Sikkerhed på nettet

I et tidligere modul så vi at HTTPS krypterer forbindelsen mellem din browser og en server. Men hvordan ved din browser at den taler med den rigtige server — og ikke en svindler der udgiver sig for at være din bank? Svaret er et SSL-certifikat.

Et SSL-certifikat er en slags digital legitimation udstedt af en betroet tredjepart. Det beviser to ting: at domænet er ægte, og det indeholder de nøgler der gør krypteringen mulig. Når din browser åbner en side, tjekker den certifikatet — er det gyldigt og udstedt til netop dette domæne, dukker hængelåsen op.

Et certifikat har en udløbsdato og skal fornyes. Udløber det, viser browseren en skræmmende advarsel — 'din forbindelse er ikke privat' — selvom siden ellers er helt fin. Det er derfor udløbne certifikater er en klassisk grund til at et site pludselig holder op med at virke.

To begreber der ofte forveksles, men som løser hver sin opgave. En firewall er et filter: den bestemmer hvilken netværkstrafik der må komme ind og ud, ud fra et sæt regler. Tænk på den som en dørmand der kun lukker den rigtige trafik igennem og afviser resten.

En VPN (Virtual Private Network) gør noget andet: den skaber en krypteret tunnel mellem din enhed og en server, så din trafik er privat og ser ud til at komme fra et andet sted. Din rigtige IP-adresse — den talrække der identificerer din forbindelse — skjules bag VPN-serverens.

Derfor bruges de to til forskellige ting. En virksomhed sætter en firewall op for at beskytte sine systemer mod uønsket trafik. En medarbejder bruger en VPN for at tilgå firmaets netværk sikkert hjemmefra — eller for at holde sin færden privat på et offentligt WiFi.

Internettet glemmer dig mellem hvert klik — hver forespørgsel er i princippet som at møde siden for første gang. En cookie løser det: en lille tekstbid som siden gemmer i din browser, så den kan genkende dig næste gang. Det er en cookie der holder dig logget ind og husker din indkøbskurv.

Men cookies har to ansigter. Funktionelle cookies får siden til at virke — login, sprogvalg, kurv. Sporingscookies gør noget andet: de følger dig på tværs af hjemmesider for at opbygge en profil til annoncer. Det er dem cookie-bannerne handler om.

Det er derfor du efter EU's regler skal give samtykke før sporingscookies sættes — funktionelle cookies må sættes uden, men sporing kræver et aktivt ja. Næste gang du ser et cookie-banner, ved du hvad der står på spil: hvem der må huske dig, og hvem der må følge dig.

Mange tjenester kræver en API-nøgle: en hemmelig kode der beviser at netop din app har lov til at bruge dem. Nøglen er som et password — den der har den, kan handle i dit navn og på din regning.

Den vigtigste regel om API-nøgler: skriv dem aldrig direkte ind i koden — især ikke i et offentligt repository. Bots scanner konstant offentlig kode for nøgler, og en lækket nøgle bliver typisk fundet og misbrugt hurtigt. Resultatet kan være en stor regning eller et kompromitteret system.

Løsningen er en miljøvariabel: en indstilling der lever uden for koden og indlæses når programmet kører. Nøglen står ét sikkert sted — ikke spredt ud i kildekoden — og kan være forskellig på din egen computer og på den live server. Det er sådan professionelle holder hemmeligheder ude af koden.