Bezpečnost internetu je dneska naprosto klíčová, a právě šifrování pomocí HTTPS hraje hlavní roli v ochraně našich citlivých dat. Bohužel, existují metody, které dokážou tuto ochranu obejít. Jednou z nich je SSL stripping, zákeřný typ útoku, který se snaží zbavit naše připojení zabezpečené vrstvy a přinutit nás komunikovat nešifrovaně. Co to přesně znamená, jak tento útok funguje a jak se proti němu můžeme bránit?
Co je SSL Stripping a proč je nebezpečný?
SSL stripping je technika, která umožňuje útočníkovi odstranit HTTPS zabezpečení z komunikace mezi uživatelem a webovou stránkou. Jinými slovy, pokud navštívíte web, který běžně komunikuje pomocí HTTPS, útočník se může postarat o to, že vaše spojení bude převedeno zpět na nešifrované HTTP.
To znamená, že:
- Vaše hesla, platební údaje nebo osobní informace mohou být odposlouchávány.
- Útočník může manipulovat s obsahem webových stránek, které vidíte.
- Nemáte tušení, že jste obětí útoku, protože vše vypadá normálně.
Tento útok je extrémně nebezpečný hlavně v prostředí veřejných WiFi sítí, kde se útočník může snadno dostat mezi vás a webovou stránku, kterou chcete navštívit.
Jak SSL stripping vznikl?
První varování před tímto útokem přišlo v roce 2009, kdy bezpečnostní expert Moxie Marlinspike představil tuto metodu na konferenci Black Hat. Marlinspike demonstroval, že dokáže uživatele přinutit k používání nezabezpečeného HTTP, aniž by si toho všimli.
Základní problém je v tom, že při prvotním připojení ke stránce se často používá nešifrované HTTP, než dojde k přesměrování na zabezpečené HTTPS. Útočník využije tento moment, aby zajistil, že přesměrování neproběhne – a vy tak celou dobu komunikujete nešifrovaně.
Jak SSL stripping funguje?
Představme si praktický scénář:
- Zadáte adresu webu do prohlížeče – například Web123.com.
- Váš prohlížeč se nejprve pokusí připojit přes HTTP (nešifrované spojení).
- Normálně by server poslal přesměrování na HTTPS, ale útočník zachytí váš požadavek.
- Naváže šifrované spojení se serverem místo vás, ale mezi vámi a útočníkem zůstává nezabezpečené HTTP.
- Útočník může odposlouchávat vaši komunikaci a zachytit jakákoliv odeslaná data – hesla, e-maily, platební údaje atd.
Tento proces je naprosto neviditelný pro běžného uživatele. Stránka vypadá stejně jako vždy, pouze z adresního řádku zmizí HTTPS.
Jaké nástroje útočníci používají?
Existují speciální softwarové nástroje, které útočníkům umožňují provádět SSL stripping. Nejznámější je sslstrip, který vytvořil právě Marlinspike. Mezi další metody patří:
- ARP spoofing – umožňuje útočníkovi přesměrovat síťový provoz přes jeho zařízení.
- DNS manipulace – útočník změní cestu, kudy jsou požadavky směrovány.
- Falešné Wi-Fi sítě – útočník vytvoří podvodný WiFi hotspot, který vypadá jako důvěryhodná síť (např. „Hotel WiFi“).
Jak se proti SSL strippingu bránit?
SSL stripping je sice nebezpečný, ale existují způsoby, jak se proti němu chránit:
1. Používejte HSTS (HTTP Strict Transport Security)
Webové stránky mohou implementovat HSTS, což znamená, že váš prohlížeč si zapamatuje, že má stránku vždy otevírat přes HTTPS. I když útočník zachytí váš první požadavek, HSTS zajistí, že nedojde k nezabezpečenému připojení.
2. Vždy kontrolujte HTTPS v adresním řádku
Pokud stránka neobsahuje HTTPS a vy víte, že by měla být zabezpečená, může to být podezřelé.
3. Používejte rozšíření jako HTTPS Everywhere
Dříve populární nástroj HTTPS Everywhere od organizace Electronic Frontier Foundation (EFF) nutí prohlížeč používat HTTPS, kdekoliv je to možné.
4. Vyhýbejte se veřejným WiFi sítím
Pokud musíte používat veřejnou WiFi síť, nikdy neprovádějte online platby ani nezadávejte hesla bez zapnuté VPNky!
5. Proti SSL Strippingu vždy používejte VPN
VPN (virtuální privátní síť) šifruje veškerý váš internetový provoz a zajišťuje, že útočník nevidí žádná vaše data ani nemůže provést útok typu man-in-the-middle.
| Název VPN | Sleva | Odkaz na vyzkoušení |
|---|---|---|
| NordVPN | 74% sleva + 3 měsíce zdarma | Vyzkoušet |
| Surfshark | 87% sleva + 4 měsíce zdarma | Vyzkoušet |
| CyberGhost | 82% sleva + 4 měsíce zdarma | Vyzkoušet |
| Private Internet Access | 85% sleva + 4 měsíce zdarma | Vyzkoušet |
| ExpressVPN | 61% sleva + 6 měsíců zdarma | Vyzkoušet |
6. Mějte aktuální software a prohlížeč
Výrobci prohlížečů neustále vylepšují bezpečnostní opatření. Pokud používáte zastaralý software, jste zranitelnější.
Budoucnost zabezpečení proti SSL strippingu
Bezpečnost na internetu se neustále vyvíjí a nové verze protokolů, jako je TLS 1.3, přinášejí lepší ochranu proti útokům typu SSL stripping. Vývojáři webových stránek i provozovatelé prohlížečů implementují stále lepší bezpečnostní mechanismy, které uživatelům brání v nechtěném připojení přes HTTP.
Například Google Chrome a Mozilla Firefox již začaly blokovat nezabezpečené HTTP stránky a varují uživatele před jejich používáním.
Závěr
SSL stripping je nebezpečný, ale pokud víte, jak funguje a jak se mu bránit, výrazně snížíte riziko, že se stanete jeho obětí. Dnešní internet je plný hrozeb, ale správnými návyky – jako je kontrola HTTPS, používání VPN nebo vyhýbání se veřejným WiFi sítím – se můžete efektivně chránit.
Ať už jste běžný uživatel, nebo spravujete webové stránky, bezpečnost by měla být vždy na prvním místě.
