Co znamená HTTPS zámek a SSL certifikát - a proč na něm nestavět

Mnoho uživatelů se učilo, že "zelený zámek znamená bezpečný web". Tohle pravidlo je zastaralé a dnes může být nebezpečné - podvodníci si uvědomili, že lidé zámku věří, a svoje phishingové stránky ho naučili zobrazovat také.

Co HTTPS a SSL certifikát skutečně znamenají

HTTPS je jen šifrovaná verze protokolu HTTP - zajišťuje, že komunikace mezi vaším prohlížečem a serverem nejde po síti "v otevřeném textu" a nikdo po cestě (třeba na veřejné Wi-Fi) ji nemůže jednoduše odposlechnout. SSL/TLS certifikát, který HTTPS umožňuje, ale většinou pouze potvrzuje, že server je tím, kdo tvrdí, že je (konkrétní domény) - nic neříká o tom, jestli je obsah webu důvěryhodný nebo legitimní.

Jak phishing zneužívá zelený zámek

Podle výzkumu bezpečnostní firmy PhishLabs mělo na konci roku 2018 přibližně 49 % phishingových stránek platný SSL certifikát a zobrazovalo zámek - v roce 2016 to bylo jen kolem 5 %. Podíl rostl, protože certifikáty typu "Domain Validation" jsou dnes zdarma a získání trvá minuty bez jakékoli kontroly totožnosti žadatele. FBI proto výslovně varovala, že samotná přítomnost zámku nebo "https" v adrese neznamená, že je web legitimní.

Proč je to pro útočníky tak snadné

Bezplatné certifikační autority (např. Let's Encrypt) vydávají certifikáty automatizovaně během pár minut - ověřují pouze, že žadatel kontroluje danou doménu, ne kdo za ní stojí. Útočník si tak může během chvíle zajistit zámek i pro doménu navrženou tak, aby vizuálně připomínala skutečnou banku nebo službu (např. "csob-online-bezpecnost.cz" místo csob.cz).

Co kontrolovat místo zámku

Celou adresu domény, ne jen ikonu

Zkontrolujte přesný název domény v adresním řádku - ne jen to, že "to vypadá podobně". Útočníci používají záměny písmen, podtržítka, pomlčky nebo subdomény (např. "csob.verify-login.com" - skutečná doména je "verify-login.com", "csob" je jen podřízená subdomain).

Jak jste se na stránku dostali

Přišli jste na přihlašovací stránku kliknutím na odkaz z e-mailu nebo SMS, nebo jste adresu zadali sami/našli v záložkách? Druhá varianta je bezpečnější - útočníci typicky cílí přes nevyžádané zprávy.

Rozšířené ověření certifikátu (EV)

Dříve existovaly certifikáty s rozšířeným ověřením (Extended Validation), které zobrazovaly přímo název firmy v adresním řádku - tuto funkci ale moderní prohlížeče (Chrome, Firefox) postupně odstranily z UI, protože se ukázalo, že uživatelé si ji málo všímali. Dnes se na ni nelze spoléhat jako na hlavní indikátor.

Praktický postup před zadáním hesla

Při jakémkoli přihlašování (banka, e-mail, sociální síť) si ověřte: adresu domény slovo po slovu, že jste na stránku přišli vlastní iniciativou (ne z odkazu v nevyžádané zprávě), a pokud máte pochybnosti, zadejte adresu ručně do prohlížeče nebo použijte uloženou záložku místo kliknutí na odkaz.

Jak se situace vyvíjí u moderních prohlížečů

Chrome i Firefox v posledních letech postupně zjednodušily zobrazení informací o zabezpečení spojení - místo podrobného rozlišování typů certifikátů dnes většina prohlížečů zobrazuje jen jednotnou ikonku zámku bez ohledu na úroveň ověření vlastníka domény. Tento krok měl zabránit falešnému pocitu důvěry, který rozšířené ověření (EV) u uživatelů vyvolávalo, ale zároveň znamená, že vizuální rozdíl mezi "běžným" a "důkladně prověřeným" webem už v prohlížeči běžně nevidíte.

Nástroje pro kontrolu domény

Při pochybnostech můžete adresu ověřit nástroji jako whois vyhledávání (kdy byla domain registrována - čerstvě registrované domény jsou rizikovější) nebo přímo vyhledáním názvu firmy v kombinaci se slovem "podvod"/"phishing" - pokud jde o rozšířenou kampaň, obvykle už o ní existují varování.

Role prohlížeče a bezpečnostního softwaru

Moderní prohlížeče i bezpečnostní rozšíření udržují databáze známých phishingových domén (Google Safe Browsing, Microsoft SmartScreen) a při pokusu o návštěvu takové stránky zobrazí varování ještě před zadáním jakýchkoliv údajů - tahle ochrana funguje nezávisle na tom, jestli stránka má, nebo nemá zelený zámek.

Často kladené otázky

Znamená HTTP bez S, že je stránka nebezpečná?

Znamená to, že komunikace není šifrovaná, což je špatně zejména u přihlašovacích formulářů - ale samotné HTTPS u phishingové stránky riziko neodstraňuje. Nepřítomnost HTTPS je varovný signál, přítomnost HTTPS ale není záruka bezpečnosti.

Jak si bezplatně ověřím vlastníka certifikátu?

V prohlížeči můžete kliknout na ikonu zámku a zobrazit detail certifikátu - u DV certifikátů (drtivá většina webu včetně phishingu) tam ale uvidíte jen název domény, ne skutečnou firmu.

Proč prohlížeče vůbec zámek ukazují, když nic nezaručuje?

Zámek informuje o technické vlastnosti spojení (šifrování), ne o důvěryhodnosti obsahu - problém je v tom, jak si ho uživatelé interpretují, ne v tom, co technicky signalizuje.

Pomůže mi antivirus nebo rozšíření prohlížeče?

Ano, moderní bezpečnostní rozšíření a antivirové nástroje s webovou ochranou umí rozpoznat známé phishingové domény a varovat před nimi i přes platný zámek - jde o doplňkovou vrstvu ochrany, viz zabezpečený prohlížeč.

Jak phishing nejčastěji souvisí s přihlašováním?

Nejčastěji přes e-mail nebo SMS s odkazem na falešnou přihlašovací stránku, která vizuálně kopíruje skutečnou banku nebo službu - více v článku o phishingu.