Zwykłe e-maile także potrafią dostarczyć sporej dawki emocji. Znowu coś z mojej korespondencji: “Otworzyłem załącznik z rozszerzeniem XYZ. Czym to grozi?” “Czy mogę wysłać e-mailem numer swojej karty płatniczej? Czy taki list wystarczy zaszyfrować? A skąd mam mieć pewność, że wysyłam go do właściwej osoby?”
Doprowadźmy zatem naszą przeglądarkę WWW do stanu, po osiągnięciu którego bez wahania powierzymy jej ważne dla nas dane, a wizyta w internetowym sklepie nie będzie kojarzyła nam się ze spacerem po zakazanej dzielnicy. Zajmijmy się także klientem poczty, aby mieć pewność, że załączniki znajdujące się w odebranych listach nie wywrócą nam komputera do góry nogami, a wysłane informacje trafią do właściwych osób.
Trzymając się kilku zasad, możemy bez obaw przeprowadzać sieciowe transakcje. Najważniejsze, aby być pewnym, że przesyłanie danych przez Pajęczynę będzie poufne. Nie wystarczy samo zaszyfrowanie informacji takiej jak numer karty płatniczej. Co z tego, że użyjemy najduższych kluczy i najsilniejszych metod kodowania danych, jeśli wyślemy je do osoby niepowołanej? Ta odszyfruje wszystko, co będzie dla niej niezbędne, a później ogołoci nasze konto. Musimy więc uzyskać pewność, że podajemy dane odpowiedniej osobie lub instytucji.
Szyfry, paszporty, autorytety
Podczas wymiany poufnych danych niezbędne jest potwierdzenie tożsamości odbiorcy. Gwarancję, że ktoś, komu udostępniamy numery kart płatniczych, jest tym, za kogo się podaje, otrzymujemy dzięki systemowi certyfikatów. Pełnią one taką funkcję jak dowody osobiste lub paszporty – pozwalają np. stwierdzić, że witryna przedstawiająca się jako strona główna sklepu internetowego jest nią naprawdę.
Wystawianiem certyfikatów zajmują się instytucje licencjonujące (CA, Certifying Authority), takie jak Thawte lub VeriSign. Zanim przyznają one komuś sieciowy “paszport”, przeprowadzają szczegółową procedurę weryfikacyjną swojego klienta. Co istotne, takich “dokumentów tożsamości” nie wolno przekazywać dalej. Bank X, który uzyskał certyfikat od firmy Y, nie może udostępnić go witrynie Z.
Z czego składa się sam certyfikat? Znajdziemy w nim między innymi nazwę właściciela, datę ważności, numer seryjny oraz zestaw kluczy publicznych. Za ich pomocą szyfrowane są wiadomości wysyłane np. do banku, sklepu itp. Dzięki kluczom publicznym sprawdzamy ponadto, czy otrzymane i podpisane cyfrowo wiadomości rzeczywiście pochodzą od właściwej osoby albo instytucji. Właściciel certyfikatu dysponuje jeszcze zestawem kluczy prywatnych, niezbędnych do odkodowania otrzymanych informacji.
Kilka kroków
Same klucze publiczne i prywatne nie wystarczą, aby bezpiecznie wymieniać informacje na drodze klient-bank, kupujący-sklep itp. Potrzebny jest jeszcze odpowiedni protokół komunikacyjny, czyli grupa reguł, dzięki którym zestawiane są poufne połączenia. Taką rolę pełnią SSL (Secure Socket Layer) lub TLS (Transport Layer Security). Protokoły te pozwalają na wykorzystywanie rozmaitych algorytmów szyfrujących (symetrycznych i niesymetrycznych) z kluczami o różnych długościach.
Negocjowanie bezpiecznego połączenia między klientem a bankiem bądź sklepem jest złożone z kilku etapów. Najpierw za pomocą przeglądarki WWW kontaktujemy się z odpowiednim serwerem i pobieramy jego certyfikat. Korzystając z klucza publicznego, weryfikujemy autentyczność “paszportu”.
Warto wiedzieć, że niektóre instytucje (np. banki) same wydają certyfikaty dla swoich klientów. Może się więc zdarzyć, że serwer także pobierze nasz certyfikat i skontroluje jego wiarygodność.
Na obecnym etapie komunikacji stosuje się szyfrowanie z kluczem niesymetrycznym. Natomiast nasza przeglądarka WWW generuje klucz symetryczny, za pomocą którego później będą kodowane informacje wymieniane z serwerem. Czas ważności takiego klucza ogranicza się tylko do bieżącej sesji. Tymczasowy klucz zostaje zaszyfrowany z wykorzystaniem publicznego, 1024-bitowego (lub dłuższego) klucza serwera.
Zakodowany klucz symetryczny zostaje wysłany do serwera. Ten z kolei odszyfrowuje wiadomość za pomocą własnego klucza prywatnego. Dzięki temu dalsza wymiana informacji będzie bezpieczna – obydwie strony skorzystają z tymczasowego klucza, unieważnianego w momencie zamknięcia bieżącej sesji.
Na całą Sieć
Oczywiście wszystkie opisane wyżej operacje odbywają się automatycznie, w sposób niezauważalny dla użytkownika. Nie oznacza to jednak, że osoba nawiązująca połączenie z certyfikowaną witryną może polegać tylko na własnej przeglądarce WWW i udostępnianych przez nią mechanizmach zabezpieczania danych. Należy jeszcze zadbać o to, aby te mechanizmy odpowiednio funkcjonowały, i przy okazji spróbować “uszczelnić” połączenie.
W dalszej części tekstu będzie mowa o tym, jak poprawnie skonfigurować przeglądarkę WWW i program pocztowy właśnie pod kątem korzystania z certyfikatów i protokołów SSL/TLS. Przyjrzymy się Firefoksowi, Internet Explorerowi, Mozilli, Operze i Konquerorowi. Interesujące nas klienty e-mail to Outlook Express i Thunderbird. Można śmiało przyjąć, że aplikacji tych używa 99% rodzimych internautów.
| Bezpieczne zakupy w Sieci |
| 1. Do połączenia się z witryną wymagającą autoryzacji wykorzystujemy tylko własny komputer. Nigdy nie używamy peceta stojącego w kafejce internetowej ani żadnej innej “publicznej” maszyny. 2. Przed zalogowaniem się do sklepu lub banku internetowego sprawdzamy, czy połączenie jest bezpieczne. Jeśli tak, adres witryny powinien rozpoczynać się od znaków https://, a przeglądarka WWW musi pokazywać symbol zamkniętej kłódki. 3. Zanim wpiszemy identyfikator i hasło, kontrolujemy certyfikat witryny. Sprawdzamy jego datę ważności i upewniamy się, że został wystawiony dla właściwej strony. 4. W przeglądarce WWW wyłączamy funkcję zapisywania nazwy użytkownika i hasła. Rezygnujemy też z opcji autouzupełniania nazw i haseł w formularzach. 5. Po zakończonej transakcji korzystamy z opcji wylogowania z systemu. Czekamy na wyświetlenie strony potwierdzającej zakończenie połączenia. 6. Jeżeli nasza przeglądarka WWW w momencie zamknięcia nie usuwa z pamięci podręcznej wszystkich danych, sami opróżniamy cache. |
