Kde je v Česku e-bezpečno

V současném světě informačních technologií je internetové zabezpečení stále důležitější. Přesto přes 30 % webových stránek státních institucí nefunguje ani na protokolu HTTPS, který je tím nejzákladnějším stupněm zabezpečení, a stejně je na tom hned pět ze čtrnácti ministerstev. Ještě hůře jsou na tom oficiální stránky obcí, které na nezabezpečeném protokolu umožňují nešifrovanou komunikaci ve 48 % případů. Nejlépe zabezpečené jsou naopak podle průzkumu Česka v datech weby vysokých škol.

Kybernetické zabezpečení je často zmiňovaným tématem, pro mnohé ale zůstává španělskou vesnicí. Přestože se otázka bezpečnosti na internetu stává stále závažnější, velká část Česka ji vůbec neřeší, a to ani na základní úrovni. V novém článku jsme se proto zaměřili nejen na zabezpečení webů státních institucí a obcí, nemocnic či škol, ale i na to, co při útocích hrozí a jak se jim bránit.

Jak se bránit „slídilům”?

Existují různé druhy zabezpečení, které mohou všichni provozovatelé internetových stránek využívat, tím nejzákladnějším je ale protokol HTTPS. Ten je obdobou původního HTTP, oproti kterému ale nabízí ještě základní úroveň šifrování, která hackerům zabraňuje sledovat aktivitu uživatelů těchto stránek. Pokud totiž stránky šifrovaný protokol nevyužívají, je velmi snadné získat data, která zde jejich návštěvníci vyplňují. To se týká všech formulářů na stránce včetně přihlašovacích údajů. Uživatelé by se měli pro jistotu vyhnout všem stránkám, které HTTPS nemají, a pokud je skutečně potřebují využít, rozhodně by v nich neměli vyplňovat žádné údaje. Mohly by totiž být velmi snadno zneužity.

Jakmile vás někdo na takové stránce začne sledovat, může o vás zjistit celou řadu citlivých informací, které jste na daný web vyplnili. Hackeři tak mohou získat nejen přístup k vašemu jménu, ale i heslu (proto je nejlepší nevyužívat všude stejné heslo), adrese, a v těch nejnebezpečnějších případech i k číslu občanského průkazu či informacím z platební karty. Vyhýbat bychom se proto měli i nezabezpečeným e-shopům.

Lepší zabezpečení = lepší výsledky

Zabezpečení webů je dobré nejen pro uživatele, kteří tak mohou lépe chránit svá data, ale i  pro provozovatele, jejichž zabezpečené weby mají vyšší šanci, že se k jejich produktům dostanou koncoví zákazníci. Společnost Google od roku 2014 oficiálně preferuje stránky využívající protokol HTTPS, a ty se proto při vyhledávání umisťují výše než stránky nezabezpečené. Na konečné pozici ve vyhledávání se podílí i další faktory, ale zabezpečenost webu rozhodně skóre stránek vylepšuje.

I samotné internetové prohlížeče na nezabezpečené stránky upozorňují. Google Chrome a Opera zobrazují u příkazového řádku výstražný text „Nezabezpečeno” a Mozilla Firefox, Internet Explorer, Microsoft Edge a Safari vedle něj umisťují ikonku odemčeného zámečku. V případě zabezpečených stránek je u většiny adresních řádků v prohlížečích ikona zamčeného zámku.

Sám Google si vede statistiky o webech, které skrze jeho služby (vyhledávač, Google Chrome) využívají šifrovaný protokol. Od roku 2014, kdy takových stránek bylo pouze 48 %, se do začátku února 2019 stav zlepšil až na 94 %. V českém prostředí je však situace této základní úrovně zabezpečení, která ročně stojí jen několik desítek korun, mnohem horší.

Obce v bezpečnostním drobnohledu

Z vlastní analýzy Česka v datech vyplývá, že mezi weby českých obcí převažují ty zabezpečené, vítězství je to ale velmi těsné. Zabezpečené weby má 50,7 % českých obcí oproti 48,2 % nezabezpečeným. Zbylé 1,1 % patří obcím, u kterých se jejich protokolové zabezpečení nepodařilo v rámci analýzy zjistit.

Nejlepšího výsledku z hlediska websecurity dosáhl Olomoucký kraj, ve kterém je 58 % internetových stránek obcí zabezpečeno protokolem HTTPS. Naopak nejmenší podíl zabezpečenosti měla (vyjma územně specifického hlavního města Prahy) Vysočina, kde se dají webové stránky obcí za bezpečné považovat pouze v 39 % případů.

Situace krajských měst je vesměs pozitivní. Deset ze třinácti své weby provozuje na protokolu HTTPS. Ten nevyužívá jen Olomouc, Zlín, a poměrně překvapivě ani Praha. Ne všechny weby nezbytně vyžadují šifrovaný protokol, ale vzhledem k nízké ceně a snadné implementaci je to přinejmenším jistým standardem profesionality. Krajská města by tak měla jít příkladem a v případě hlavního města České republiky by to mělo platit dvojnásob. Šifrování navíc využívají všechna hlavní města našich sousedů.

