HTTPS (angl. Hypertext Transfer Protocol Secure) – įprasto HTTP protokolo plėtinys, palaikantis šifravimą. Duomenys, perduodami HTTPS pagalba, sukeliami į kriptografinius SSL ar TLS protokolus, taip užtikrinant perduodamų duomenų saugumą.
HTTPS protokolas naudojamas interneto svetainių saugiam ryšiui užtikrinti, ypatingai ten, kur vyksta elektroninė prekyba ar asmens duomenų mainai. HTTPS protokolas padeda apsaugoti duomenis nuo trečiųjų asmenų akių, – tai yra ypač aktualu naudojantis nepatikimais ryšio kanalais, tokiais kaip viešas belaidis internetas ir kt.
HTTPS yra palaikomas visų modernių naršyklių, tačiau šiuo metu ne visos svetainės leidžia pasinaudoti HTTPS teikiamais privalumais.
[[#ex]]
Kaip atpažinti, ar naudojamas HTTPS protokolas?
Vienas iš paprasčiausių atpažįstamų požymių yra tas, kad HTTPS protokolą palaikančių puslapių adresai prasideda santrumpa https:// vietoje įprastinio http://, kuri parodo, jog naudojamas HTTPS ryšys. Tačiau tai dar ne viskas, paslauga, naudojanti HTTPS ryšį, turi turėti galiojantį sertifikatą, priklausantį organizacijai, teikiančiai paslaugą ir išduotą patikimo sertifikatų centro (angl. Certificate authority). Kai kada yra naudojami vadinami savo sugeneruoti (angl. „self-signed“) sertifikatai, kurie nors ir užtikrina šifravimą kanalo lygmeniu, tačiau neįrodo, jog sertifikatas tikrai priklauso organizacijai, į kurios paslaugą kreiptasi, todėl įsilaužėliai gali mėginti „pakišti“ savo sugeneruotus sertifikatus siekdami suklaidinti ar apgauti vartotojus.
Pateikiame rekomendacijas, kaip vizualiai atpažinti, jog naudojamas HTTPS ryšys.
Puslapis www.cert.lt naudoja HTTPS ryšį (naršyklė „Internet Explorer 9“). Atkreipkite dėmesį, jog puslapio adresas prasideda https://, o apsilankius šiame puslapyje naršyklė nerodo jokių perspėjimų, adreso laukeyje yra pavaizduotas spynelės simbolis, kuri paspaudus pasirodys trumpas sertifikato aprašymas:
Aprašyme nurodyta, jog sertifikatus išduodanti įstaiga „GeoTrust Global CA“, identifikuoja šią svetainę kaip www.cert.lt. Paspaudus nuorodą „View certificates“, galima pasitikrinti sertifikato galiojimo laiką bei papildomą informaciją apie jį:
Štai taip atrodo tipinis HTTPS protokolas naudojantis puslapis naršyklėje „Opera“:
Netinkamas HTTPS naudojimas
Modernios naršyklės automatiškai pastebi atvejus, kai HTTPS yra taikomas netinkamai, bei perspėja vartotoją apie galimas rizikas, pavyzdžiui:
Naršyklė „Opera“ praneša, jog https://www.rrt.lt svetainės sertifikatų grandinė yra ne visa ir kad sertifikatą pasirašė neregistruotas subjektas. Pasirinkus „Security“ skyrių, bus pateikta detalesnė informacija:
Šiuo atveju naršyklė praneša, jog bandome lankytis www.rrt.lt svetainėje, kurios pavadinimas neatitinką išduoto sertifikato, be to nurodyta, jog sertifikatą išdavė nežinoma sertifikatus išduodanti įstaiga.
Naršyklė „Internet Explorer“, nėra tokia informatyvi:
Naršyklės „Firefox“ perspėjimas panašus į naršyklės „Opera“ pateikiamą perspėjimą:
Tokių perspėjimų rodymas gali reikšti keletą dalykų:
- Įsilaužėlis yra įsiterpęs tarp bandomos pasiekti interneto svetainės ir jūsų kompiuterio bei bando perimti užšifruotą srautą. Pavyzdžiui, bandote apsilankyti banko svetainėje naudodami HTTPS ryšį ir staiga gaunate pranešimą apie sertifikato problemas.
- Svetainė, kurioje bandote apsilankyti nėra pritaikyta darbui su HTTPS ryšiu. Mūsų aprašomame pavyzdyje taip ir yra, todėl svetaine galime pasinaudoti įprastu būdu apsilankę http://www.rrt.lt, tačiau tokiu atveju, suprantama, ryšys tarp mūsų kompiuterio ir svetainės nėra užšifruojamas ir gali būti matomas tretiesiems asmenims.
[[#ex]]
