Internettet uden kryptografi

HTTP (hypertekstoverførselsprotokollen) blev udviklet i begyndelsen af 1990'erne uden kryptering. Alle anmodninger og svar sendes som menneskeligt læsbar tekst over netværket.

Det betyder, at enhver router, internetudbyder eller angriber mellem dig og serveren kan læse dine loginoplysninger, personlige oplysninger og indholdet af alle sider, du besøger.

I et man-in-the-middle-angreb (MITM) placerer en angriber sig mellem to kommunikerende parter og videresender trafikken, så den potentielt kan læses eller ændres. På et ukrypteret netværk kræver det ingen særlig indsats.

Angriberen kan se alle data, indsætte skadeligt indhold i svar eller ubemærket ændre formularindsendelser, for eksempel ved at ændre destinationen for en bankoverførsel.

Offentlige WiFi-netværk er fælles udsendelsesmedier. På et typisk åbent WiFi-netværk uden kryptering kan alle tilsluttede enheder opfange alle andre enheders pakker med værktøjer som Wireshark.

I tiden før HTTPS blev dominerende gjorde en pakkesniffer på en café det muligt at indsamle login-sessioner, læse e-mails og opsnappe adgangskoder fra snesevis af brugere i nærheden.

FTP (filoverførselsprotokollen) sender både brugernavne og adgangskoder i klartekst. En enkelt pakkeopsamling under login afslører de fulde legitimationsoplysninger.

På trods af dette forblev FTP-servere almindelige langt ind i 00'erne, og nogle findes stadig i dag. SFTP (SSH-filoverførselsprotokollen) og FTPS (FTP via TLS) er sikre alternativer, der krypterer både legitimationsoplysninger og data.

DNS oversætter domænenavne til IP-adresser. Uden DNSSEC (DNS-sikkerhedsudvidelser) er DNS-svar ikke autentificerede og kan forfalskes.

En angriber kunne forgifte en DNS-cache, så brugere, der skriver "mybank.com", blev omdirigeret til en ondsindet server under angriberens kontrol, hvor deres legitimationsoplysninger blev opsnappet, før de blev videresendt til den rigtige bank.

SMTP, protokollen til afsendelse af e-mail, blev udviklet i 1982 uden nogen form for sikkerhed. E-mail passerer gennem flere servere (mailrelæer) på vej til modtageren, og hvert hop kunne læse eller ændre meddelelsen.

Uden TLS på SMTP-forbindelser og ende-til-ende-kryptering som PGP er e-mail i praksis et postkort: Alle, der håndterer det, kan læse det, der står på det.

I 2010 udgav en udvikler Firesheep, en Firefox-udvidelse, der automatiserede tyveri af sessionscookies på åbne WiFi-netværk. Med ét klik kunne den logge ind på en anden persons Facebook-, Twitter- eller Amazon-konto.

Firesheep krævede ingen teknisk viden. Den opfangede ukrypterede sessionscookies, der blev udsendt over WiFi, og viste angriberen en liste over konti, der kunne kapres.

Før HTTPS blev standard, sendte de første e-handelswebsteder kreditkortnumre i HTTP POST-anmodninger i klartekst. Angribere, der overvågede netværkstrafik, kunne indsamle kreditkortnumre i stor skala.

Tidlig onlinehandel krævede, at brugerne stolede på, at webstedet var ægte, og at ingen overvågede dem. Begge antagelser var ofte forkerte, hvilket førte til enorme tab på grund af svindel i slutningen af 1990'erne.

På et ukrypteret netværk kunne angribere læse al trafik, stjæle sessionscookies for at udgive sig for at være brugere, indsætte ondsindede scripts på websider, opsnappe adgangskoder og legitimationsoplysninger samt omdirigere brugere til phishing-websteder via MITM.

Storstilet overvågning var også trivielt let. En angriber med adgang til et større internetudvekslingspunkt kunne overvåge millioner af brugere samtidig uden at blive opdaget.

HTTPS krypterer trafik med TLS og forhindrer aflytning, manipulation og efterligning. Googles meddelelse fra 2014 om, at HTTPS ville være et signal i søgerangeringen, satte dramatisk fart på udbredelsen.

I 2024 er over 95 % af webtrafikken krypteret. Let's Encrypt, der blev lanceret i 2016, gjorde gratis TLS-certifikater tilgængelige for alle ejere af websteder og fjernede dermed omkostningsbarrieren for udbredelse.

Historien om ukrypteret internetkommunikation viser, hvorfor sikkerhed kræver flere lag. Selv hvis én sikkerhedskontrol svigter, bør andre begrænse skaden.

Moderne netværk kombinerer TLS, DNSSEC, certifikattransparens, HSTS og autentificeret kryptering for at opbygge overlappende beskyttelse, hvor styrken i ét lag kompenserer for svagheden i et andet.

Uden kryptografi er al kommunikation på internettet synlig for alle på vejen mellem afsender og modtager. MITM-angreb, sessionskapring, tyveri af legitimationsoplysninger og DNS-forgiftning var trivielle på ukrypterede netværk.

HTTPS og TLS forvandlede internettet fra et udsendelsesmedie til et system, hvor privat kommunikation er mulig. Overgangen fra HTTP til HTTPS er en af de vigtigste sikkerhedsforbedringer i internettets historie.