Είναι το Splync ασφαλές Γιατί χρησιμοποιεί HTTPS

Όταν το Splync έφτασε στην κυκλοφορία του MVP, κάποιοι φίλοι μου δοκίμασαν την εφαρμογή στην πραγματική ζωή. Εγγράφηκαν με το email και τον κωδικό τους, δημιούργησαν έργα και πρόσθεσαν έξοδα. Όλα δούλεψαν καλά, εκτός από μερικά μικρά σφάλματα. Αλλά η πρώτη ερώτηση που έκαναν δεν αφορούσε το σχεδιασμό, τις λειτουργίες ή την ταχύτητα. Αφορούσε την ασφάλεια. Θα μπορούσαν πραγματικά να εμπιστευτούν το Splync με τα καθημερινά τους έξοδα; Αυτή είναι μια δίκαιη και σημαντική ερώτηση. Τα δεδομένα προσωπικών οικονομικών είναι πολύ ευαίσθητα και κάθε εφαρμογή που τα διαχειρίζεται πρέπει να είναι ασφαλής.

Το Splync χρειάζεται το Διαδίκτυο για να επιτρέπει στους χρήστες να συνδέουν δεδομένα, να μοιράζονται έργα και να συγχρονίζουν έξοδα σε συσκευές. Αυτό σημαίνει ότι κάθε αριθμός που καταχωρείτε και κάθε κουμπί που πατάτε ταξιδεύει μέσω του ιστού πριν φτάσει στο διακομιστή. Χωρίς προστασία, οποιοσδήποτε βρίσκεται στο ίδιο δίκτυο Wi-Fi θα μπορούσε σιωπηλά να παρακολουθεί την κυκλοφορία αυτή. Γι' αυτό το Splync χρησιμοποιεί HTTPS, όχι HTTP.

Το HTTP (Hypertext Transfer Protocol) ήταν κάποτε ο πρότυπος τρόπος επικοινωνίας μέσω του Διαδικτύου. Αλλά έχει ένα σοβαρό ελάττωμα: στέλνει πληροφορίες με απλό κείμενο. Φανταστείτε να γράφετε τα μυστικά σας σε μια καρτ-ποστάλ αντί να τα σφραγίζετε σε έναν φάκελο. Οποιοσδήποτε χειρίζεται το ταχυδρομείο —το προσωπικό του ταχυδρομείου, ο courier, ακόμα και ένας ξένος που κοιτάζει από ένα παράθυρο— θα μπορούσε να διαβάσει κάθε λέξη. Αυτή ήταν η σύνδεση "http" στα πρώτα χρόνια του ιστού. Λειτουργούσε, αλλά δεν ήταν ιδιωτική. Το HTTPS το διορθώνει, σφραγίζοντας το μήνυμά σας μέσα σε έναν κρυπτογραφημένο φάκελο που μόνο εσείς και ο επίσημος διακομιστής μπορείτε να ανοίξετε.

Όταν ανοίγετε το Splync, το smartphone σας και ο διακομιστής μας ξεκινούν να "συνομιλούν" —αλλά δεν εμπιστεύονται ο ένας τον άλλον αμέσως. Πρώτα, εκτελούν ένα μικρό τελετουργικό που ονομάζεται χειραψία. Είναι σαν δύο ξένοι να ανταλλάσσουν ταυτότητες πριν μοιραστούν μυστικά. Σε αυτή τη χειραψία, το τηλέφωνό σας ελέγχει το ψηφιακό πιστοποιητικό του διακομιστή, το οποίο αποδεικνύει ότι είναι πραγματικά το Splync και όχι κάποιος απατεώνας που προσποιείται ότι είμαστε εμείς. Μόλις καθιερωθεί η εμπιστοσύνη, και οι δύο πλευρές συμφωνούν σε ένα προσωρινό μυστικό κλειδί —έναν τύπο κωδικού πρόσβασης που χρησιμοποιείται μόνο για αυτή τη συνεδρία.

