Dnešní stav věci je poměrně nejednotný. Majoritní Internet Explorer 6 ve svém adresním řádku vůbec nijak neindikuje, že se jedná o https spojení (kromě toho, že v adrese je „https://...“). Mozilla i Firefox toto zdůrazňují žlutou barvou celého pole pro zadávání adresy, ale nijak zvláště dále právě nerozlišují. Opera pro změnu nechává část pole s adresou v barvě skinu Windows/Linuxového GUI (atd.), typicky tedy bílou, a ve žlutě podbarvené pravé části informuje o certifikační autoritě (na kterou se dá dvojkliknout a dozvíte se například používanou šifrovací metodu jako „TLS v1.0 256 bit AES (1024 bit RSA/SHA)“ a spousty dalších detailů). Nikdo vás ale v žádném z prohlížečů neinformuje o tom, že se spojením či stránkou jako takovou není „něco v pořádku“, tedy například právě to že někdo na stránce provádí „phishing“.

Snad jen poznamenejme, že phishing je technika používaná za účelem získání citlivých dat, jako jsou přístupová hesla, čísla kreditních karet apod. Toho se dá typicky docílit tím, že je vám daná stránka, na které se logujete na daný server apod., podvržena útočníkem, který ji tak vydává za důvěryhodnou právě díky tomu, že se tváří, jakože je posvěcena danou certifikační autoritou. Sami si jistě dokážete představit stránky, na kterých bez mrknutí oka zadáváte údaje, protože důvěřujete platnému SSL certifikátu i samotné certifikační autoritě.

Když se podíváme na prozatím stále nejrozšířenější prohlížeč Internet Explorer, tak ten by měl v sedmé verzi přinést již zmiňovaný filtr s (patrně prozatímním) názvem Anti-Phishing User Experience. Ten právě bude zajišťovat rozlišení stránek, o nichž se buď jednoznačně ví, že je na nich prováděn phishing, nebo jsou z těchto aktivit podezřelé anebo jsou zcela v pořádku a zadávání citlivých informací se na nich nemusíte obávat. Stav první, tedy jednoznačně podvrženou stránku bude prezentovat zrudnutí adresního pole, kde se v pravé části místo jména certifikační autority objeví nápis „phishing stránka“ a známý to červený štít z Firewallu ve Windows XP SP2

Druhý případ, tedy stránku, jíž nelze zcela bezmezně důvěřovat a která je podezřelá z „nekalých“ aktivit bude prezentovat žlutá barva a symbol šítu s vykřičníkem, následovaný nápisem „podezřelá stránka“. Na těchto stránkách se samozřejmě můžete beze strachu pohybovat, ale rozhodně se nedoporučuje na nich zadávat nějaká hesla či další informace citlivé povahy.

Pokud bude vše v pořádku, certifikační autorita nezfalšovaná a platný SSL certifikát, adresní pruh dostane zelenou barvu, symbol zámku bude naznačovat, že spojení je bezpečné a vedle něj se objeví název certifikační autority, získaný právě z použitého SSL certifikátu. Na těchto stránkách se pak můžete zcela bez obav pohybovat (samozřejmě za několika předpokladů, viz dále).

Tak nyní se tedy ještě chvíli zdržme u toho, jak to celé bude implementovat Microsoft. V červenci jsme psali, že prohlížeč bude Microsoftu „hlásit navštívené důvěryhodné stránky“ a při surfování se budete moci rozhodnout, zda chcete důvěryhodnost stránek prověřovat phishing filtrem vůči serveru Microsoftu, který bude informace tohoto charakteru o stránkách shromažďovat. Tím byla tehdy myšlena obecná technologie, prověřující i klasické http stránky, dnes popisovaná https spojení jsou tedy jakousi speciální skupinou, kterou bude prohlížeč samozřejmě hodnotit s větším důrazem právě proto, že při takové spojení většinou zacházejí uživatelé s citlivými daty.

Co se týče phishing filtru v IE a jeho prověřování stránek pomocí speciálního serveru Microsoftu, pak vězte, že společnost oznámila, že uzavřela dohodu s firmami Cyota, Internet Identity a MarkMonitor, které se tak stávají těmi prvními vyvolenými, jež budou pro Microsoft shromažďovat informace o tisících potvrzených phishovacích stránkách. Microsoft bude informace od nich kombinovat s údaji získanými z phishing filtrů od samotných uživatelů Internet Exploreru. Informace této služby tak budou v podstatě updatovány takřka neustále, řekněme v řádu několika aktualizací v průběhu jediné hodiny. To ale nejsou samozřejmě jediné dva způsoby, jakými budou získávány údaje, Microsoft implementuje i heuristické metody automatického učení celého systému. Zmiňované tři firmy pak nebudou jedinými a jedinečnými společnostmi, sbírajícími pro Microsoft informace o phishovacích stránkách. Sami zástupci Microsoftu na blogu o Internet Exploreru říkají, že čím více těchto společností bude, tím lépe. A současně pokud prý o nějaké vhodné firmě víte, neváhejte jim o ní říci.

Pokud tedy chcete phishing filtr vyzkoušet a používat, můžete si jej pod názvem „Phishing Filter Add-in for the MSN Search Toolbar“ (tedy ve formě rozšíření pro MSN Search Toolbar) stáhnout ze stránek Microsoftu a to pokud máte Windows XP s aplikovaným SP2 a nainstalovaným MSN Search Toolbar ve verzi 2.50 či vyšší.

