HTTPS не означає, що сайт безпечний

1. А що, якщо замочок ні Зелений?
2. Що потрібно пам'ятати, щоб не попастися на вудку

Якщо в адресному рядку браузера зліва від адреси сайту ви бачите зображення зеленого замочка і напис «Захищено», це підвищує вашу довіру до сайту, чи не так? У цьому випадку посилання починається з букв HTTPS, а якщо клікнути на замочок, ви побачите фразу «сайт використовує захищене з'єднання». Зараз все більше і більше сайтів переходять на HTTPS, більш того - у сайтів просто не залишається вибору, робити це чи ні. Здавалося б: ну і прекрасно! Чим більше захищених сайтів в Інтернеті - тим краще!

Але ми зараз скажемо вам те, про що ви, можливо, не підозрювали: всі ці символи «захищеності» не гарантують, що сайт не несе загрозу. Наприклад, що він не фішингових .

Зелений замочок означає, що сайту виданий сертифікат і що для нього сгенерирована пара криптографічних ключів . Такий сайт шифрує інформацію, передану вами сайту і від сайту до вас. У цьому випадку адреса сторінки буде починатися з HTTPS, і ось ця остання «S» означає secure, тобто «безпечний».

Шифрування - це добре і корисно. Це означає, що інформацію, якою обмінюються ваш браузер і сайт, не зможуть отримати всілякі треті особи - провайдери, адміністратори мереж, зловмисники, які вирішили перехопити трафік, і так далі. Тобто ви можете забивати на сайті пароль або дані банківської картки і не хвилюватися, що їх підгляне хтось з боку.

Проблема в тому, що зелений замочок і виданий сертифікат нічого не говорять власне про сам сайт. Фішингова сторінка з тим же успіхом може отримати сертифікат і шифрувати всю комунікацію між вами і нею.

Простіше кажучи, все це означає, що на сайті «з замочком» ніхто зі сторони не зможе підглянути і вкрасти пароль, який ви вводите. Але цей пароль може вкрасти сам сайт, на якому ви пароль ввели - в тому випадку, якщо сайт підроблений.

Цим активно користуються зловмисники: за даними Phishlabs , Зараз вже чверть всіх фішингових атак здійснюється на HTTPS-сайтах (а ще два роки тому було менше одного відсотка). При цьому більше 80% користувачів вважають , Що зелений замочок і напис «Захищено», якими супроводжується HTTPS-з'єднання в браузерної рядку, означають, що сайт безпечний, а значить, у них менше сумнівів, вводити на такому сайті свої дані чи ні.

А що, якщо замочок ні Зелений?

В цілому буває ще два варіанти. Якщо замочка немає взагалі - це значить, що сайт не використовує шифрування і обмінюється з вашим браузером інформацією по протоколу HTTP. Браузер Google Chrome з недавніх пір маркує такі сайти як небезпечні. Насправді вони можуть бути «білими і пухнастими» - просто не шифрують комунікацію між вами і сервером. Оскільки власники більшості сайтів не хочуть, щоб Google позначав сайти як небезпечні, все більше число веб-сторінок переходить на HTTPS. Ну і вводити чутливі дані на HTTP-сайтах не варто - їх може хто-небудь підглянути.

Другий варіант - перекреслений замочок і виділені червоним букви HTTPS. Це означає, що сертифікат у сайту є, але він непідтверджений або ж він застарів. Тобто з'єднання між вами і сервером здійснюється у зашифрованому, але ніхто не гарантує, що домен дійсно належить тій компанії, яка вказана на сайті. Це самий підозрілий варіант - зазвичай такими сертифікатами користуються тільки в тестових цілях, ну або, як варіант, у сертифіката закінчився термін і власник його не справив обряду поновин. Браузери також відзначають такі сторінки як небезпечні, але більш наочно: виводиться попередження з червоним замочком. У будь-якому випадку ми б не радили ходити на сайти з такими сертифікатами і вже тим більше вводити на них будь-які особисті дані.

Що потрібно пам'ятати, щоб не попастися на вудку

Резюмуємо: наявність Сертифікат та індикаторів у вигляді зеленого замочка і написи «Захищено» означає лише те, що передача даних між вами і сайтом, шифруються, а також те, що сертифікат виданий довіреною сертифікаційним центром. При цьому HTTPS-сайт цілком може виявитися шкідливим - особливо вдало маніпулюють цим шахраї, які промишляють фішингом.

Тому завжди будьте обережні, яким би надійним сам сайт ні здався вам на перший погляд.

• Ніколи не вводьте ваші логіни, паролі, банківські та інші особисті дані на сайті, поки остаточно не упевнитися в його справжності. Для цього завжди перевіряйте доменне ім'я (обов'язково дуже уважно, ім'я сайту шахраїв може відрізнятися всього на один символ!) І переходите тільки по надійним посиланнях.
• Завжди запитуйте себе, навіщо вам реєстрація на тому чи іншому сайті, що він пропонує, чи не виглядає підозріло.
• Не забувайте про хороший захист своїх пристроїв: Kaspersky Internet Security звірить адреса сторінки з тими, що зберігаються у великій базі даних фішингових сайтів, і виявить шахраїв незалежно від того, наскільки «надійним» виглядає ресурс.