Informacje, które przetoczyły się przez media w związku z ujawnieniem przez Edwarda Snowdena prowadzonej przez NSA akcji inwigilacji PRISM spowodowały, że w państwach europejskich wzrosła czułość na tematy związane z bezpieczeństwem IT. W portalach internetowych rozgorzała dyskusja, jak prawidłowo skonfigurować serwery usług.

W mediach związanych z IT, wakacyjnym odpowiednikiem tematu potwora z Loch Ness stały się zagadnienia bezpieczeństwa, a wśród nich m.in. kwestia szyfrowania tzw. przyszłej tajemnicy (ang. Forward Secrecy), z wykorzystaniem standardowego algorytmu Diffie-Hellman (DHE) i jego zoptymalizowanej wersji ECDHE (Elliptic Curve Cryptography Diffie-Hellman). Zagadnienie zostało szczegółowo opisane w blogu vincent.bernat.im/en/blog/2011-ssl-perfect-forward-secrecy.html. Forward Secrecy dotyczy możliwości odszyfrowania nagranego ruchu sieciowego (np. przez PRISM) po uzyskaniu dostępu do klucza prywatnego. W systemach z obsługą Forward Secrecy nie jest to możliwe. Przy okazji upowszechniła się informacja o stosowaniu przez serwery kluczy o małej długości (56 bit), które są łatwe do złamania.

Firma HEUTHES na podstawie ogólnodostępnego narzędzia https://www.ssllabs.com/ssltest umożliwiającego testowanie poziomu bezpieczeństwa serwerów WWW sprawdziła własne usługi uzyskując dla logowania na stronach ssl.isof.pl, start.isof.pl oraz demo.isof.pl najwyższy wynik A.

Dodatkowo, z ciekawości sprawdzono 4 września 2013 r. przykładowe, popularne w Polsce strony logowań serwerów pocztowych: poczta.wp.pl (wynik B), poczta.onet.pl (wynik A), sklepów internetowych: empik.com (wynik F), merlin.pl (wynik B), największych banków: pekao24.pl (wynik A), ipko.pl (wynik B), ibre.com.pl (wynik A), centrum24.pl (wynik B), online.ingbank.pl (wynik A), online.mbank.pl (wynik B) i innych usług: sso.quatra.pl (wynik B), wfirma.pl (wynik B), online.icomarch24.pl (wynik B), app.ifaktury24.pl (wynik B), app.fakturownia.pl (wynik B).

Należy zauważyć, że w dziedzinie bezpieczeństwa firma Microsoft po raz kolejny ustępuje pola konkurencji, gdyż w odróżnieniu od szeregu funkcjonujących na rynku rozwiązań, przeglądarka Internet Explorer 6 i 8 pracująca w środowisku Microsoft Windows XP nie wspiera Forward Secrecy i przeglądarka ta stosuje domyślnie krótsze, 128-bitowe klucze. Najlepiej radzą sobie pod względem bezpieczeństwa przeglądarki Chrome 28 i Firefox 23.

„Na rynku aplikacji trwa ciągły wyścig związany ze zwiększaniem poziomu bezpieczeństwa rozwiązań. Dostawcy usług internetowych muszą cały czas zwracać uwagę na pojawiające się informacje o lukach, analizować je i neutralizować zagrożenia. Jest to z jednej strony czasochłonne, z drugiej niezbędne, aby zagwarantować bezpieczeństwo klientom” – powiedział Wojciech Grzybek, prezes Zarządu.

Źródło: HEUTHES

Kan