HTTP i HTTPS: jaka jest różnica?

Zarówno HTTP, jak i HTTPS można znaleźć w pasku adresu przeglądarki, ale tylko nieliczni wiedzą, na czym polega różnica. Wyjaśniamy.

HTTP i HTTPS: oto różnica

Internet opiera się na wymianie danych – i właśnie do tego służą protokoły HTTP i HTTPS. Oba protokoły regulują sposób komunikacji przeglądarki z witryną internetową. Jednak podczas gdy HTTP jest niezaszyfrowanym protoplastą sieci, HTTPS oznacza nowoczesne, bezpieczne połączenie.

• Protokół Hypertext Transfer Protocol, w skrócie HTTP, służy do ładowania stron internetowych z serwera do przeglądarki internetowej. Problem: połączenie nie jest szyfrowane. Wszystkie dane, czy to wyszukiwane hasła, hasła dostępu czy dane wprowadzane w formularzach, są przesyłane w postaci niezaszyfrowanej.

• Konkretne zagrożenia związane z protokołem HTTP to przechwytywanie danych (sniffing) w publicznych sieciach Wi-Fi, ataki typu „man-in-the-middle”, w których osoba atakująca wtrąca się między użytkownika a stronę internetową i manipuluje danymi lub je kopiuje, a także przejęcie sesji: W przypadku niezaszyfrowanych sesji osoby atakujące mogą wykraść pliki cookie sesji i podszyć się pod Ciebie.

• HTTPS (HyperText Transfer Protocol Secure) jest bezpieczną wersją protokołu HTTP. Wykorzystuje szyfrowanie SSL/TLS w celu ochrony transmisji danych. Litera „S” oznacza „Secure” (bezpieczny).

• HTTPS jest obecnie standardem dla praktycznie wszystkich profesjonalnych stron internetowych. Procedura HTTPS jest obsługiwana przez wszystkie przeglądarki i jest zatem technologią bezpieczeństwa, której nie trzeba dodatkowo instalować.

• Stronę HTTPS można rozpoznać po tym, że w pasku adresu przeglądarki znajduje się wspomniany napis, a także po symbolu zamkniętej kłódki (patrz ilustracja).

Jak działa HTTPS z technicznego punktu widzenia

Tak działa standard stron internetowych:

• Szyfrowanie (SSL/TLS): Podczas nawiązywania połączenia HTTPS najpierw następuje uzgodnienie TLS. W tym procesie przeglądarka i serwer uzgadniają bezpieczną metodę szyfrowania danych. Następnie treści są przesyłane w taki sposób, aby nikt nie mógł ich odczytać ani zmienić.

• Uwierzytelnianie: Serwer pobiera certyfikat SSL/TLS od zaufanego urzędu certyfikacji (np. Let’s Encrypt, DigiCert). Przeglądarka sprawdza, czy certyfikat jest autentyczny, dzięki czemu masz pewność, że naprawdę łączysz się z żądaną stroną internetową, a nie z fałszywym serwerem.

• Integralność: HTTPS zapobiega zmianom treści podczas przesyłania. Dzięki tzw. sumom kontrolnym (funkcjom skrótu) przeglądarka może rozpoznać, czy dane zostały zmodyfikowane. Dzięki temu przesyłane informacje docierają do odbiorcy w niezmienionej postaci.