TLS tworzy szyfrowany kanał między przeglądarką a serwerem banku. Dzięki niemu dane przesyłane podczas logowania lub wykonywania przelewu są chronione przed odczytaniem i modyfikacją, a przeglądarka może sprawdzić, czy łączy się z właściwą witryną. Symbol kłódki oznacza, że to zabezpieczenie działa dla danego połączenia.
Na czym polega szyfrowanie TLS?
TLS, czyli Transport Layer Security, jest protokołem używanym do ochrony komunikacji w internecie. W bankowości zabezpiecza dane w trakcie przesyłania między urządzeniem użytkownika a serwerem banku. Dotyczy to między innymi loginu, hasła, informacji o rachunku i dyspozycji przelewu.
Mechanizm zapewnia trzy różne funkcje. Szyfrowanie chroni prywatność, ponieważ osoba przechwytująca transmisję nie powinna móc odczytać jej treści. Uwierzytelnianie pozwala potwierdzić tożsamość serwera. Integralność sprawdza, czy wiadomość nie została zmieniona po drodze.
Nie oznacza to jednak, że TLS zabezpiecza każdy element bankowości internetowej. Chroni kanał komunikacji, ale nie zastępuje zabezpieczeń serwera banku ani ochrony urządzenia użytkownika.
Jak przebiega uzgadnianie bezpiecznego połączenia?
Zanim strona banku zacznie przesyłać poufne informacje, przeglądarka i serwer wykonują tak zwany TLS handshake, czyli uzgadnianie parametrów połączenia. Można porównać je do spotkania dwóch osób w zatłoczonym miejscu. Najpierw przedstawiają się, sprawdzają tożsamość, a następnie ustalają sposób rozmowy, którego osoby postronne nie zrozumieją.
W uproszczeniu proces wygląda następująco:
- Przeglądarka zgłasza połączenie – informuje serwer, że chce rozpocząć chronioną sesję, oraz przedstawia obsługiwane mechanizmy zabezpieczeń.
- Serwer banku odpowiada – wybiera parametry połączenia i przesyła swój certyfikat cyfrowy.
- Przeglądarka weryfikuje certyfikat – sprawdza, dla jakiej domeny został wystawiony, czy jest ważny i czy pochodzi od zaufanego wystawcy.
- Strony uzgadniają tajny klucz sesji – służy on później do szybkiego szyfrowania danych wymienianych w ramach tego połączenia.
- Rozpoczyna się chroniona komunikacja – przeglądarka i serwer mogą wymieniać dane w zaszyfrowanym kanale.
Certyfikat cyfrowy nie jest hasłem do konta ani dowodem, że każda treść na stronie jest bezpieczna. Jego główne zadanie polega na potwierdzeniu, że serwer przedstawia się jako właściciel określonej domeny. Przeglądarka wykorzystuje do tego informacje zapisane w certyfikacie oraz zaufanie do jego wystawcy.
W praktyce TLS korzysta z kryptografii asymetrycznej podczas nawiązywania zaufania i uzgadniania parametrów, a następnie z szyfrowania symetrycznego do bieżącej wymiany danych. Szczegóły algorytmów nie są potrzebne do korzystania z bankowości. Istotne jest to, że obie strony uzyskują wspólny sekret, którego nie trzeba przesyłać wprost przez internet.
Połączenie szyfrowane i nieszyfrowane – jaka jest różnica?
Najważniejsza różnica dotyczy nie tylko ukrycia treści. TLS pomaga także wykryć zmianę danych i sprawdzić tożsamość serwera. Przy zwykłym HTTP te zabezpieczenia nie są zapewnione w odpowiednim zakresie.
| Cecha | Połączenie TLS | Nieszyfrowane HTTP |
|---|---|---|
| Prywatność | Dane są szyfrowane podczas transmisji, więc ich odczytanie przez osobę postronną jest znacznie utrudnione. | Treść może być możliwa do odczytania dla podmiotu, który przechwyci ruch. |
| Integralność danych | Mechanizmy TLS pomagają wykryć modyfikację komunikatu w drodze do odbiorcy. | Zmiana przesyłanych danych może pozostać niewykryta. |
| Weryfikacja tożsamości | Certyfikat pozwala przeglądarce sprawdzić tożsamość serwera w ramach domeny. | Brakuje porównywalnego mechanizmu potwierdzającego tożsamość witryny. |
Dlatego szyfrowanie nie jest jedynym celem TLS. Samo ukrycie treści transmisji nie wystarczyłoby, gdyby przeglądarka nie mogła sprawdzić, z kim naprawdę się komunikuje. Połączenie tych funkcji ogranicza ryzyko podsłuchania i modyfikowania komunikacji, w tym prób podszycia się pod serwer banku.
Jak sprawdzić, czy TLS działa?
Stan połączenia możesz ocenić bez znajomości kryptografii. Zwróć uwagę na te elementy w przeglądarce:
- Na początku adresu strony powinno znajdować się https://, a nie samo http://.
- Obok adresu powinna być widoczna ikona kłódki lub inny wskaźnik bezpiecznego połączenia.
- Po kliknięciu ikony możesz wyświetlić informacje o certyfikacie, w tym domenę i okres jego ważności.
- Adres trzeba sprawdzić dokładnie, ponieważ kłódka nie potwierdza, że każda domena jest stroną banku.
Jeśli przeglądarka wyświetla ostrzeżenie o nieważnym, wygasłym albo niepasującym certyfikacie, nie loguj się i nie zatwierdzaj operacji. Kłódka oznacza ochronę połączenia, ale nie zastępuje sprawdzenia adresu witryny ani ostrożności przy podawaniu danych.
TLS zabezpiecza „rurę”, którą płyną informacje, lecz nie chroni przed wyłudzeniem hasła na fałszywej stronie, złośliwym oprogramowaniem ani użyciem słabego hasła. Bezpieczna bankowość wymaga więc zarówno szyfrowanego połączenia, jak i ochrony własnego urządzenia oraz danych logowania.
