Cleartext (pol. tekst jawny) to każda wiadomość lub dane przedstawione w postaci bezpośrednio zrozumiałej — dla człowieka lub maszyny — bez konieczności odszyfrowania. W kontekście telekomunikacji termin ten oznacza zwykle dane przesyłane lub przechowywane bez ochrony kryptograficznej. Równoważne określenia to m.in. "in clear", "en clair" i "in the clear".

Różnica między "tekstem jawnym" a "plaintext"

Pojęcia "tekst jawny" i "plaintext" są bliskoznaczne, ale w praktyce bywa drobna rozróżnienie. Formalnie tekst prosty (plaintext) to dane wejściowe dla procesu szyfrowania, natomiast tekst szyfrujący (ciphertext) to wynik tego procesu. Z kolei cleartext podkreśla aspekt braku zabezpieczenia — czyli że dane nie są szyfrowane. Tekst jawny może jednocześnie być skompresowany lub zakodowany (np. Base64) i wciąż stanowić cleartext, ponieważ bez klucza kryptograficznego jest łatwo odczytywalny.

Przykłady i niedokładności w użyciu pojęć

Często pojęcia miesza się w mowie potocznej. Dla jasności:

  • Można mówić o "cleartext" nawet wtedy, gdy dane są w formacie maszynowym (np. nieszyfrowany JSON) — nadal są one niechronione.
  • Natomiast "tekst zaszyfrowany" zawsze wymaga klucza lub procesu odszyfrowania, by przywrócić oryginalną treść.

Przesyłanie danych przez sieć — gdzie pojawia się ryzyko

Witryny korzystające z protokołu HTTP (czyli bez warstwy szyfrującej TLS) przesyłają dane w formacie cleartext: wszelkie wartości formularzy, nazwy użytkowników i hasła mogą być odczytane przez osoby lub urządzenia, które mają dostęp do ścieżki transmisji — np. routery, komputery, elementy infrastruktury telekomunikacyjnej czy transmisje bezprzewodowe itd. To umożliwia podsłuch (eavesdropping) oraz ataki typu man-in-the-middle (MITM).

Dlaczego cleartext jest niebezpieczny

Główne zagrożenia związane z przesyłaniem lub przechowywaniem danych w formie cleartext:

  • Podsłuch — osoby trzecie mogą odczytać przesyłane dane na publicznych sieciach (np. w kawiarni) lub na kompromitowanych urządzeniach pośredniczących.
  • Przechwycenie poświadczeń — login i hasło wysłane bez szyfrowania mogą zostać użyte do przejęcia konta.
  • Logowanie i kopie zapasowe — cleartext może trafić do logów serwera, kopii zapasowych lub systemów monitorowania, co zwiększa zasięg wycieku.
  • Ataki replay — niezaszyfrowane dane przesyłane wielokrotnie mogą zostać powtórzone przez atakującego.
  • Ujawnienie wrażliwych danych — numery kart, dane osobowe, tokeny API itp. mogą zostać przechwycone i wykorzystane do oszustw.

Przykłady realnych konsekwencji

Następstwa przesyłania lub przechowywania cleartext mogą obejmować: kradzież kont e‑mail, dostęp do systemów firmowych, nadużycia płatnicze, utratę reputacji organizacji oraz kary prawne przy naruszeniu przepisów o ochronie danych osobowych.

Jak się chronić — dobre praktyki

Rekomendowane środki dla użytkowników:

  • Korzyść z witryn korzystających z HTTPS (TLS) — sprawdzaj, czy adres zaczyna się od https:// i czy przeglądarka nie zgłasza problemów z certyfikatem.
  • Unikaj logowania w publicznych sieciach Wi‑Fi bez VPN.
  • Korzystaj z menedżera haseł i dwuetapowej weryfikacji (MFA), by ograniczyć skutki kompromitacji hasła.

Rekomendowane środki dla twórców i administratorów systemów:

  • Zawsze używaj TLS (HTTPS) do ochrony transmisji; egzekwuj moderną konfigurację i bezpieczne zestawy szyfrów.
  • Nie przechowuj haseł w formie cleartext — stosuj sprawdzone funkcje skrótu z soleniem (np. bcrypt, Argon2).
  • Szyfruj dane w stanie spoczynku (encryption at rest) tam, gdzie występują dane wrażliwe.
  • Unikaj umieszczania wrażliwych danych w logach, URL-ach lub cookie bez odpowiedniego zabezpieczenia.
  • Zastosuj HSTS, mechanizmy CSP i odpowiednie nagłówki bezpieczeństwa oraz walidację i odświeżanie certyfikatów.
  • Stosuj zasadę najmniejszych uprawnień i bezpieczne zarządzanie kluczami kryptograficznymi.

Podsumowanie

Cleartext to nienieszyfrowane dane, które łatwo odczytać i dlatego stanowią istotne ryzyko dla prywatności i bezpieczeństwa. Ochrona transmisji i przechowywania danych za pomocą sprawdzonych mechanizmów kryptograficznych (TLS, szyfrowanie danych, bezpieczne hashowanie) oraz dobre praktyki użytkowników i administratorów znacząco redukują ryzyko wycieku i nadużyć.