Většina lidí, kteří používají internet, již ví, že ikona visacího zámku v adresním řádku znamená, že web je bezpečné, ale možná si přesně neuvědomujete, co to znamená nebo jak bezpečné je vaše spojení s tím visací zámek.
Visací zámek je vizuální indikací toho, že vaše připojení k webu bylo zabezpečeno pomocí HTTPS. HTTPS neboli Hypertext Transfer Protocol Secure je verze protokolu HTTP, která používá šifrování k zabezpečení vašich dat před zvědavýma očima.
Šifrování je proces kódování dat pomocí šifrovací šifry a klíče, takže je lze číst pouze pomocí dešifrovacího klíče. Můžete si to představit jako zamykací schránku, můžete napsat zprávu, zamknout schránku a pak jen někdo se správným klíčem může schránku otevřít a zprávu si přečíst. Tím jsou vaše data v bezpečí před hackery, kteří se snaží ukrást podrobnosti o účtu.
Jednou z klíčových informací, které byste měli vědět, je, že šifrování a zabezpečení HTTPS pouze ověřuje, že vaše připojení k webu, který jste zadali do adresního řádku, je bezpečné. Neznamená to, že je web zabezpečený, ani to, že je to web, který jste chtěli procházet. Mnoho phishingových a malwarových webů přechází na používání HTTPS, protože se stává dostupnější, takže není bezpečné důvěřovat pouze nějakému webu, který používá HTTPS.
Tip: „Phishingový“ web se vás pokouší přimět k odeslání citlivých údajů, jako jsou informace o účtu, předstíráním legitimní přihlašovací stránky. Odkazy na phishingové stránky jsou často zasílány e-mailem. Malware je univerzální termín pro „škodlivý software“, který zahrnuje viry, červy, ransomware a další.
Poznámka: Nikdy byste neměli zadávat své uživatelské jméno a heslo nebo jiné citlivé informace, jako jsou bankovní údaje, přes nezabezpečené připojení. I když má web visací zámek a HTTPS, neznamená to, že byste si stále neměli dávat pozor na to, kam zadáváte své údaje.
Nástroje pro vývojáře Chrome
Chcete-li zobrazit další informace o zabezpečeném připojení, musíte otevřít panel nástrojů pro vývojáře Chrome. Můžete tak učinit stisknutím klávesy F12 nebo kliknutím pravým tlačítkem myši a výběrem „Inspect“ ve spodní části seznamu.
Panel nástrojů pro vývojáře se ve výchozím nastavení zobrazí na panelu „Prvky“, abyste viděli informace o zabezpečení, které potřebujete, abyste přepnuli na panel „Zabezpečení“. Pokud není okamžitě vidět, možná budete muset kliknout na ikonu dvojité šipky na panelu nástrojů pro vývojáře a poté vybrat „Zabezpečení“.
Pokud se vám nelíbí, že je panel nástrojů pro vývojáře připojen k pravé části stránky, můžete jej přesunout dolů, doleva nebo do samostatného kliknutím na ikonu se třemi tečkami v pravém horním rohu panelu nástrojů pro vývojáře a poté výběrem preferované možnosti ze strany „Dock“ výběr.
V přehledu panelu zabezpečení jsou tři části informací, Certifikát, Připojení a Zdroje. Ty pokrývají podrobnosti o certifikátu HTTPS, šifrování použitém k zabezpečení připojení a podrobnosti o tom, zda byly nějaké zdroje obsluhovány nezabezpečeně.
Certifikáty
V části certifikát je uvedeno, která certifikační autorita vydala certifikát HTTPS, pokud je platný a důvěryhodný, a umožňuje vám certifikát zobrazit. Kromě ověření, že web, ke kterému se připojujete, provozuje osoba, která vlastní adresu URL, certifikát přímo neovlivňuje zabezpečení vašeho připojení.
Tip: Certifikáty HTTPS fungují v systému řetězu důvěry. Řada kořenových certifikačních autorit je důvěryhodná při vydávání certifikátů vlastníkům webových stránek poté, co prokáží, že vlastní webové stránky. Tento systém je navržen tak, aby zabránil hackerům ve generování certifikátů pro webové stránky nevlastní, protože tyto certifikáty nebudou mít řetězec důvěry zpět ke kořenovému certifikátu autorita.
