Sokan már az ezredforduló környékén jelen voltak az interneten, azonban valószínűleg akkor még senki nem törődött túl sokat a biztonsággal. A figyelmesebbek azért igyekeztek mindig a legfrissebb Internet Explorert használni, és még a jelszavaikat is próbálták variálni, hogy ne mindenhol ugyanazt adják meg. Azt azonban már igen kevesen figyelték, hogy a webes forgalmuk milyen utat tesz meg a gépükről egy webszerverre, és vissza.
A hanyag hozzáállás már akkor is veszélyes volt, most azonban fokozott biztonsági kockázatot rejt magában, hiszen már készen letölthető, hackelésre szakosodott eszközök is léteznek. Szerencsére a webes biztonság is fejlődött - ebben a cikkben az online biztonságot érintő megoldásokról teszünk említést, illetve arról, hogyan maradnak adataink csak a mieink a böngészés során. Némi alapvető információval kezdünk a webes titkosítással kapcsolatban, illetve, hogy miként védi ez meg a privát adatainkat.
SSL és TLS, a láthatatlan védőhálók
A leggyakoribb webes titkosítás az, amit a legtöbben talán észre sem vesznek. A Hypertext Transfer Protocol Secure protokoll, vagyis a HTTPS titkosítja a HTTP webforgalmat a Transport Layer Security (TLS) vagy a Secure Sockets Layer (SSL) protokollok segítségével. A TLS a kettő közül az újabb, amelyet a modern weboldalaknál is alkalmaznak. Mivel a kettő a funkcionalitását tekintve igen hasonló, ezért gyakran utalnak rájuk "SSL/TLS" jelző alatt is. Az SSL legfrissebb verziója a 3.0, míg a TLS-nél az 1.0-ás változatot láthatjuk, ami talán SSL 3.1-nek is nevezhető a kapcsolat megértése szempontjából.
A HTTPS-t leginkább érzékeny adatok elküldésekor használjuk, úgy mint felhasználónevek, jelszavak, pénzügyi információk, webes kliensek. A hagyományos weboldalaknál ezekkel kevésbé találkozunk, bár egyre elterjedtebbek a HTTPS-védett verziók is, mint például a Wikipediánál. A HTTPS egy biztonságos kapcsolatot hoz létre a böngészőnk és a hozzáfért szerver között. Az adatot azelőtt titkosítja, hogy elküldené az interneten, és csak akkor kódolja vissza, amikor az elérte a szervert. Mindez a visszaútra is igaz. Az alap kódolásban ugyanaz a kulcs használatos mindkét esetben, míg az aszimmetrikusban a titkosító kulcs publikus. A HTTPS a kettőt ötvözve gátolja meg a jogosulatlan feleket az adatok kikódolásától.
A legjobb dolog annak érdekében amit tehetünk, hogy védjük az érzékeny információinkat, hogy figyeljük, az adott oldal használ-e HTTPS-t. A legtöbb böngésző egy ikont jelenít meg, általában egy lakatot a címsorban akkor, ha biztonságos weblapon tartózkodunk. Mindig ellenőrizzük a címsort, hogy ott van-e a HTTPS jelző.
A böngészőkben lehetőség van arra is, hogy megtudjuk az egyes oldalakról, milyen tanúsítványokkal rendelkeznek, illetve milyen titkosítási algoritmusokat alkalmaznak. Amikor például a Chrome alól a Facebookon vagyunk, és a lakatra kattintunk a címsorban, megkapjuk a legfontosabb információkat. Láthatjuk, hogy a webhelyet a VeriSign ellenőrizte, illetve, hogy a kapcsolat TLS 1.1-et használ, 128 bites RC4 kódolással. A tanúsítvány adataira kattintva részletes adatokat is találunk, köztük a lejárati dátumot.
Az SSL és a TLS jó és hasznos, ráadásul szerencsére egyre gyakoribb a használatuk. Azonban ezek csak a gépünk és egy adott weboldal közti kapcsolatot tudnak megvédeni. Nagyon sok oldal a régi, titkosítatlan HTTP-t alkalmazza, ezért ha minden forgalmunkat biztosítani szeretnénk - főleg, ha egy nyilvános Wi-Fi-hálózatról böngészünk -, akkor érdemes lehet megvédeni magunkat egy VPN-nel, azaz virtuális magánhálózattal.
