Internet Tanpa Kriptografi

HTTP (Protokol Pemindahan HyperText) direka pada awal 1990-an tanpa penyulitan. Setiap permintaan dan respons dihantar sebagai teks yang boleh dibaca manusia melalui rangkaian.

Ini bermakna mana-mana penghala, ISP atau penyerang antara anda dengan pelayan boleh membaca kelayakan log masuk, maklumat peribadi dan kandungan setiap halaman yang anda lawati.

Dalam serangan man-in-the-middle (MITM), penyerang menempatkan diri antara dua pihak yang sedang berkomunikasi dan menyampaikan semula trafik, sambil berpotensi membaca atau mengubahnya. Pada rangkaian yang tidak disulitkan, serangan ini tidak memerlukan usaha khas.

Penyerang boleh melihat semua data, menyuntik kandungan berniat jahat ke dalam respons atau mengubah penghantaran borang secara senyap, seperti menukar destinasi pemindahan wang bank.

Rangkaian WiFi awam ialah media siaran yang dikongsi. Pada rangkaian WiFi terbuka biasa tanpa penyulitan, setiap peranti yang bersambung boleh menangkap paket peranti lain menggunakan alat seperti Wireshark.

Pada zaman sebelum HTTPS digunakan secara meluas, duduk di kedai kopi dengan penghidu paket membolehkan seseorang mengumpul sesi log masuk, membaca e-mel dan menangkap kata laluan daripada berpuluh-puluh pengguna berdekatan.

FTP (Protokol Pemindahan Fail) menghantar nama pengguna dan kata laluan dalam bentuk teks biasa. Satu tangkapan paket semasa log masuk sudah cukup untuk mendedahkan kelayakan penuh.

Walaupun begitu, pelayan FTP kekal biasa digunakan sehingga jauh memasuki tahun 2000-an dan sesetengahnya masih wujud hari ini. SFTP (Protokol Pemindahan Fail melalui SSH) dan FTPS (FTP melalui TLS) ialah alternatif selamat yang menyulitkan kelayakan serta data.

DNS menterjemahkan nama domain kepada alamat IP. Tanpa DNSSEC (Sambungan Keselamatan DNS), respons DNS tidak disahkan dan boleh dipalsukan.

Penyerang boleh meracuni cache DNS untuk mengarahkan pengguna yang menaip "mybank.com" ke pelayan berniat jahat di bawah kawalan penyerang, lalu menangkap kelayakan sebelum meneruskannya kepada bank sebenar.

SMTP, iaitu protokol untuk menghantar e-mel, direka pada tahun 1982 tanpa sebarang ciri keselamatan. E-mel melalui beberapa pelayan (geganti mel) dalam perjalanannya kepada penerima dan setiap lompatan boleh membaca atau mengubah mesej tersebut.

Tanpa TLS pada sambungan SMTP dan penyulitan hujung ke hujung seperti PGP, e-mel pada dasarnya seperti poskad: sesiapa yang mengendalikannya boleh membaca kandungannya.

Pada tahun 2010, seorang pembangun mengeluarkan Firesheep, sambungan Firefox yang mengautomatikkan pencurian kuki sesi pada rangkaian WiFi terbuka. Dengan satu klik, sambungan itu boleh log masuk ke akaun Facebook, Twitter atau Amazon milik orang lain.

Firesheep tidak memerlukan pengetahuan teknikal. Ia menangkap kuki sesi yang tidak disulitkan dan disiarkan melalui WiFi, kemudian memaparkan senarai akaun yang boleh dirampas kepada penyerang.

Sebelum HTTPS menjadi piawaian, laman perdagangan dalam talian awal menghantar nombor kad kredit dalam permintaan POST HTTP yang menggunakan teks biasa. Penyerang yang memantau trafik rangkaian boleh mengumpulkan nombor kad secara besar-besaran.

Perbelanjaan dalam talian pada peringkat awal memerlukan pengguna mempercayai bahawa laman tersebut sah dan tiada sesiapa sedang memerhati. Kedua-dua andaian itu sering salah, lalu menyebabkan kerugian akibat penipuan yang besar pada akhir 1990-an.

Pada rangkaian yang tidak disulitkan, penyerang boleh membaca semua trafik, mencuri kuki sesi untuk menyamar sebagai pengguna, menyuntik skrip berniat jahat ke dalam halaman web, menangkap kata laluan dan kelayakan, serta mengarahkan pengguna ke laman pancingan data melalui MITM.

Pengawasan berskala besar juga sangat mudah dilakukan. Penyerang yang mempunyai akses kepada pertukaran internet utama boleh memantau jutaan pengguna secara serentak tanpa dikesan.

HTTPS menyulitkan trafik menggunakan TLS, lalu menghalang pengintipan, gangguan dan penyamaran. Pengumuman Google pada tahun 2014 bahawa HTTPS akan menjadi isyarat kedudukan carian mempercepat penggunaannya secara mendadak.

Menjelang tahun 2024, lebih 95% trafik web disulitkan. Let's Encrypt, yang dilancarkan pada tahun 2016, menyediakan sijil TLS percuma kepada setiap pemilik laman web, sekali gus menghapuskan halangan kos untuk penggunaannya.

Sejarah komunikasi internet yang tidak disulitkan menunjukkan sebab keselamatan memerlukan berbilang lapisan. Walaupun satu kawalan gagal, kawalan lain sepatutnya mengehadkan kerosakan.

Rangkaian moden menggabungkan TLS, DNSSEC, ketelusan sijil, HSTS dan penyulitan yang disahkan untuk membina perlindungan bertindih, dengan kekuatan satu lapisan mengimbangi kelemahan lapisan yang lain.

Tanpa kriptografi, setiap komunikasi di internet boleh dilihat oleh sesiapa sahaja yang berada pada laluan antara pengirim dan penerima. Serangan MITM, rampasan sesi, pencurian kelayakan dan keracunan DNS sangat mudah dilakukan pada rangkaian yang tidak disulitkan.

HTTPS dan TLS mengubah internet daripada media siaran menjadi sistem yang membolehkan komunikasi persendirian. Peralihan daripada HTTP kepada HTTPS ialah salah satu peningkatan keselamatan terpenting dalam sejarah internet.