Spojení
Část „Připojení“ podrobně popisuje šifrovací protokol, algoritmus výměny klíčů a šifrovací algoritmus používaný k šifrování vašich dat. Šifrovací algoritmus by měl v ideálním případě říkat „TLS 1.2“ nebo „TLS 1.3“. TLS nebo Transport Level Security je standardem pro vyjednávání konfigurací šifrování.
TLS verze 1.3 a 1.2 jsou aktuální standardy a jsou považovány za bezpečné. TLS 1.0 a 1.1 jsou v procesu ukončení podpory, protože jsou staré a mají některé známé slabiny, i když jsou stále dostatečné z hlediska zabezpečení.
Tip: Zastaralé znamená, že se nedoporučuje jejich používání a jsou podnikány kroky k odebrání podpory.
Předchůdci TLS byli SSLv3 a SSLv2. Téměř nikde již nepodporuje ani jednu z těchto možností, protože byly od roku 2015 a 2011 zastaralé, protože byly považovány za nejisté.
Další hodnotou je algoritmus výměny klíčů. To se používá k bezpečnému vyjednání šifrovacího klíče, který má být použit s šifrovacím algoritmem. Je jich příliš mnoho, abychom je mohli jmenovat, ale obecně se spoléhají na klíčový protokol dohody nazvaný „Elliptic-curve Diffe-Hellman Ephemeral“ neboli ECDHE. Bez použití softwaru pro monitorování sítě třetí strany a záměrně oslabené konfigurace není možné určit dohodnutý šifrovací klíč. Výslovná nepodpora přístupu k těmto informacím v prohlížeči znamená, že nemohou být náhodně kompromitovány.
Konečná hodnota v sekci Připojení je šifrovací sada použitá k zašifrování připojení. Opět je toho příliš mnoho na to, abychom je mohli jmenovat. Šifry mají obecně vícedílná jména, která mohou popisovat použitý šifrovací algoritmus, sílu šifry v bitech a jaký režim se používá.
V příkladu AES-128-GCM, jak je vidět na snímku obrazovky výše, je šifrovací algoritmus AES nebo Advanced Encryption Standard, síla je 128 bitů a režim Galois-Counter-Mode použitý.
Tip: 128 nebo 256 bitů jsou nejběžnější úrovně kryptografického zabezpečení. Znamená to, že použitý šifrovací klíč tvoří 128 nebo 256 bitů náhodnosti. To je 2^128 možných kombinací, nebo dvě vynásobené samy sebou 128krát. Stejně jako u všech exponenciál se čísla velmi zvětšují, velmi rychle. Počet možných 256bitových kombinací kláves se zhruba rovná některým nižším odhadům počtu atomů v pozorovatelném vesmíru. Je nepředstavitelně obtížné správně uhodnout šifrovací klíč, a to i s více superpočítači a staletími času.
Zdroje
Sekce zdrojů zobrazuje všechny zdroje stránky, jako jsou obrázky, skripty a šablony stylů, které nebyly načteny přes zabezpečené připojení. Pokud byly nějaké zdroje načteny nezabezpečeně, tato část se zvýrazní červeně a poskytne odkaz na zobrazení konkrétní položky nebo položek na panelu sítě.
V ideálním případě by všechny zdroje měly být načteny bezpečně, protože jakýkoli nezabezpečený zdroj by mohl hacker upravit bez vašeho vědomí.
Více informací
Další informace o každé doméně a subdoméně, které byly načteny, můžete zobrazit pomocí sloupce na levé straně panelu. Tyto stránky zobrazují zhruba stejné informace jako přehled, ačkoli jsou zobrazeny informace o transparentnosti certifikátu a některé další podrobnosti z certifikátů.
Tip: Certificate Transparency je protokol používaný k potlačení některých historických zneužití procesu vydávání certifikátů. Nyní je povinnou součástí všech nově vydávaných certifikátů a slouží k dalšímu ověření, zda je certifikát legitimní.
Zobrazení původu vám umožňuje procházet každou z domén a subdomén, které načetly obsah na stránce, takže můžete zkontrolovat jejich konkrétní konfigurace zabezpečení.