antywirusowy analizujący połączenia HTTPS, filtr sieciowy lub uszkodzone ustawienia magazynu certyfikatów. Sama obecność kłódki w przeglądarce potwierdza istnienie szyfrowanego połączenia z określoną domeną, ale nie potwierdza wiarygodności każdej treści dostępnej na stronie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym sprawdzaniem problemów z dostępem do szyfrowanych usług internetowych. Diagnostyka może obejmować weryfikację zegara systemowego, aktualizacji, ustawień przeglądarki, certyfikatów oraz wpływu oprogramowania filtrującego ruch. Wnioski powinny wynikać z obserwacji konkretnego błędu: nieudane połączenie TLS nie zawsze oznacza awarię sprzętu, a prawidłowe szyfrowanie transportowe nie zastępuje kopii zapasowej, ochrony konta ani szyfrowania danych przechowywanych na dysku.