Státní instituce v hledáčku hackerů

Na webech obcí toho se vyjma kontaktních formulářů nekalými způsoby mnoho vysledovat nedá. Ani jedno z krajských měst, která nesplňují předpoklady zabezpečeného webu, nenabízí uživatelům možnost registrace a následného přihlášení. Situace státních institucí je však o poznání komplikovanější. Jejich webové stránky jsou poměrně často pod útokem hackerů, kteří se web snaží buď přehltit informacemi a následně takzvaně „shodit”, nebo z něj získat citlivé informace.

V případě 82 testovaných státních institucí je poměr webové zabezpečenosti o poznání lepší než u obcí, ale stále je velký prostor ke zlepšení. Téměř 66 % z nich se dá považovat za zabezpečené, přes 30 % využívá pouze protokol HTTP a u necelých 4 % došlo při zkoumání k chybě (testovací program nebyl schopen určit míru zabezpečení často z důvodu špatně uvedené adresy v oficiálních dokumentech). Mezi čtrnácti ministerstvy funguje devět úřadů na bezpečných stránkách a pět z nich své internetové portály provozuje na nezabezpečených doménách.

Miroslav Kvapil, generální ředitel společnosti Servodata

Kvůli důležitosti státních organizací jsme se na zabezpečení jejich stránek podívali ještě podrobněji. Zajímalo nás nejen to, zda jsou tyto webové stránky provozovány na protokolu HTTPS, ale i to, zda jsou zabezpečené proti dalším formám útoků, jako je heartbleed, downgrade, CCS Injection nebo takzvaný ROBOT attack.

Nejlépe dopadl test na takzvaný heartbleed, který umožňuje hackerům získávat skrytá data, a hack zvaný CCS Injection, který stránkám a jejich uživatelům vnucuje slabé klíčování. Ze čtyřiadvaceti zkoumaných institucí nebyla těmto útokům otevřená ani jediná webová stránka. Jediný web byl náchylný takzvanému „ROBOT” útoku, kterým útočník může prolomit TLS ochranu. O poznání hůře dopadlo zkoumání takzvaných downgrade útoků, které stránkám a uživatelům skrze OpenSSL neumožňují využívat nejbezpečnější formy zabezpečení, ale odkazují je na předešlé zranitelnější verze. Proti downgradu obstálo pouze šest institucí.

Vysoké školy jako nejlépe zabezpečené instituce

U vysokých škol je otázka websecurity optimističtější než u ostatních institucí. Z 63 zkoumaných univerzit a akademií využívá HTTPS více než 76 %. Přesto se e-mailové adresy studentů a učitelů těchto institucí velmi často stávají oběťmi hackerských útoků. Ve většině případů jde však o takzvaný phishing, který z uživatelů internetu vymáhá přístupové údaje jiným způsobem. Uživatelům přijde email, který se tváří jako oficiální zpráva od příslušné instituce a který adresáty vybízí ke kliknutí na odkaz, kde si mají z bezpečnostních důvodů změnit heslo.

Samotné přesměrování může mířit na nebezpečný web, či na stránku, která se opět podobá té oficiální. Vyplněním svých současných přístupových údajů pro domnělou změnu hesla uživatelé útočníkům nevědomky sami poskytují přístup k celému svému profilu uloženému na stránkách. Útočníci pak mají na stránkách stejná práva jako původní uživatelé.

A co děti? Mají se proč bát?

Když už jsme zmínili vysoké školy, měli bychom se věnovat i školám nižších stupňů. Průzkum těchto vzdělávacích zařízení byl nejchybovější, skutečný stav se nepodařilo zjistit u 16,6 % webů. Z našeho průzkumu téměř pěti a půl tisícovek webů však vzešlo, že se zabezpečenost stránek škol všech stupňů regionálního školství pohybuje pouze na 42,3 %. Zabezpečené weby nad těmi nezabezpečenými převažují jen o 1,1 procentního bodu.

Nejlépe dopadl Plzeňský kraj, kde se zabezpečenými stránkami může chlubit 47,8 % škol. Naopak nejhoršího výsledku dosáhly školy na Zlínsku, kde mají zabezpečených pouze 38 % školních webů. Z okresů je na tom nejlépe Plzeň-město (64,5 %), Kladno (60 %) a Karlovy Vary, kde je zabezpečených 58,3 % škol.

Bezpečná léčba

Posledními institucemi, jejichž internetové zabezpečení jsme v rámci Česka v datech zkoumali, byly nemocnice, které jsou zabezpečené v 49,4 % případů. Chybovou hlášku jsme obdrželi jen v 7,6 % případů. V případě nemocnic jsme však při testování narazili ještě na jeden problém. Ačkoliv některé z nich mají vlastní stránky zabezpečené, mohou nabízet odkaz na e-shopy se službami, léky a dalším zbožím, které už bezpečné být nemusí.