Komentář analytika na téma šifrování na sociálních sítích

„Současné politické klima na evropské úrovni má spíše tendenci k omezení šifrování. Naopak ze strany technologů a firem je snaha nabídnout uživatelům soukromí a kvalitní zabezpečení,“ říká analytik Centra kyberbezpečnosti Luděk Sefzig.

Rizika z hlediska kyberzločinu a kyberbezpečnosti na sociálních sítích můžeme rozdělit dle účelů těchto sítí do dvou skupin. Uživatelé klasických platforem, jako je například Facebook nebo Twitter, jsou nejčastěji napadáni tzv. phishingem. Jeho cílem je vylákat z uživatelů citlivá data. Útočníci například chtějí získat hesla k bankovním účtům, přístupy k emailu apod. Láká je to, že pokud se útočníkovi podaří dostat do emailové schránky, má téměř vyhráno – většina služeb využívá ověřování právě přes potvrzovací email. V případě ztráty hesla, je nové zasíláno opět na email uživatele. Útoky v těchto případech vypadají nejčastěji tak, že útočníci vytvoří falešnou stránku podobnou oficiální službě. Následně sledují uživatele, kteří potřebují zákaznický servis. Tyto uživatele pak přímo kontaktují pomocí falešné identity a vylákají z nich citlivá data.

Druhou skupinou jsou sociální sítě na bázi komunikačních platforem. Příkladem jsou Whatsup, Messanger, Viber, iMessage, Skype, FaceTime nebo v Česku méně známé aplikace Telegram, Signal, Threema, Babelnet. I u komunikačních sociálních sítí platí, že nejslabším článkem bývají uživatelé. Zaměstnanci firem z důvodu pohodlí například zasílají důvěrné informace prostřednictvím nezabezpečené komunikace na platformě Messangeru přes lokální wifi, kde lze data jednoduše odposlechnout. Uživatelé také často používají dlouhodobě jedno jednoduché heslo. Moderní platformy proto disponují dvoufaktorovým ověřením, nejčastěji pomocí telefonu.

Nejčastějším typem útoku je fiktivní identita jedné ze stran, nebo přímo snaha ukrást zasílaná data. Například jde o interní firemní dokumenty zasílané prostřednictvím sociálních sítí a komunikačních aplikací. „Z hlediska bezpečnosti v kyberprostoru je šifrování samozřejmě žádoucí. Na druhou stranu ale provozovatel sítě nemá žádnou kontrolu nad tím, jaký obsah uživatelé sdílí. Zda například neporušují zákony, neplánují teroristické činy, nezasílají dětskou pornografii. Provozovatel pak šíření takového obsahu nedokáže zabránit,“ dodal analytik.

V posledních letech roste komunikace v prostředí end-to-end šifrování. To znamená, že komunikace mezi subjekty je šifrovaná až na úrovni jednotlivých uživatelských zařízení. Provozovatel sítě tak sice ví, že subjekty spolu komunikují, ale nemá možnost si prohlédnout obsah jejich zpráv. Nebo například stáhnout zaslané soubory.

Mezi způsoby šifrování na jednotlivých platformách jsou také rozdíly. „V roce 2016 například přibylo šifrování do Facebook Messangeru, ale defaultně je vypnuté. Aktivujete jej až v nastavení komunikace v jednotlivém chatu. Poznáte to tak, že zprávy budou místo standardní modré barvy černé,“ ukazuje změnu zabezpečení Luděk Sefzig.

Šifrování v případě Whatsupu, mimochodem vlastněného také společností Facebook, je pro vývojáře ne úplně průhledné a nebudí absolutní důvěru. Ve Whatsupu totiž byla objevena vlastnost, že provozovatel služby má možnost vyměnit klientům šifrovací klíče. Dostane se tak k obsahu. Mimochodem, k šifrování je využit bezpečnostní protokol Signal, který vyvinula společnost Open Whisper Systems. Díky tomu uživatelé předpokládali velké zabezpečení. Systém ale uměl klíče nahradit, dokonce bez vědomí uživatele. To je hlavní problém. Dnes lze ale upozornění na změnu klíčů zapnout. Přesto kvůli tomu mnozí (například Edward Snowden) označili end-to-end šifrování Whatsupu jako lež a doporučili používání například přímo sítě Signal.

Luděk Sefzig