Informatyka w klasie 4
i kłódka w przeglądarce

Gdy otwieramy stronę, komputer wymienia z nią wiadomości. Przy zwykłym http te wiadomości wędrują jak pocztówka: każdy po drodze może je przeczytać. Przy https są w zaklejonej kopercie, czyli zaszyfrowane. Za to szyfrowanie odpowiada protokół TLS (dawniej SSL, stąd nazwa „certyfikat SSL”).

Szyfrowanie to jedno, ale skąd wiemy, że rozmawiamy z właściwą stroną, a nie z kimś, kto się pod nią podszywa? Do tego służy certyfikat. To coś jak legitymacja: mówi „jestem stroną edu.przyklad.pl” i ma podpis kogoś, kto to potwierdził.

Tym „kimś” jest urząd certyfikacji, po angielsku CA (Certificate Authority). To po prostu instytucja, której przeglądarki i systemy operacyjne ufają. Lista takich zaufanych instytucji jest wbudowana w Windows, macOS, Androida i przeglądarki.

Najczęściej spotykane certyfikaty to certyfikaty DV (Domain Validation, potwierdzenie domeny). Przy nich urząd certyfikacji sprawdza tylko jedno: czy osoba prosząca o certyfikat ma kontrolę nad adresem strony. Robi to automatycznie, np. prosząc o umieszczenie na stronie specjalnego pliku. Taki certyfikat można dziś dostać za darmo w kilka minut.

Zastanówmy się, co się dzieje, gdy Pan od informatyki, któremu ufamy my i nasze dzieci, mówi: „edutrack to nasza platforma, pod tym adresem są zadania i można z niej bezpiecznie korzystać”.

To dokładnie to samo, co robi urząd certyfikacji. Ktoś, komu ufamy, potwierdza, że dany adres należy do tego, do kogo powinien. W jednym przypadku poręcza instytucja wpisana do przeglądarki, w drugim nauczyciel, którego znamy osobiście.

Platforma edutrack używa certyfikatu wystawionego samodzielnie (ang. self-signed). To tak, jakby ktoś sam sobie wypisał legitymację i sam ją podpisał. Połączenie nadal jest szyfrowane, ale przeglądarka nie zna podpisującego, więc uprzedza: „Nie mogę potwierdzić, kto jest po drugiej stronie”.

To częsta praktyka, stosowana nawet w dużych firmach do wewnętrznych systemów, najczęściej z oszczędności. Na komputerach firmowych, a być może także szkolnych, dodaje się taki certyfikat do listy zaufanych. Wtedy ostrzeżenie się nie pojawia. W domach tej konfiguracji nie mamy, dlatego widzimy komunikat.

Niektórym może się wydawać, że zapewnienie Pana od informatyki, że strona jest bezpieczna i nie podajemy na niej żadnych wrażliwych danych, jest nieprawdziwe. Przecież dzieci się tam logują, czyli podają hasło.

Tak naprawdę hasło wpisuje się na stronie Microsoftu, a tam jest już poprawny certyfikat od zaufanego wystawcy. Po kliknięciu „Zaloguj” przeglądarka przechodzi na adres Microsoftu (login.microsoftonline.com), dziecko podaje tam hasło, a Microsoft odsyła do edutrack tylko potwierdzenie, kto się zalogował. Edutrack nie otrzymuje hasła od użytkownika.

Miałem kilka rozmów o bezpieczeństwie platformy edutrack i często pojawiał się ten argument: sztuczna inteligencja potwierdziła, że strona jest niebezpieczna. Tyle że odpowiedź AI zależy od tego, o co i jak zapytamy. Kluczowy jest kontekst.

Ostrzeżenie o certyfikacie na stronie, na której się go nie spodziewamy, rzeczywiście jest podejrzane. Ale nawet dużym, znanym serwisom zdarza się zapomnieć o przedłużeniu certyfikatu i wtedy ten sam komunikat pojawia się u nich. Gdy opiszemy AI całą sytuację, czyli że to szkolna platforma, którą poleca nauczyciel, a certyfikat jest wystawiony samodzielnie, odpowiedź wygląda już zupełnie inaczej.

Poniżej moja rozmowa z asystentem AI (Claude). Poprawiłem w niej tylko literówki.

„Zielona kłódka” daje dziś w dużej mierze pozorne poczucie bezpieczeństwa. Fałszywe strony bez problemu dostają darmowe certyfikaty. A jeśli ktoś włamie się na prawdziwą stronę i umieści na niej coś złośliwego, kłódka nadal będzie widoczna.