OnkoKubo.sk

Na túto tému bolo popísaných veľa článkov a blogov. Dosť intenzívne sa jej venuje aj Synopsi na svojom blogu. Dnes sa na to skúsim pozrieť očami laika, ktorý nepozná detaily zabezpečenia, a nie ako programator, ktorý sa snaží svoje “diela” zabezpečovať.

Po informácii o malých problémoch so stránkou internetbankingu ČSOB som si povedal, že bežný človek nevie, čo môže riskovať, ak používa nezabezpečený internetbanking. A o čo ide? Ak si v slušnom prehliadači na stránke ČSOB kliknete na linku IB, prehliadač vám zobrazí chybové hlásenie s bezpečnosťou certifikátu stránky, ktorá ním má byť overená. Ak je prehliadač dôsedný, nedostanete sa k stránke vôbec.

A čo sa stalo? Treba použiť iný prehliadač? Podľa mňa skôr iný internetbanking. ČSOB totiž používa certifikát overený PSCA – Prvou Slovenskou Certifikačnou Autoritou. O nič by nešlo, ak by boli certifikáty PSCA štandardne dodávané vo všetkých prehliadačoch. Na to je ale táto autorita pomerne málo významná. Prehliadač teda nechá na vás, či chcete tejto stránke veriť.

Čo by bolo treba zmeniť? Nie prehliadač, nie banku (keby aspoň IB mali iný ). Riešenie nie je priveľmi nákladné a je celé na strane banky. Stačí zmeniť certifikát za taký, ktorý bude podpísany dôveryhodnou autoritou (VeriSign, Thawte, Go Daddy…). Proti takémuto certifikátu nebude váš prehliadač nič namietať a stránku ním zabezpečenú vám rád zobrazí.

A ako môžete pracovať s certifikátmi? A čo to vôbec certifikáty sú? Jednoducho povedané, sú to akési doklady pravosti stránky. Ak pristupujete k stránke, na ktorej je potrebná zvýšená bezpečnosť (banka, elektronický obchod, prihlasovania), je dobré, ak stránka používa zabezpečený protokol. To, či ho naozaj používa zistíte tak, že v adresnom riadku na začiatku adresy nebude http, ale https. To “s” znamená “secure” – zabezpečený. Stránka je vtedy prenášaná šifrovaná a nikto, kto by bol medzi vami a serverom nemôže odchytiť a zmeniť vaše dáta. Nedostane sa k vašim heslám, číslam kreditných kariet, osobným mailom, nezmení vaše objednávky. Celá komunikácia je šifrovaná za pomoci kľúča, ktorého detaily sú v certifikáte. V tomto certifikáte sú aj detaily o tom, kto ho vydal, kto zaručuje jeho pravosť, aj o tom, komu bol vydaný. To je vaša banka, elektronický obchod a pod.
Ak si chcete pozrieť tieto detaily (čo nie je na škodu), stačí kliknúť na ikonku zámočka (resp. iného indikátora zabezpečenia).

Ak ale nie je certifikát podpísaný autoritou, ktorú prehliadač pozná, musíte vy rozhodnúť, či mu veríte. A tu je zraniteľnosť. Nie je totiž zanedbateľné riziko, že niekto môže zmeniť údaje, ktoré vám boli zaslané. Túto zmenu už nemáte ako zistiť, keďže aj certifikát vám mohol byť nastrčený útočníkom.

Nevravím, že na vás teraz hneď budú útočiť a klienti ČSOB prídu o peniaze. Bolo by ale vhodné, aby banka zmenila svoj postoj k tejto otázke, aby si mohli byť istejší, že je všetko v poriadku.

DOPLNENÉ:

Na moje otázky mi prišlo vyjadrenie od špecialistu helpdesku ČSOB, ktoré zahŕňalo stanovisko PSCA. To si môžete prečítať v súbore PDF uloženom na mojej stránke. V ňom je vysvetlené, že PSCA je uznávana legislatívou ČR a SR. Takisto ich koreňvé certifikáty uznala spoločnosť Microsoft.

Sám používam Windows a v zozname certifikačných autorít mám I.CA. No aj tak nie je možné načítaťv IE7 stránku internetbankingu ČSOB. A to nehovorím o iných OS a prehliadačoch.