Który protokół umożliwia bezpieczne połączenie klienta z zachowaniem jego prywatności ze stroną internetową banku?
A. FTPS (File Transfer Protocol Secure).
B. HTTPS (Hypertext Transfer Protocol Secure).
C. HTTP (Hypertext Transfer Protocol).
D. SFTP (SSH File Transfer Protocol).
Pytanie z egzaminu CKE, czerwiec 2019 (arkusz E.13-X-19.06).
HTTPS (Hypertext Transfer Protocol Secure) to właściwy protokół do bezpiecznego łączenia się ze stroną banku, ponieważ łączy zwykłą komunikację HTTP z warstwą szyfrowania TLS. W praktyce oznacza to, że dane przesyłane między przeglądarką klienta a serwerem banku, np. login, hasło, numer rachunku czy historia przelewów, nie lecą przez sieć jako czytelny tekst. Są szyfrowane, a serwer potwierdza swoją tożsamość za pomocą certyfikatu cyfrowego wydanego przez zaufane centrum certyfikacji. Moim zdaniem to jedna z podstawowych rzeczy, na którą trzeba patrzeć przy korzystaniu z bankowości internetowej: adres powinien zaczynać się od https://, przeglądarka nie powinna pokazywać ostrzeżeń o certyfikacie, a domena musi być dokładnie taka, jaką podaje bank. HTTPS chroni poufność danych, integralność transmisji oraz pomaga uwierzytelnić serwer. Dobre praktyki branżowe wymagają dziś stosowania aktualnych wersji TLS, wyłączenia starych i słabych mechanizmów typu SSLv3 czy przestarzałe szyfry, a także poprawnej konfiguracji certyfikatów. W realnym życiu HTTPS jest używany nie tylko w bankach, ale też w sklepach internetowych, poczcie webowej, panelach administracyjnych i wszędzie tam, gdzie użytkownik podaje dane wrażliwe. Sam protokół nie zwalnia jednak z myślenia: trzeba sprawdzać domenę, uważać na phishing i nie ignorować komunikatów przeglądarki.
W tym pytaniu łatwo pomylić pojęcie bezpiecznego protokołu z dowolnym protokołem, który ma w nazwie coś związanego z szyfrowaniem albo transferem danych. SFTP rzeczywiście jest bezpieczny, bo działa zwykle w oparciu o SSH i służy do bezpiecznego przesyłania plików między klientem a serwerem. Używa się go na przykład do administracji serwerami, publikowania plików na hostingu albo automatycznych kopii. Nie jest to jednak protokół używany przez przeglądarkę do połączenia ze stroną internetową banku. Podobnie FTPS także zapewnia szyfrowanie, ale dotyczy protokołu FTP zabezpieczonego przez TLS. To dalej świat transferu plików, a nie normalnego przeglądania stron WWW i logowania do bankowości elektronicznej. HTTP natomiast jest protokołem stron internetowych, ale sam w sobie nie zapewnia szyfrowania. Dane wysyłane zwykłym HTTP mogą zostać podsłuchane lub zmodyfikowane po drodze, szczególnie w niezaufanej sieci Wi-Fi, i dlatego do bankowości absolutnie się nie nadaje. Właściwym wyborem jest HTTPS, czyli HTTP zabezpieczony TLS. Typowy błąd myślowy polega na tym, że ktoś widzi słowo Secure w SFTP albo FTPS i zakłada, że każde takie rozwiązanie pasuje do każdej sytuacji. W informatyce ważny jest nie tylko poziom bezpieczeństwa, ale też przeznaczenie protokołu i warstwa, w której działa. Dla strony banku potrzebny jest protokół WWW obsługiwany przez przeglądarkę, z szyfrowaniem, weryfikacją certyfikatu serwera i ochroną integralności transmisji. Z mojego doświadczenia warto zapamiętać prostą zasadę: do bezpiecznych stron internetowych używamy HTTPS, a protokoły SFTP i FTPS zostawiamy głównie do przesyłania plików.