Jasný text (plaintext): nešifrované údaje – definícia a riziká

Jasný text (plaintext): čo sú nešifrované údaje, prečo sú rizikové a ako HTTPS a šifrovanie chránia pred únikom hesiel a citlivých informácií.

V telekomunikáciách je jasný text (angl. cleartext alebo plaintext v bežnom význame) forma správy alebo údajov, ktorá je vo forme okamžite zrozumiteľnej pre človeka bez ďalšieho spracovania. Znamená to najmä, že táto správa je odoslaná alebo uložená bez kryptografickej ochrany. Výrazy "in clear", "en clair" a "in the clear" sú synonymá pre tento pojem.

Rozdiel medzi jasným textom a otvoreným textom

Pojem jasný text je blízky, ale nie úplne totožný s pojmom "čistý text" alebo otvorený text. Formálne je otvorený text informácia, ktorá sa vkladá ako vstup do procesu kódovania alebo šifrovania, zatiaľ čo šifrový text je to, čo z tohto procesu vychádza. Otvorený text môže byť komprimovaný, zakódovaný (napr. Base64) alebo inak transformovaný predtým, ako sa prevedie na šifrový text, takže je bežné nájsť otvorený text, ktorý nie je priamo ľahko čitateľný a teda nie vždy ide o jasný text v zmysle ľudského čitateľného obsahu.

Riziká posielania a ukladania údajov v jasnom texte

Údaje prenášané alebo uložené v jasnom texte sú zraniteľné voči niekoľkým typom útokov a zneužitiu:

• Odpočúvanie (eavesdropping): Ktokoľvek s prístupom k prenosovému médiu (smerovače, počítače, telekomunikačné zariadenia, bezdrôtové prenosy) môže zachytiť a prečítať údaje vrátane používateľských mien, hesiel a citlivých informácií.
• Man-in-the-middle (MitM): Útočník umiestnený medzi odosielateľom a príjemcom môže zmeniť alebo vložiť svoje vlastné správy bez toho, aby to obe strany zaregistrovali.
• Úniky z logov a záloh: Aplikácie a servery často zapisujú nezabezpečené údaje do logov alebo záloh; to vedie k dlhodobému úniku citlivých informácií.
• Vnútorné zneužitie: Zamestnanec alebo dodávateľ s prístupom k systémom môže získať údaje ľahšie, ak sú uložené v jasnom texte.
• Právne a reputačné riziká: Únik osobných údajov môže viesť k pokutám podľa zákonov (napr. GDPR) a k strate dôvery zákazníkov.

Bežné príklady protokolov a situácií s jasným textom

• Weby používajúce nezabezpečený protokol HTTP odosielajú údaje v jasnom texte — všetky poskytnuté dáta (vrátane používateľských mien a hesiel) sa z počítača používateľa odosielajú cez internet bez šifrovania.
• Staré alebo neštandardné protokoly ako FTP, Telnet, SMTP/IMAP/POP3 bez STARTTLS, SNMP v1 atď. prenášajú údaje v jasnom texte.
• Ukladanie hesiel, API kľúčov alebo tokenov priamo v kóde, konfiguračných súboroch alebo databázach bez šifrovania.

Ako minimalizovať riziká — odporúčané postupy

Tu sú praktické odporúčania pre používateľov, vývojárov a správcov systémov:

• Pre používateľov: Používajte weby a služby s HTTPS (platný certifikát). Vyhýbajte sa verejným Wi‑Fi sieťam bez VPN. Neposielajte citlivé údaje prostredníctvom nezabezpečených kanálov.
• Pre webových vývojárov a administrátorov:
  • Vynúťte HTTPS a zapnite HSTS. Podporujte moderné verzie TLS (TLS 1.2/1.3) a bezpečné šifrovacie sady.
  • Nikdy neukladajte heslá v jasnom texte — používajte odolné hašovacie funkcie s per‑user salt (napr. bcrypt, scrypt, Argon2).
  • Šifrujte citlivé údaje v pokoji (encryption at rest) a pri zálohovaní; použite overené algoritmy (napr. AES‑GCM) a bezpečné manažovanie hlúčov kľúčov (HSM, KMS).
  • Redukujte ukladanie citlivých údajov v logoch; implementujte redakciu (maskovanie) a zabezpečte prístup k logom.
  • Používajte bezpečné mechanizmy na správu tajomstiev (secret managers), vyhybajte sa vkladaniu tajomstiev do repozitárov zdrojového kódu.
  • Implementujte overovanie integritu a autentifikáciu správ (digitálne podpisy, MAC), aby zmeny v prenose boli detekovateľné.
  • Rotujte kľúče a heslá pravidelne a majte plán reakcie na incidenty.

Dopad a konkrétne hrozby

Údaje posielané v jasnom texte môžu viesť k:

• Okamžitému odcudzeniu prihlasovacích údajov a následnému neoprávnenému prístupu.
• Únikom finančných informácií, osobných identifikačných údajov (PII) alebo zdravotných údajov.
• Reťazovým útokom (použitie ukradnutých údajov na prístup do iných služieb, ak používatelia opakovane používajú rovnaké heslá).

Dodržiavanie predpisov a audit

Mnohé odvetvia a regióny vyžadujú ochranu citlivých údajov (napr. GDPR v Európskej únii, PCI DSS pre platobné karty). Organizácie by mali vykonávať pravidelné audity konfigurácií TLS, kontrolu logov, penetračné testy a hodnotenie rizík, aby zabezpečili, že žiadne kritické údaje nie sú ukladné alebo prenášané v jasnom texte.

Zhrnutie

Jasný text znamená informácie bez kryptografickej ochrany — ľahko čitateľné a zraniteľné. Rozdiel medzi jasným textom a otvoreným textom spočíva v tom, že otvorený text je vstupom do kódovania/šifrovania, kým jasný text zdôrazňuje absenciu šifrovania pri prenose alebo uložení. Riziká sú reálne a vážne, ale dajú sa efektívne minimalizovať nasadením moderných šifrovacích protokolov, správnych postupov pri ukladní a správy kľúčov, redakcii logov a dôsledným bezpečnostným manažmentom.

Otázky a odpovede

Otázka: Čo je to čistý text?

Otázka: Čo znamená pojem "in clear"?

Otázka: Ako sa odlišuje otvorený text od jasného textu?

Otázka: Môže sa otvorený text líšiť od jasného textu?

Otázka: Aký typ komunikačného režimu odosiela údaje v otvorenom texte?

Otázka: Aký typ údajov je zraniteľný, keď sa prenáša pomocou otvoreného textu?

Otázka: Aké riziko predstavuje používanie čistého textu na prenos citlivých informácií?

Hľadajte podľa písmena