Dwa podstawowe problemy, które pomagają rozwiązać certyfikaty SSL to:
- Uwierzytelnienie — przedstawienie informacji o firmie, która jest właścicielem strony WWW i zbudowanie w ten sposób zaufania użytkownika (zwiększenie wiarygodności serwisu internetowego).
- Szyfrowanie — ochrona danych przesyłanych między użytkownikiem a serwerem lub między dwoma serwerami, tak by w razie podsłuchania transmisji nie było możliwe przeczytanie przesyłanych danych ani ich modyfikacja.
Rozwiązanie tych problemów zabezpiecza komunikację on-line przed 3 najpoważniejszymi zagrożeniami:
-
Podszywanie się — niski koszt stworzenia strony WWW, której wygląd jest zbliżony do innego serwisu internetowego ułatwia podszywanie się pod zaufane organizacje i wyłudzanie w ten sposób od użytkowników informacji o kartach kredytowych, hasłach jednorazowych, hasłach do banków (wielokrotnie wspominany przeze mnie na tym blogu phishing).
Wykorzystanie certyfikatu SSL, który zawiera informację o nazwie i adresie właściciela serwisu (na przykład certyfikat GeoTrust True BusinessID oraz certyfikaty VeriSign, a zwłaszcza certyfikaty Extended Validation) wyklucza możliwość skutecznego podszycia się pod ten serwis przez oszustów.
-
Podsłuch i ujawnienie informacji — przesyłanie danych przez Internet bez ich szyfrowania umożliwia zapoznanie się z nimi przez osoby nieupoważnione. Informacje mogą zostać błyskawicznie skopiowane, zapisane i wykorzystane w przyszłości.
Zastosowanie certyfikatu SSL o odpowiednio silnym szyfrowaniu (256 bitów) sprawia, że rozszyfrowanie podsłuchanej transmisji może zająć kilkadziesiąt lub kilkaset lat, czyniąc w praktyce ten atak zupełnie nieskutecznym.
-
Modyfikacja danych — informacje przesyłane przez niezaszyfrowane połączenie mogą zostać zmodyfikowane bez wiedzy nadawcy i odbiorcy. W ten sposób może okazać się, że podczas składania zamówienia w sklepie internetowym ktoś podmienił adres dostawy albo, co gorsza, zamiast wykonać przelew 500zł przekazaliśmy 50.000zł!
Każdy certyfikat SSL gwarantuje, że nikt w sposób niezauważony nie może ingerować w transmisję danych i nie modyfikuje przesyłanych informacji.
Z każdym dniem coraz więcej ważnych działań wykonujemy przez Internet: komunikujemy się (e-mail, rozmowy głosowe, fora internetowe), robimy zakupy w sklepach internetowych, rezerwujemy bilety PKP i lotnicze, korzystamy z usług banków (kredyty, przelewy, lokaty).
Na firmach spoczywa obowiązek zapewnienia bezpieczeństwa przesyłanych i gromadzonych danych. Natomiast my jako użytkownicy powinniśmy wykazać się czujnością i rozważnie wybierać komu powierzymy nasze, często bardzo ważne, dane. Często wystarczy odpowiedź na 3 pytania:
- Czy na pewno znajduję się na prawdziwej stronie internetowej instytucji? Czy adres znajdujący się w pasku adresu przeglądarki internetowej jest poprawny? Czy strona WWW wygląda tak jak powinna wyglądać?
- Czy dane są przesyłane przez zaszyfrowane połączenie? Czy przeglądarka internetowa informuje mnie o zaszyfrowanym połączeniu (żółty pasek adresu lub charakterystyczna kłódka)?
- Czy tożsamość i wiarygodność właściciela serwisu została dokładnie sprawdzona przez zaufaną i znaną instytucję (na przykład firę VeriSign)? Czy pasek adresu w przeglądarce jest zielony?
