Den lille hengelåsen i adressefeltet er noe de fleste har lært å se etter, uten nødvendigvis å vite hva den betyr. Du har sikkert hørt at man skal «se etter hengelåsen» før man taster inn noe sensitivt, men få stopper opp og tenker gjennom nøyaktig hva det lille symbolet faktisk garanterer.
Den forseglede konvolutten
Hengelåsen betyr at forbindelsen mellom deg og nettsiden er kryptert, altså at informasjonen som sendes fram og tilbake er låst ned underveis slik at bare avsender og mottaker kan lese den. Det er forskjellen på å sende et brev i en forseglet konvolutt kontra å skrive samme melding på et åpent postkort.
Tenk deg at du skal sende noe fortrolig, kanskje et passord skrevet ned på papir. Skriver du det på et åpent postkort, kan i prinsippet hvem som helst som håndterer forsendelsen underveis, postbud, sorteringspersonell, eller noen som får tak i postkortet på annen måte, lese akkurat det du skrev. Legger du derimot samme melding i en forseglet konvolutt, kan bare den som til slutt åpner konvolutten faktisk lese innholdet, selv om brevet passerer gjennom mange hender på veien dit.
Hvordan krypteringen faktisk fungerer
Denne krypteringen kalles HTTPS, og vises som «https://» foran adressen i stedet for bare «http://». Bokstaven S står for secure, altså sikker, og indikerer at akkurat denne forbindelsen bruker kryptering. Bak kulissene skjer dette gjennom en matematisk prosess der nettleseren din og serveren blir enige om en hemmelig kode, kjent bare for de to partene, som brukes til å låse og låse opp all informasjonen som sendes gjennom hele besøket.
Denne prosessen skjer momentant, i løpet av brøkdelen av et sekund, hver eneste gang du kobler til en nettside som bruker HTTPS. Du merker ingenting av selve krypteringsprosessen, bare det lille hengelåssymbolet som dukker opp for å bekrefte at den har funnet sted.
Hva krypteringen faktisk beskytter, og hva den ikke gjør
Det er viktig å forstå nøyaktig hva denne forseglingen beskytter deg mot. Den hindrer noen fra å avlytte eller endre informasjonen mens den er underveis mellom deg og nettsiden, som noen som sitter på samme offentlige wifi-nettverk og prøver å snappe opp passordet ditt idet du skriver det inn. Dette er en reell og viktig beskyttelse, spesielt på ubeskyttede offentlige nettverk der andre potensielt kan lytte på trafikken som flyter forbi.
Det den derimot ikke sier noe om, er hvem som faktisk sitter i den andre enden og mottar konvolutten. En helt uskyldig og ærlig nettbutikk bruker HTTPS. Dessverre kan også en fullstendig svindelaktig nettbutikk bruke akkurat den samme krypteringen. Forseglingen sikrer bare at ingen kan snoke i konvolutten underveis, ikke at avsenderen på den andre siden faktisk er den de utgir seg for å være.
Hvorfor så å si alle nettsteder bruker det i dag
Tidligere var HTTPS først og fremst forbeholdt nettbanker og nettbutikker som håndterte spesielt sensitiv informasjon, mens vanlige informasjonssider ofte klarte seg med den enklere, ukrypterte varianten. I dag har situasjonen endret seg fullstendig. Nesten alle nettsteder bruker HTTPS som standard, delvis fordi kryptering har blitt enklere og billigere å sette opp, og delvis fordi nettlesere selv nå aktivt advarer besøkende om at en side er «ikke sikker» dersom den mangler kryptering, selv om siden bare inneholder helt harmløst, offentlig innhold.
Denne endringen har gjort selve hengelåsen mindre nyttig som et signal om spesiell tillit, siden nesten alt nå har den, inkludert nettsteder som ellers ikke fortjener tilliten din i det hele tatt.
Hvordan varselet ser ut i praksis
De fleste moderne nettlesere viser i dag et tydelig varsel dersom en side mangler kryptering, ofte ordet «ikke sikker» plassert rett ved siden av adressen, noen ganger med en rød farge for å trekke oppmerksomheten din ytterligere. Dette er nettleserens egen måte å aktivt flagge risikoen for deg, i stedet for å la deg selv oppdage fraværet av hengelåsen på egen hånd.
Skulle du en sjelden gang se dette varselet på en side der du vurderer å skrive inn noe sensitivt, er det verdt å ta det på alvor. Det er nettleserens versjon av å si høyt: «denne konvolutten er ikke forseglet, tenk deg om før du legger noe verdifullt oppi den».
Hvorfor er dette nyttig å vite
Skal du skrive inn passord eller kortinformasjon, bør du alltid sjekke at hengelåsen faktisk er der først. Mangler den helt, sender du i praksis informasjonen din på et åpent postkort, synlig for hvem som helst som måtte snoke underveis, en risiko det sjelden er noen grunn til å ta med moderne nettsider.
Husk likevel at hengelåsen alene aldri er nok til å bekrefte at en nettside faktisk fortjener tilliten din. Den forteller deg bare at konvolutten er forseglet, ikke at avsenderen på innsiden er ærlig. For det trengs andre, separate vurderinger, som du gjør best ved å se på nettstedet som helhet, ikke bare på det ene, lille symbolet i adressefeltet.