Tak, nyní tedy opusťme Microsoftí phishing filtr a vraťme se zpět k šifrám, https spojením a certifikačním autoritám. SSL verze 2 dle všech zúčastněných na Torontské schůzce již ztrácí dech, takže v Internet Exploreru jej již nenaleznete. v Konqueroru, který bude v KDE 4 také ne, ostatně ve zdrojácích této chystané verze jej již nenaleznete. Tvůrci KDE také pokukují po vyhození 40 a 56bitových šifer, které již také nepovažují za vhodné a chtějí implementovat daleko silnější šifrování, které však neovlivní zpětnou kompatibilitu. K tomu se přidává i snaha posunout se směrem ke 2048bitovým (i více) klíčům, tedy zejména k jejich používání dotlačit certifikační autority. Současně by KDE chtělo pro ně prosadit daleko přísnější pravidla pro udělování certifikátů. Za pomoci certifikačních autorit by měly vznitknout standardy pro udělování certifiátů několika úrovní. Hypoteticky by se pak mohly rozdělit na skupiny typu „standardní certifikát“ a „certifikát s vysokou důvěryhodností“.

Standardní certifikát by se pak používal například pro takové běžné webové obchody, z hlediska bezpečnosti a ověření pravosti by byl zhruba na úrovni dnešních certifikátů. V jeho případě by mělo mít pole s adresou neutrální bílé pozadí (samozřejmě s přítomností nějakého symbolu, poukazujícího na zabezpečené připojení s patříčným, v tomto případě tedy standardním, certifikátem, například dnes používaného visacího zámku). Pro certifikát s vysokou důvěryhodností by pak platila nesrovnatelně přísnější pravidla pro jeho získání (a také o něco vyšší cena za jeho vydání), typickými subjekty, které by jej měly používat mají být banky a podobné instituce. Přesná pravidla, atributy a potřebné administrativní úkony pro získání těchto různých úrovní certifikátů se ještě budou řešit a to nejen mezi tvůrci prohlížečů, ale samozřejmě i ve spolupráci právě s certifikačními autoritami. Nějaké návrhy již ve svém blogu zveřejnil třeba Frank Hecker z Mozilla týmu. Ke všemu, co zmiňují ve svém blogu tvůrci Konqueroru, se hlásí nejen tým kolem Mozilly/Firefoxu ale i vývojáři norské Opery, takže v této oblasti panuje shoda.

Zpátky ale k barevnému odlišení důvěryhodnosti https stránek. George Staikos sám popisuje historii, jak sami indikovali v minulosti zabezpečené https spojení. Dokud prý neviděl Microsoftí barevné rozlišení důvěryhodnosti v Internet Exploreru 7 v akci, byl odpůrcem barevného rozlišování v adresním řádku, zvláště pak pomocí žluté barvy, jak to dnes implementuje Mozilla/Firefox a Opera. Nyní už tedy jeho námitky zmizely a v budoucnosti vidí v KDE 4 Konqueror, který bude umět totéž. To si vyžádá drobné změny v uživatelském rozhraní Konqueroru, praktická implementace barevného rozlišování bude posléze stejná jako v případě IE.

George se také podíval na microsoftí phishing filtr. Doufá, že Microsoft bude v tomto případě otevřený, aby tento systém mohly využívat i další prohlížeče a bylo tak možné pro Konqueror napsat příslušné rozšíření. Rozhodně by to prospělo segmentu webových prohlížečů a přístup Microsoftu a koneckonců i samotná Torontská schůzka dávají naději, že by se tak i mohlo stát. Jinak se dá také s jistou rezervou říci, že co se chystá pro Konqueror, může být i v prohlížeči Safari, neboť oba dva využívají jako srdce prohlížeče stejné jádro KHTML.

Tím bychom tedy měli pro dnešek probrán phishing filtr od Microsoftu i chystané prvky, na kterých se domluvili všichni „velcí vývojáři“. Nyní vás ještě obdaříme informací o tom, co ještě Microsoft do IE7 chystá. Konečně se i jeho uživatelé dočkají toho, že se budou moci za všech okolností u vyskakovacích oken podívat do adresního pole, jakouže adresu to má daný obrázek/stránka. A to i kdyby to například JavaScript generující toto okno implicitně zakázal. Jistě příjemná vychytávka, uživatelé Opery ji však již nejaký ten pátek znají a spokojeně užívají a není problém tuto schopnost naučit i Firefox či Mozillu pomocí některých rozšíření. Zde se tedy nejedná o nějakou invenci redmondského giganta, ale o převzetí prvku, který zpříjemňuje surfování a zvyšuje bezpečnost. Každopádně já osobně i jako uživatel Opery toto velmi vítám.

Celé to dnešní povídání pak zní jako velmi dobrá zpráva. Microsoft si možná na jednu stranu uvědomuje, že již nemá 98 % trhu s prohlížeči a navíc ten jeho je momentálně „nejvíce děravý“. O to více se s tím zjevně snaží něco dělat a je jen dobře, že se všechny týmy stojící za majoritními prohlížeči dokáží posadit k jednomu stolu a domluvit na příslušných aspektech, jež prospějí všem bez ohledu na používaný prohlížeč či operační systém. Rozhodně se tedy můžeme těšit, co přinesou budoucí řady webových prohlížečů jako Internet Explorer 7, Firefox 2, Opera 9 či Konqueror 4.