Digitálne odpočúvanie: Skrytá hrozba falošných certifikátov

Zamysleli ste sa niekedy nad tým, čo v skutočnosti zaisťuje bezpečnosť vašej komunikácie na internete? Väčšina z nás sa spolieha na malú ikonu zámku v prehliadači, ktorá symbolizuje šifrované spojenie (HTTPS). Expert na digitálne súkromie Rob Braxman však vo svojom videu odhaľuje tichú, no mimoriadne nebezpečnú hrozbu, ktorú nazýva „sledovacou bombou“. Nejde o vírus ani o hacknutie vášho zariadenia. Problém sa skrýva oveľa hlbšie – v samotných základoch dôvery, na ktorých je postavený dnešný internet. Táto zraniteľnosť umožňuje vládam, korporáciám alebo hackerom sledovať každé vaše kliknutie, každú správu a každé zadané heslo bez toho, aby ste o tom tušili.

Kľúčové poznatky

• Jadro problému nie je vo vašom zariadení, ale v systéme dôvery nazývanom Public Key Infrastructure (PKI), ktorý overuje identity webových stránok.
• Falošný koreňový certifikát nainštalovaný vo vašom počítači alebo mobile umožňuje útočníkovi vykonávať útok typu „Man-in-the-Middle“ a dešifrovať všetku vašu internetovú komunikáciu.
• Tieto certifikáty môžu byť nainštalované rôznymi spôsobmi: prostredníctvom vládnych aplikácií, firemných politík, phishingových útokov alebo dokonca bežným softvérom, ktorý si dobrovoľne nainštalujete.
• Nejde len o teóriu. Historickým príkladom je škandál spoločnosti Symantec, ktorá zneužila svoje postavenie na vydávanie falošných certifikátov na účely sledovania.
• Obrana existuje, ale nie je absolútna. Je dôležité vedieť, aký softvér inštalujete, a pravidelne kontrolovať zoznam dôveryhodných certifikátov vo svojom zariadení.

Zelený zámok nie je zárukou bezpečia

Každý deň sa pripájame na desiatky webových stránok – od sociálnych sietí cez internet banking až po e-shopy. Bezpečnosť tejto komunikácie zaisťuje technológia TLS/SSL, ktorú spoznáte podľa protokolu https:// a ikony zámku v prehliadači. Tento systém funguje na báze dôvery. Váš prehliadač dôveruje hŕstke organizácií nazývaných Certifikačné autority (CA), ktoré vydávajú digitálne certifikáty pre webové stránky. Tieto certifikáty potvrdzujú, že stránka vasabanka.sk je naozaj vaša banka, a nie podvodná stránka útočníka.

Základom celého systému sú takzvané koreňové certifikáty (root certificates), ktoré sú predinštalované vo vašom operačnom systéme (Windows, macOS, Android, iOS). Sú to digitálne kotvy dôvery. Ak má niekto kontrolu nad koreňovým certifikátom vo vašom zariadení, má kontrolu nad tým, čomu dôverujete na internete.

Ako funguje digitálne odpočúvanie cez falošný certifikát?

Predstavte si, že útočník – či už je to hacker, alebo štátna agentúra – dokáže do vášho zariadenia pridať svoj vlastný, falošný koreňový certifikát. Od tej chvíle môže tento útočník vystupovať ako legitímna certifikačná autorita.

1. Pokúsite sa pripojiť napríklad na Gmail.com.
2. Útočník, ktorý kontroluje sieť (napríklad verejnú Wi-Fi alebo firemný firewall), zachytí vašu požiadavku.
3. Namiesto skutočného certifikátu od Googlu vám pošle falošný certifikát pre Gmail.com, ktorý však sám podpísal svojím falošným koreňovým certifikátom.
4. Keďže váš prehliadač tomuto koreňovému certifikátu dôveruje (pretože je nainštalovaný vo vašom systéme), spojenie vyhodnotí ako bezpečné. Zobrazí sa zelený zámok a vy nič netušíte.
5. Od tohto momentu všetka vaša komunikácia s „Gmailom“ prechádza cez útočníka, ktorý ju dokáže v reálnom čase dešifrovať, čítať vaše e-maily, ukladať heslá a následne ju opäť zašifrovať a poslať skutočnému serveru Googlu. Ide o dokonalý útok typu Man-in-the-Middle (MITM).

