Moje důvěra ve vašich rukou?

Bezpečností v celém on-line světě nedávno otřásla nepříjemná událost: nizozemská certifikační autorita DigiNotar byla napadena útočníkem, kterému se podařilo nechat si od ní vystavit celou řadu (podvržených) serverových certifikátů. A jeden z nich byl následně zneužit k získání přihlašovacích údajů (jmen a hesel) opravdu velkého množství internetových uživatelů v Iránu.

Na vysvětlenou: serverový certifikát (označovaný také jako SSL certifikát) lze připodobnit k občanskému průkazu, kterým se v on-line prostředí (na Internetu) prokazuje webový server, a současně dokazuje, že je skutečně tím, za koho se vydává. Kromě jiného to chrání i před hrozbou tzv. phishingu, kdy se nějaký podvodný server vydává za jiný (pravý), s cílem získat od uživatele jeho přihlašovací údaje (třeba k bankovnímu účtu, k poštovní schránce apod.).

Svým způsobem to funguje obdobně, jako když vám ve fyzickém světě zaklepe někdo neznámý na dveře a bude po vás chtít nějaké vaše údaje. Pokud se s ním vůbec budete vybavovat, ze všeho nejdříve si budete chtít ověřit jeho identitu. Nejspíše prostřednictvím občanského průkazu, nějakého služebního průkazu apod.

Teď si ale představte, že vám dotyčný předloží průkaz, který byl vydán takovým subjektem, o jakém jste dosud vůbec neslyšeli. Může být důvěryhodný, ale také nemusí - a vy opravdu nevíte.

V reálném světě se s průkazem od vám neznámého vydavatele nejspíše nespokojíte. A pokud dotyčný nebude schopen předložit jiný průkaz, od vydavatele kterému důvěřujete, nebudete důvěřovat ani tomu, který klepe na vaše dveře.

Vraťme se ale zpět do on-line světa. Zde to "chodí" jinak: váš webový browser, stejně jako další programy, má pro obdobné situace v sobě zabudován "názor" svých výrobců: ti mu dopředu řekli, kterým certifikačním autoritám má být důvěřováno a kterým ne. Jinými slovy: váš browser, ale i další programy, se při hodnocení serverových certifikátů (průkazů) od konkrétních certifikačních autorit (vydavatelů) neřídí ani tak vašim názorem, ale názorem svých autorů, resp. výrobců. Vy pochopitelně máte možnost jejich názor korigovat, a již vyjádřenou důvěru nějaké konkrétní autoritě zase odejmout. Tedy: pokud víte jak na to, a pokud to je ve vašich silách (například v rámci operačního systému MS Windows to může vyžadovat dosti pokročilé znalosti). A samozřejmě pokud vůbec víte, že k něčemu takovému - jako že někdo jiný za vás vyjadřuje vaši důvěry - vůbec dochází.

Pravdou je, že na jednu stranu je dosavadní řešení praktické: běžný uživatel se nemusí o nic starat, natož pak sám něco dělat. Jenže pak se také nesmí divit následkům. Jaké mohou být, ukázalo právě nedávné napadení certifikační autority DigiNotar: i tato autorita byla mezi těmi, kterým výrobci softwaru udělili svou důvěru. Takže když se pak někdo prokázal (podvodně vystaveným) certifikátem od této autority, programy jej automaticky považovaly za důvěryhodný - a celý útok, provedený pomocí těchto certifikátů, mohl být úspěšný.

Následně snad všichni výrobci relevantních programů připravili a začali šířit svou vlastní "záplatu", skrze kterou zase odňaly důvěru napadené autoritě Diginotar. Nebylo by ale spíše na místě obrátit princip? Změnit věci tak, aby svou důvěru vyjadřoval sám uživatel? Už to pro něj sice nebude tak pohodlné jako dosud, a bude pro to muset něco udělat sám. Ale třeba si pak začne svou vlastní bezpečnost více cenit. A snad ho to také přesvědčí, že jeho vlastní bezpečnost by měla být primárně jeho starostí, a nikoli starostí někoho jiného. Právě na to už je nejvyšší čas.