blqqq's Blog

До преди време, често не се замисляхме за сигурността на информацията, която изпращаме в Интернет. Става въпрос за въвеждане на потребителско име и парола в даден сайт, използване на IRC, Twitter, Facebook и други. Все по-често обаче, хората използват HTTPS за сайтовете и SSL криптиране при IRC сървърите. Това позволява да бъдем сигурни, че ще е (почти) невъзможно някой да “види” данните, които изпращаме в Мрежата. Добро решение за “автоматизация” при използването на HTTPS е HTTPS Everywhere. Понякога обаче, при зареждането на някоя интернет страница се появява съобщение за невалиден SSL сертификат (Invalid SSL Certificate).

Какви могат да бъдат причините за това?

Единият вариант е това да не е истинският сайт, а да е негово копие (най-често с цел phishing атака). Тогава сертификата не “пасва” на този сайт и това е причина за предупреждението.

Друг вариант е самият сайт да е с валиден сертификат, но той да не може да бъде потвърден.

При тези ситуации можем да избираме – да не отворим страницата или да добавим изключение за нея.

Как да действаме при невалиден SSL сертификат?

Най-важното, което трябва да направим в такава ситуация е да разберем причината за проблема. Съществуват различни сайтове в Интернет, където SSL сертификатите се регистрират (пример: даден сертификат принадлежи на twitter.com). Когато браузерът ви получи сертификата, той се “допитва” до тези сайтове, за да потвърди, че той е легитимен. Когато в тази база данни на легитимни сертификати, търсеният от браузера ви такъв липсва, се появява това съобщение.

Причините един сайт да не е в тази база данни са много. Едната от тях е, че за тази “услуга” се заплащат пари, които не всеки би дал. Друга причина може да бъде отказ от една такава организация да регистрира даден сертификат (главно с цел цензура). Също така, причина може да бъде, че оригиналният сайт има сертификат, а този, който се опитвате да отворите е нелегитимен (phishing).

В крайна сметка, за да вземем решение дали да се доверим на дадена Интернет страница, въпреки съобщението, трябва да проверим каква е причината за него.

Като за начало, трябва да проверим дали сме жертва на phishing атака. В този случай, DNS сървърът не ни “казва” истинския IP адрес, а друг (DNS дава връзка между името на даден сайт и неговия IP адрес). Това често може да се използва за “прихващане” на имена и пароли, за “подслушване” на чат сесии в IRC и други.

За да проверим дали това е така имаме няколко варианта. Единият е да използваме други DNS сървъри и да проверим дали тогава пак ще имаме съобщение за невалиден сертификат (има много публични DNS сървъри, които можем да използваме). Другият начин е да помолим някой, използващ друг Интернет доставчик (а по-добре намиращ се в друга страна) да отвори даденият сайт и да каже дали и при него се появява съобщението за невалиден сертификат.

Ако при смяната на DNS сървърите или при човек, намиращ се в друга страна проблеми няма, то това е атака, с цел кражба (главно) на потребителски имена и пароли.

Ако обаче съобщение за невалиден сертификат пак има, то пак е възможно да сме жертва на phishing атака.

За да проверим дали това е така, трябва да сравним сертификата, който ние получаваме, с този, който някой друг (в друга страна) получава (или с използването на други DNS сървъри).

Когато се появи съобщение за невалиден сертификат, имате възможността да добавите изключение. Преди самото добавяне можете да видите информация за сертификата: за кой сайт е той, кога е регистриран, от кой е “потвърден”, до кога е валиден както и MD5 и SHA1 Fingerprints (отпечатъци). Имено тези “отпечатъци” можем да използваме, за да разберем дали сме жертва на атака.

Процедурата е следната – сравняваме “отпечатъците” при отваряне на сайта и тези, при отваряне на сайта от друга страна. Ако съвпаднат, то тогава е безопасно да продължите към дадената Интернет страница. Ако не – потърсете алтернативни DNS сървъри или намерете истинските IP адреси, които отговарят за даден сайт.

Същата процедура важи и за IRC сървъри, при използването на SSL криптиране.

Съобщенията за невалиден SSL сертификат, макар и рядко, се появяват. Важно е да знаем, че това може да означава опит за кражба на данни, но също така причините за него могат да бъдат и други. Преди да решим какво да направим трябва да разберем каква точно е причината и дали имаме повод за безпокойство.