Keď dôvera zlyhá: Prípad Symantec

Aby bolo jasné, že toto nie je len teoretická hrozba, Braxman pripomína jeden z najväčších škandálov v histórii internetovej bezpečnosti. Spoločnosť Symantec, známa svojím antivírusovým softvérom, kedysi vlastnila najväčšiu certifikačnú autoritu na svete (VeriSign). Zároveň však vlastnila aj firmu Blue Coat, ktorá sa špecializovala na sledovacie technológie a firewally.

Google v roku 2015 odhalil, že Symantec vydal tisíce falošných certifikátov pre domény ako Google.com bez vedomia ich majiteľov. V podstate zneužil svoju pozíciu na to, aby umožnil sledovanie šifrovanej komunikácie. Reakcia technologickej komunity bola nekompromisná. Google, Mozilla a ďalší výrobcovia prehliadačov postupne prestali dôverovať všetkým certifikátom od Symantecu, čo viedlo k rozpadu a predaju tejto kedysi dominantnej spoločnosti. Tento prípad dokazuje, že aj najväčší hráči môžu zlyhať a že systém dôvery je krehký.

Ako sa brániť a čo si všímať?

Obrana proti takémuto typu útoku je náročná, pretože nevyužíva chybu v softvéri, ale manipuluje so samotnou dôverou. Napriek tomu existuje niekoľko krokov, ktoré môžete podniknúť:

• Dávajte si pozor, čo inštalujete: Mnohé aplikácie, vrátane antivírusových programov (ako vo videu spomínaný Avast), si pri inštalácii pridávajú vlastné koreňové certifikáty, aby mohli „kontrolovať“ vašu šifrovanú komunikáciu. Vždy si rozmyslite, či danej firme dôverujete natoľko, aby ste jej dali kľúče od vášho digitálneho života.
• Skontrolujte si svoje koreňové certifikáty: Po čistej inštalácii operačného systému si urobte zoznam (alebo snímku obrazovky) nainštalovaných koreňových certifikátov. Pravidelne tento zoznam kontrolujte a pátrajte po akýchkoľvek neznámych alebo podozrivých prírastkoch.
• Používajte nástroje na detekciu: Existujú aplikácie, ako napríklad Braxmanova „Catch Man in the Middle“, ktoré porovnávajú certifikát webovej stránky na vašom zariadení s certifikátom zisteným z čistého, nezávislého servera. Ak sa nezhodujú, je pravdepodobné, že vaša komunikácia je odpočúvaná. Aj tieto metódy však majú svoje obmedzenia.

Na záver je dôležité si uvedomiť, že ikona zámku v prehliadači neznamená absolútnu bezpečnosť. Znamená len, že vaše spojenie je šifrované pomocou certifikátu, ktorému vaše zariadenie dôveruje. Otázkou zostáva, či by ste mu mali dôverovať aj vy. Najsilnejšou obranou je preto ostražitosť, zdravá miera skepticizmu a neustále vzdelávanie sa v oblasti digitálnej bezpečnosti.

Dôležité odkazy

• WhatTheZuck.net: Referenčná stránka pre kybernetickú bezpečnosť spravovaná Robom Braxmanom.
• Brax.me: Open-source platforma zameraná na súkromie a šifrovanú komunikáciu.

Približne 245 gCO₂ bolo uvoľnených do atmosféry a na chladenie sa spotrebovalo 1.23 l vody za účelom vygenerovania tohoto článku.