Από εκείνη τη στιγμή, ό,τι στέλνετε —τα στοιχεία σύνδεσής σας, τα δεδομένα του έργου σας, τα έξοδά σας— κρυπτογραφείται με αυτό το κλειδί. Αν κάποιος προσπαθούσε να υποκλέψει το σήμα, θα έβλεπε μόνο τυχαίους χαρακτήρες, όπως να προσπαθεί να διαβάσει μια συνομιλία που φωνάζεται κάτω από το νερό. Όλα αυτά συμβαίνουν αυτόματα, σε χιλιοστά του δευτερολέπτου, κάθε φορά που ανοίγετε την εφαρμογή. Δεν το βλέπετε ποτέ, αλλά το HTTPS βρίσκεται συνεχώς σε επαγρύπνηση, εξασφαλίζοντας ότι τα προσωπικά σας δεδομένα παραμένουν προσωπικά. Γι' αυτό το αποκαλούμε αόρατη ασπίδα: λειτουργεί σιωπηλά στο παρασκήνιο, αλλά χωρίς αυτό, το Διαδίκτυο θα ήταν ακόμα ένας ανοιχτός κόσμος καρτ-ποστάλ.

Για να καταλάβετε γιατί το HTTPS έχει σημασία, φανταστείτε μια απλή σκηνή. Είστε σε μια καφετέρια, απολαμβάνοντας καφέ ενώ ελέγχετε τα έξοδά σας σε ένα δημόσιο δίκτυο Wi-Fi. Χωρίς το HTTPS, κάθε πάτημα που κάνετε —το email σας, ο κωδικός πρόσβασής σας, ακόμα και τα ονόματα των ιδιωτικών έργων— ταξιδεύει στον αέρα με απλό κείμενο. Οποιοσδήποτε κοντά σας με βασικά εργαλεία θα μπορούσε να υποκλέψει αυτή τη σύνδεση και να διαβάσει τα πάντα, γραμμή προς γραμμή. Αυτό ονομάζεται επίθεση "man-in-the-middle" και στα πρώτα χρόνια του Διαδικτύου ήταν ανησυχητικά συνηθισμένο γιατί οι περισσότερες ιστοσελίδες δεν κρυπτογραφούσαν καθόλου την κυκλοφορία τους.

Σήμερα, οι περιηγητές προειδοποιούν ενεργά τους χρήστες όταν ένας ιστότοπος δεν προστατεύεται από το HTTPS. Αν δείτε ποτέ μια διεύθυνση ιστού που ξεκινά με "http://", αποφύγετε να εισάγετε οποιαδήποτε ευαίσθητη πληροφορία—αυτό σημαίνει ότι η σύνδεση δεν είναι κρυπτογραφημένη. Πάντα ελέγχετε ότι η διεύθυνση URL ξεκινά με "https://" και ότι εμφανίζεται ένα μικρό εικονίδιο κλειδώματος δίπλα της. Αυτό το μικρό "S" στο HTTPS σημαίνει Ασφαλές, και κάνει όλη τη διαφορά. Σας λέει ότι τα δεδομένα σας ταξιδεύουν με ασφάλεια μέσα σε ένα κρυπτογραφημένο τούνελ, όχι σε μια ανοιχτή καρτ-ποστάλ.

Ίσως αναρωτιέστε πώς να ελέγξετε ένα URL μιας εφαρμογής, το οποίο συνήθως είναι αόρατο. Οι σύγχρονες εφαρμογές είναι σχεδιασμένες να επικοινωνούν μόνο μέσω ασφαλών αιτήσεων HTTPS. Οι προγραμματιστές καθορίζουν τη συγκεκριμένη διεύθυνση του διακομιστή στον κώδικα της εφαρμογής και το σύστημα μπλοκάρει αυτόματα οποιαδήποτε μη ασφαλή σύνδεση "http://". Για παράδειγμα, στο iPhone, κάθε εφαρμογή πρέπει να χρησιμοποιεί το HTTPS από προεπιλογή. Η Apple το επιβάλλει μέσω ενός πλαισίου που ονομάζεται App Transport Security (ATS), το οποίο απορρίπτει οποιαδήποτε μη κρυπτογραφημένη επικοινωνία, εκτός αν ο προγραμματιστής ζητήσει ρητά εξαίρεση.

Το ίδιο το smartphone σας λειτουργεί ως φύλακας, αρνούμενο οποιαδήποτε σύνδεση που δεν είναι κρυπτογραφημένη. Έτσι, ακόμα κι αν δεν βλέπετε ποτέ τη διεύθυνση URL, κάθε φορά που το Splync συνδέεται με τον διακομιστή μας, ταξιδεύει ήδη μέσα από αυτή την αόρατη ασπίδα του HTTPS. Το HTTPS προστατεύει το δρόμο ανάμεσα στη συσκευή σας και τον διακομιστή μας. Αλλά τι γίνεται με τον ίδιο τον διακομιστή; Εκεί έρχεται το επόμενο θέμα μας, το SSH.