HTTPS та безпека вебсайтів

Що таке HTTPS та безпека вебсайтів?

У відкритій мережі Wi-Fi відсутність замка означає, що будь-хто поруч може прочитати все, що ви надсилаєте. Працюючи з кав'ярні, ви переходите за посиланням від відділу кадрів на зарплатний портал, який виглядає цілком справжнім, входите й підтверджуєте банківські реквізити. На наступному сайті ви прислухаєтеся до попередження про сертифікат. Через два дні з'являються несанкціоноване списання з рахунку та вхід з іншої країни. Ви повернетеся до адресного рядка, щоб знайти те, чого бракувало, простежите перехоплення трафіку в атаці «людина посередині» й подасте звіт.

Що ви дізнаєтесь у HTTPS та безпека вебсайтів

• Перевіряйте HTTPS в адресному рядку, перш ніж вводити облікові чи фінансові дані, особливо в мережі, якій не довіряєте
• Поясніть, як атака «людина посередині» в публічній мережі Wi-Fi перехоплює трафік, не зашифрований наскрізь
• Сприймайте попередження браузера про сертифікат як захист, а не перешкоду, і ніколи не обходьте його, щоб потрапити в робочу систему
• Пам'ятайте: знайомий вигляд сторінки нічого не каже про те, наскільки безпечне з'єднання, яким вона надійшла
• Повідомляйте про підозру на перехоплення: вказуйте мережу, сайт і введені дані, щоб служба ІТ-безпеки могла оцінити масштаб розкриття даних

HTTPS та безпека вебсайтів — Кроки навчання

1. Робота з кав'ярні

   Домашній інтернет не працює з самого ранку, а до кінця дня потрібно виконати термінове зарплатне завдання. Ви пішли до кав'ярні неподалік і підключилися до безкоштовної мережі Wi-Fi «CafeConnect Free WiFi» — відкритої, без пароля.

2. Лист від відділу кадрів

   Надходить новий лист від відділу кадрів про щорічну перевірку реквізитів для зарахування зарплати.

3. Перехід на зарплатний портал

   Аліса натискає посилання в листі від відділу кадрів, щоб відкрити зарплатний портал. Вона вже робила це раніше — це звичайне щорічне завдання. Посилання починається зі звичайного http:// , і, на відміну від внутрішньої панелі, зарплатний портал не використовує HSTS (механізм, що змушує браузер завжди підключатися через HTTPS). Зазвичай портал одразу перенаправив би Алісу на HTTPS. Але вона не знає, що в тій самій мережі Wi-Fi кав'ярні працює зловмисник і проводить атаку SSL strip (вона знижує з'єднання з HTTPS до HTTP): він перехоплює цей перший звичайний HTTP-запит, зв'язується зі справжнім порталом уже через HTTPS, а з боку Аліси залишає з'єднання на HTTP. Сторінка завантажується як завжди, але без шифрування.

4. Вхід

   Зарплатний портал виглядає так, як Аліса його пам'ятає: логотип Meridian, знайома синя гама, звична форма входу. Без жодних вагань вона вводить свої робочі облікові дані. Аліса не помічає, що менеджер паролів не запропонував автозаповнення: адреса порталу не збігається з жодним збереженим записом.

5. Підтвердження банківських реквізитів

   Після входу портал просить Алісу підтвердити банківські реквізити для зарахування зарплати. У формі потрібні код банку (routing number) і номер рахунку — це стандартні дані для щорічної перевірки.

6. Перехід до іншої системи

   Перш ніж іти додому, Аліса вирішує швидко заглянути на внутрішню панель проєктів і переглянути розклад на завтра.

7. Увага до попередження

   Замість панелі Аліса бачить різке попередження: «Ваше з'єднання не є приватним». Вона не розуміє, що його спричинило, але попередження виглядає серйозним. Попередження про сертифікат з'явилося тому, що під час атаки MITM зловмисник спробував перехопити і це з'єднання HTTPS, але браузер виявив недійсний цифровий сертифікат і заблокував сторінку. Аліса вирішує не йти далі.

8. Сповіщення банку про шахрайство

   Через два дні Аліса сідає за стіл, щоб розпочати робочий день. У вхідних на неї чекає терміновий лист від банку.

9. Сповіщення від ІТ-безпеки

   Аліса ще не встигла розібратися зі сповіщенням банку про шахрайство, як надходить інший лист — цього разу від служби ІТ-безпеки Meridian.

10. Усе сходиться

    В Аліси все обривається всередині. Несанкціоноване списання з рахунку. Підозрілий вхід з України. Обидві події сталися протягом кількох днів після того, як вона користувалася Wi-Fi у кав'ярні. Вона перечитує сповіщення від ІТ-безпеки, і з кожним рядком їй дедалі тривожніше.