KWALIFIKACJA PGF4 - WRZESIEŃ 2014

W module zamawiania i opłacania kluczowe jest, aby dane wpisywane przez klienta (np. dane logowania, adres, dane płatnicze) były chronione podczas przesyłania między przeglądarką a serwerem. Taką ochronę zapewnia zastosowanie szyfrowania warstwy transportowej, czyli połączenia realizowanego jako HTTPS (HTTP zestawione na kanale TLS).

Odpowiedź "Mechanizmy szyfrowania SSL i TLS." wskazuje właściwy kierunek: to właśnie protokół TLS (historycznie kojarzony także z nazwą SSL) zapewnia:

• poufność – osoby trzecie nie odczytają treści przesyłanych formularzy, ciasteczek sesyjnych ani tokenów,
• integralność – trudniej o niezauważoną modyfikację danych w tranzycie (np. podmianę numeru konta lub treści zamówienia),
• uwierzytelnienie serwera – przeglądarka weryfikuje certyfikat, co ogranicza ryzyko podszycia się pod sklep.

Pozostałe propozycje nie spełniają celu pytania:

• "Kwalifikowany podpis cyfrowy." służy głównie do potwierdzania tożsamości i podpisywania dokumentów/operacji, a nie do automatycznego szyfrowania całej komunikacji HTTP pomiędzy klientem i serwerem sklepu.
• "Szyfrowanie PGP." jest typowo stosowane do szyfrowania wiadomości/plików (np. e-mail), a nie jako mechanizm zestawiania bezpiecznego kanału dla stron WWW i formularzy zakupowych w przeglądarce.
• "Hasło przesłane klientowi automatycznie generowanym e-mailem." nie zabezpiecza transmisji HTTP. Co więcej, wysyłanie haseł e-mailem jest ryzykowne (przechwycenie, przechowywanie w skrzynce, brak kontroli nad kanałem), a bezpieczeństwo połączenia nadal zależy od użycia szyfrowanego kanału między przeglądarką a serwerem.

W praktyce egzaminacyjnej warto zapamiętać: gdy pytanie dotyczy ochrony danych w trakcie przesyłania w serwisie WWW, właściwą odpowiedzią jest zastosowanie szyfrowanego połączenia opartego o TLS (czyli HTTPS) oraz poprawnej konfiguracji certyfikatu po stronie serwera.