NSA-jev program »muscular« oziroma prisluškovanje optičnih povezav med podatkovnimi centri spletnih velikanov (Google, Yahoo) je pokazal, da mora biti tudi ta komunikacija šifrirana. NSA je namreč prestrezala komunikacije, ne da bi kdo za to vedel. Zaradi moči agencije je postalo jasno, da je brez močnih šifrirnih algoritmov, tako močnih, da jih ne morejo razbiti niti agencijski superračunalniki, prihodnost spletnih storitev najmanj vprašljiva. Drugače povedano, šifrirana mora biti vsa komunikacija do in od spletnega ponudnika, pa čeprav gre za tako imenovani »notranji promet«. Ki seveda poteka prek javnih optičnih kablov in vozlišč, ki jih ponudnik ne more stoodstotno nadzirati.
Poleg komunikacije morajo biti po prepričanju zagovornikov pravic spletnih uporabnikov, kar EFF pravzaprav je, s protokolom https zaščitene vse spletne strani in storitve ponudnikov. Praktično protokol pomeni, da se, ko se uporabnik poveže s takšno spletno stranjo, samodejno šifrira vsa komunikacija od njegovega računalnika do strani in prav tako v obratni smeri. EFF je od ponudnikov dodatno zahteval, da kot varne označi tudi svoje piškotke, ki jih storitev namesti na uporabnikov računalnik. To pomeni, da so šifrirani tudi podatki, ki jih sporočajo piškotki, kar preprečuje, da bo kdor koli s tem, da bi prisluškoval podatkom piškotkov, ukradel identiteto uporabnika oziroma se celo v njegovem imenu prijavil v storitev.
Da bi komunikacija ostala varna, EFF od ponudnikov zahteva, da omogočijo protokol HSTS (HTTP Strict Transport Security). Protokol vztraja pri uporabi varne povezave in preprečuje napade, pri katerih se »omrežje« pretvarja, da je spletna stran zahtevala običajno, torej nevarovano komunikacijo.
Omenjene tehnologije so že postale industrijski standardi, vendar je dejavnost agencije NSA pokazala, da ni dovolj le šifriranje prometa od uporabnikov do strežnikov storitev in nazaj. Zato EFF zahteva, da ponudniki šifrirajo tudi komunikacijo med svojimi strežniki za storitve v oblaku in lastnimi podatkovnimi centri. Kadar koli je »uporabnikov« podatek prenesen prek omrežja, mora biti šifriran z močnim algoritmom. Za vsak primer, če bi napadalec imel dostop do fizičnih povezav (kablov) ali mu je uspelo vdreti v omrežno opremo.
Od ponudnikov poštnih storitev pa EFF zahteva, da implementirajo STARTTLS za prenos poštnih sporočil. Gre za šifrirni sistem, ki šifrira podatkovni promet med poštnimi strežniki, ki uporabljajo protokol SMPT. Ko uporabnik pošlje sporočilo nekomu, ki uporablja drugo poštno storitev (uporabnik Microsoftove storitve Outlook pošlje sporočilo uporabniku Gmaila), gre sporočilo prek interneta. Če oba poštna strežnika razumeta STARTTLS, je komunikacija med njima šifrirana, če ga razume le en, je sporočilo mogoče prestreči in prebrati. Zato mora ta način šifriranja sporočil v svojo storitev vključiti čim več ponudnikov spletne pošte.
Za konec EFF od ponudnikov storitev zahteva, naj uporabljajo tako imenovano tajnost ključev PFS (Perfect forward secrecy). Ta varnostni mehanizem omogoča, da četudi nekdo dobi dostop do zasebnega ključa, odklepanje pretekle komunikacije ni več mogoče. Vsaka seja je v tem primeru zašifrirana z edinstvenim ključem, ki se po koncu seje izbriše in ga ni več mogoče povrniti. Če tega ni, potem lahko napadalec, ki je pridobil »star« ključ, prebira komunikacijo, staro mesece ali celo leta.
Moj mikro, januar – februar 2014 | Jan Kosmač