VPN használata az átfogó védelemért
Többféle típusú VPN szerver is létezik, azonban a legtöbb azonos, egyszerű módon működik. A gépünk hitelesíti magát egy VPN szervernek, és aztán minden forgalom, ami a PC-nk és a szerver között lezajlik, titkosítva lesz. A VPN-re egy biztonságos alagútként is lehet gondolni, ami elválasztja a mi adatainkat a többitől a hálózaton. Ez a megoldás a teljes adatforgalmunkat titkosítja, nem csak egyes részeit. Mindezt a szerver dekódolja, majd a visszaküldés előtt ismét titkosítja.
A VPN szolgáltatás negatívuma, hogy általában a felhasználónak kell kezdeményeznie a kapcsolatot, miközben az SSL és a TLS kapcsolatos többé-kevésbé észrevehetetlenül dolgoznak. Természetesen léteznek automatizált VPN-ek is, mint például a Microsoft DirectAccess, azonban ezek nem túl elterjedtek. Szintén nekünk kell hozzáférést szereznünk egy VPN szerverhez: a munkáltatónk adhat ilyet, azonban ha egyéb időben is szeretnénk ilyesmit használni, akkor mást kell kitalálnunk.
Ha saját szervert akarunk hadrendbe állítani, akkor választhatjuk például az ingyenes OpenVPN nevű szoftvert. Néhány felsőkategóriás router vagy hozzá tartozó egyedi firmware szintén képes alapvető VPN funkciót biztosítására anélkül, hogy ehhez plusz hardverre lenne szüksége.
Ez a megoldás talán a legbiztonságosabb, ha nem okoz gondot a hardver megvásárlása - a VPN kapcsolatunk olyan titkos lesz, mint amilyen kényelmes a hálózat használata otthon. Ez nem működik azonban mindenki számára, hiszen a porttovábbítási beállításokat is konfigurálnunk kell a routerünkön ahhoz, hogy engedélyezzük a VPN szerverünk és a klienseink közti kommunikációt. Normál netkapcsolat esetén azzal is számolnunk kell, hogy időről-időre más IP-címet kapunk. Emiatt szintén babrálnunk kell a beállításokkal, vagy dinamikus DNS szolgáltatást használnunk - feltéve, hogy a szolgáltatónk engedélyezi egyáltalán a VPN-es kommunikációt.
Mint a legtöbb dologért, egy VPN szerverért is fizethetünk. Sok harmadik féltől származó megoldásból választhatunk, amelyek esetében már nincs szükség saját szerverre, nekünk pedig nem kell foglalkozni a karbantartással sem. Ezek a megoldások nagyfokú biztonságos és anonimitást kínálnak, ugyanis nem csak a forgalmunkat maszkolhatjuk velük, de még azt is elérhetjük, hogy azt higgyék, más országból csatlakozunk. Sajnos a fő hátulütő itt is a biztonság: ezek a szolgáltatások pont annyira megbízhatóak, mint az emberek, akik üzemeltetik - hiszen mindenünket az ő szerverükre továbbítjuk. Ráadásul még ha mindenhez HTTPS kapcsolódást használnak, akkor is eltárolják az IP-nket, a DNS-t, és, hogy milyen szerverekhez csatlakoztunk.
Persze általánosságban nem az az érdekük ezeknek a cégeknek, hogy eladják az információinkat, ráadásul ha ez megtörténik, valószínűleg el is hagyják őket a komolyabb előfizetőik. Ennek ellenére ezzel a kockázattal is muszáj számolni. Még a legdiszkrétebb szolgáltató sem lesz olyan csendes, mint a saját szerverünk.
Odafigyelés
A TLS-hez és a VPN-ekhez hasonló technológiák alapvetőek ahhoz, hogy biztonságban maradjunk a neten. Az első fontos lépés a biztonság felé, hogy tudjuk, mik is ezek. Bizonyosodjunk meg róla, hogy az általunk használt oldalak használnak SSL-t vagy TLS-t, egyébként ne adjuk meg a címünket, jelszavunkat, hitelkártya-számunkat. Ha gyakran dolgozunk bizalmas adatokkal nyilvános hálózaton, gondoljuk meg a VPN használatát.
