Hengelåsikonet: Hva det egentlig betyr

Hengelåsikonet i adressefeltet i nettleseren bekrefter at forbindelsen mellom nettleseren og webserveren er kryptert med TLS. Dette hindrer avlyttende parter i å lese dataene under overføring.

Det bekrefter også at serveren har presentert et sertifikat som nettleseren kunne verifisere: sertifikatet var signert av en klarert sertifiseringsinstans (CA), og domenenavnet samsvarte.

Hengelåsen sier ingenting om hvor pålitelig eller legitimt selve nettstedet er. En kriminell aktør kan skaffe seg et gyldig TLS-sertifikat for phishingnettstedet sitt like enkelt som en legitim virksomhet kan.

Hengelåsen betyr «forbindelsen din til denne serveren er kryptert», ikke «dette nettstedet er trygt», «dette selskapet er legitimt» eller «du bør stole på innholdet på denne siden».

Phishingnettsteder bruker jevnlig HTTPS. Let's Encrypt utsteder gratis sertifikater automatisk til alle som kontrollerer et domene, også kriminelle som har registrert forvekslingsbare domener som «paypa1.com» eller «arnazon.com».

Googles Transparency Report viser at over 90 % av phishing-sidene nå bruker HTTPS. En hengelås er ikke en pålitelig indikator på sikkerhet; selve domenenavnet må verifiseres.

Domain Validation-sertifikater (DV-sertifikater), den vanligste typen, bekrefter bare at søkeren kontrollerer domenet. CA-en kontrollerer dette via DNS-poster, en fil som er lagt på webserveren, eller en e-post til domenets administrative kontakt.

DV-sertifikater kan utstedes på minutter via ACME-protokoller (som brukes av Let's Encrypt). De bekrefter kontroll over domenet, men gir ingen informasjon om organisasjonen bak domenet.

Organization Validation-sertifikater (OV-sertifikater) krever at CA-en verifiserer at organisasjonen eksisterer juridisk. CA-en kontrollerer registreringsopplysninger, bekrefter organisasjonens adresse og verifiserer at personen som ber om sertifikatet, har fullmakt til å handle på vegne av organisasjonen.

OV-sertifikater inneholder organisasjonens navn i sertifikatdataene. Det tar flere dager å utstede dem, og de koster mer enn DV-sertifikater, men gir sterkere bekreftelse på organisasjonens identitet.

Extended Validation-sertifikater (EV-sertifikater) krever den mest omfattende verifiseringen: juridisk eksistens, faktisk drift, fysisk adresse og direkte bekreftelse med autorisert personell. Prosessen tar fra én til flere uker.

EV-sertifikater viste historisk organisasjonens navn i grønt i nettleserens adressefelt. Chrome fjernet imidlertid EV-indikatoren i 2019 med henvisning til brukervennlighetsstudier som viste at brukerne ikke forsto eller la merke til den.

Certificate Transparency (CT) er en mekanisme der alle utstedte sertifikater må loggføres i offentlige, etterprøvbare logger. Nettlesere kontrollerer at sertifikatene finnes i CT-logger før de stoler på dem.

CT-logger gjør det mulig for domeneeiere å overvåke om det utstedes uautoriserte sertifikater for domenene deres. Hvis en CA feilutsteder et sertifikat, vil det vises i loggen i løpet av timer, slik at sertifikatet raskt kan oppdages og tilbakekalles.

I alle moderne nettlesere kan man klikke på hengelåsen for å se tilkoblingsdetaljer. Chrome viser «Tilkoblingen er sikker», sertifikatets gyldighetsperiode og den utstedende CA-en. Ved å klikke på «Sertifikatet er gyldig» vises hele sertifikatkjeden.

Sertifikatdetaljene omfatter: Common Name og Subject Alternative Names (domener som dekkes), den utstedende CA-en, gyldighetsperioden (not before / not after) og signaturalgoritmen.

Siden 2017 har Chrome merket alle HTTP-sider som «Ikke sikker» i adressefeltet. Firefox og Edge fulgte etter. Denne advarselen vises fordi HTTP overfører alle data i klartekst, synlig for alle på nettverket.

Merkingen «Ikke sikker» er spesielt tydelig når en bruker begynner å skrive i et skjema på en HTTP-side, og advarer om at innloggingsopplysninger eller personopplysninger vil bli sendt ukryptert.

HTTPS er nå en grunnleggende forventning til alle nettsteder, ikke en avansert sikkerhetsfunksjon. At HTTPS er til stede, betyr at kanalen er kryptert, noe som er nødvendig, men ikke tilstrekkelig for den samlede sikkerheten på nettstedet.

Innholdssikkerhet, autentiseringssikkerhet, autorisasjonskontroller, forebygging av injeksjonssårbarheter og en rekke andre sikkerhetsegenskaper er helt uavhengige av om forbindelsen bruker HTTPS.

Hengelåsen alene er ikke nok. For å bekrefte at et nettsted er legitimt, må De kontrollere det nøyaktige domenenavnet for typosquatting, se etter OV- eller EV-sertifikatdetaljer hvis de er tilgjengelige, bekrefte nettstedet via resultater i søkemotorer i stedet for å klikke på lenker i e-poster, og kontrollere domenets registreringsalder og eier gjennom et WHOIS-oppslag.

Sikkerhetsbevisste brukere bokmerker viktige nettsteder, for eksempel banken Deres, i stedet for å skrive inn nettadressen hver gang. Det reduserer risikoen for at De skriver feil og havner på et typosquatting-domene som kan ha et gyldig HTTPS-sertifikat.

Hengelåsikonet bekrefter en kryptert TLS-forbindelse og sertifikatvalidering utført av en klarert CA. Det bekrefter ikke at nettstedet eller organisasjonen er pålitelig.

Phishing-nettsteder kan bruke, og bruker faktisk, HTTPS. DV-sertifikater krever bare bekreftelse av kontroll over domenet og utstedes i løpet av få minutter. Certificate Transparency-logger gjør det mulig å overvåke uautoriserte sertifikater. HTTPS er nødvendig, men ikke tilstrekkelig for generell sikkerhet.