Kłódka obok adresu strony to jeden z najbardziej rozpoznawalnych symboli internetu. Wielu osobom kojarzy się z komunikatem „ta strona jest bezpieczna”, a oznacza coś węższego: połączenie między Tobą a serwerem jest szyfrowane. Wyjaśniamy, jak to działa i na co patrzeć, żeby nie dać się nabrać.
Czym jest HTTPS i po co szyfrowanie
HTTP to zestaw zasad, według których przeglądarka rozmawia ze stroną internetową. HTTPS to ta sama rozmowa, ale zabezpieczona szyfrowaniem. Litera „S” oznacza po angielsku „secure”, czyli zabezpieczony.
Bez szyfrowania dane wędrują od Ciebie do serwera jak pocztówka. Każdy, kto ma dostęp do fragmentu trasy, może je przeczytać lub zmienić. Może to być osoba w tej samej publicznej sieci Wi-Fi albo ktoś, kto przejął kontrolę nad urządzeniem sieciowym po drodze. Przy szyfrowaniu to samo wygląda jak zaklejona koperta, a z zewnątrz widać tylko, że ktoś coś wysyła i dokąd.
Szyfrowanie chroni więc m.in. hasła, numery kart, treść formularzy i dane logowania. Zapobiega też podmianie zawartości strony w trakcie przesyłania, na przykład doklejeniu do niej obcych reklam lub złośliwego kodu.
Jak przebiega szyfrowane połączenie
Zanim strona się wyświetli, przeglądarka i serwer przeprowadzają w ułamku sekundy tzw. uzgadnianie połączenia. W uproszczeniu wygląda to tak:
- Przeglądarka zgłasza się do serwera i mówi, jakich metod szyfrowania umie używać.
- Serwer wybiera jedną z nich i przedstawia swój certyfikat, czyli cyfrowy dokument tożsamości.
- Przeglądarka sprawdza certyfikat, a potem obie strony ustalają wspólny tajny klucz.
- Od tego momentu cała wymiana danych jest szyfrowana tym kluczem.
Najciekawszy jest trzeci krok. Jak ustalić tajny klucz, skoro rozmowa toczy się przez sieć, w której ktoś może podsłuchiwać? Pomaga w tym kryptografia klucza publicznego. Strony wymieniają informacje, które pozwalają każdej z nich wyliczyć ten sam klucz, ale nie pozwalają go odtworzyć komuś, kto widział tylko ich wymianę. Dobrym porównaniem jest kłódka z otwartym zamkiem: każdy może ją zatrzasnąć, ale otworzyć ją potrafi tylko właściciel klucza.
Do samej wymiany danych używa się potem szybszego szyfrowania ze wspólnym kluczem. Jest on ważny tylko przez jedną sesję, więc po zamknięciu strony przestaje mieć znaczenie.
Certyfikat: skąd wiadomo, że to właściwa strona
Szyfrowanie nie wystarczy, jeśli rozmawiasz z niewłaściwym rozmówcą. Dlatego liczy się też potwierdzenie tożsamości. Certyfikat wydaje wyspecjalizowana instytucja zwana urzędem certyfikacji. Przeglądarki i systemy operacyjne mają wbudowaną listę takich urzędów, którym ufają.
Przeglądarka sprawdza kilka rzeczy:
- czy certyfikat został wydany dla dokładnie tej nazwy domeny, którą wpisałeś,
- czy nie wygasł,
- czy wystawił go zaufany urząd,
- czy nie został unieważniony.
Jeśli któryś warunek nie jest spełniony, zobaczysz pełnoekranowe ostrzeżenie. Nie warto go ignorować ani klikać „mimo to przejdź dalej”, zwłaszcza na stronach, na których się logujesz lub płacisz.
Czego kłódka nie gwarantuje
To najważniejsza część tego artykułu. Kłódka mówi: „połączenie z tą domeną jest szyfrowane”. Nie mówi: „ta firma jest uczciwa” ani „możesz tu bezpiecznie podać dane”. Certyfikaty dla zwykłych domen można uzyskać bez trudu, także dla stron założonych tylko po to, by wyłudzać dane. Fałszywy sklep czy strona imitująca bank może więc mieć kłódkę i szyfrowanie, a mimo to służyć oszustom.
Warto też wiedzieć, że wygląd ikony zależy od przeglądarki i jej wersji. W niektórych kłódkę zastąpiono neutralnym symbolem, który po kliknięciu pokazuje informacje o połączeniu. Sens pozostaje ten sam: sprawdzasz, czy połączenie jest szyfrowane, a nie czy strona jest godna zaufania.
Brak szyfrowania zwykle widać wyraźnie. Przeglądarka oznacza stronę jako „niezabezpieczoną”. Nie wpisuj na takiej stronie haseł ani danych osobowych.
Praktyczne wskazówki na co dzień
- Czytaj adres uważnie. Oszuści podmieniają pojedyncze litery lub dodają człony, np. nazwę znanej marki w środku dłuższej domeny. Liczy się to, co stoi tuż przed końcówką domeny i pierwszym ukośnikiem.
- Nie klikaj w linki z wiadomości, jeśli sprawa jest ważna. Do banku czy urzędu wejdź, wpisując adres ręcznie lub korzystając z własnej zakładki.
- Zwracaj uwagę na ostrzeżenia przeglądarki. Komunikat o błędzie certyfikatu to powód, by przerwać, a nie przeskoczyć dalej.
- Aktualizuj przeglądarkę i system. Dzięki temu masz aktualne listy zaufanych urzędów i nowsze metody szyfrowania.
- Na publicznym Wi-Fi bądź ostrożny. HTTPS bardzo pomaga, ale loguj się tylko tam, gdzie to konieczne, a ważne sprawy załatwiaj raczej w sieci komórkowej lub własnej.
- Używaj uwierzytelniania dwuskładnikowego, jeśli usługa je oferuje. Chroni konto także wtedy, gdy hasło wpadnie w niepowołane ręce.
HTTPS to dziś podstawa, a nie wyróżnik. Szyfrowanie i certyfikat zapewniają, że nikt nie podsłucha Twojej rozmowy z serwerem, ale to Ty decydujesz, czy z tym serwerem w ogóle warto rozmawiać. Kłódkę traktuj więc jako warunek konieczny, a nie dowód wiarygodności.
