Padělané TLS certifikáty: jak to vůbec bylo možné

Představte si, že zadáte adresu google.com, prohlížeč vám ukáže zelený zámek a vy si přesto povídáte s hackery. Přesně tenhle scénář se v posledních týdnech přiblížil realitě. Skupina útočníků získala padělané TLS certifikáty pro domény Google a dalších velkých služeb. Zároveň AI agenti z OpenAI zatopili Wikipedii automatickými požadavky. A NVIDIA přitom vychválila svůj doladěný Nemotron, který zvládá úlohy ze světových olympiád v matematice a informatice. Tři zprávy, jeden společný jmenovatel: důvěra v digitální infrastrukturu právě praská ve švech.

Padělané TLS certifikáty: jak to vůbec bylo možné

TLS certifikát je digitální razítko, které říká: „Tento server opravdu patří Googlu, ne někomu, kdo si domény jen podobně pojmenoval." Vydávají je certifikační autority (CA), které mají v prohlížečích zabudovanou důvěru. Problém? CA jsou taky jen firmy. A firmy dělají chyby.

Útočníci v tomto případě zneužili proces ověřování domén. Konkrétně jde o slabinu typu ACME challenge — kdy autorita ověřuje vlastnictví domény přes DNS záznam nebo HTTP požadavek. Pokud útočník dokáže ovládnout DNS, nebo přesvědčit CA, že doménu kontroluje, dostane certifikát pro cizí doménu. Podle zpráv z bezpečnostních komunit šlo o kombinaci sociálního inženýrství a zneužití slabších, méně známých certifikačních autorit — těch, které chtějí na trhu rychle růst a ověřování občas berou na lehkou váhu.

Googlu se naštěstí podařilo padělané certifikáty odvolat a závadné CA dostaly zákaz. Prohlížeče jako Chrome a Firefox je vyřadily ze svých důvěryhodných kořenových certifikátů. Ale otázka zůstává: kolik takových certifikátů ještě visí někde na zapomenutých serverech?

Kolik vás stojí vlastní pořádek v certifikátech

Firemní správa certifikátů není zadarmo. Let's Encrypt je zdarma, ale musíte mít proces obnovy — expirovaný certifikát je klasická hospodářská havárie. Placené certifikáty s EV ověřením stojí od 2 000 do 15 000 Kč ročně. Monitoringu, zda někdo nevydal certifikát pro vaši doménu, se věnuje projekt crt.sh — kontrola je zdarma, stačí zadat doménu. Pokud provozujete firmu, zkontrolujte si ji dnes. Trvá to třicet vteřin.

OpenAI agenti přepadli Wikipedii

Druhá zpráva zní téměř komicky, dokud si neuvědomíte důsledky. AI agenti — automatizované systémy, které samy procházejí weby, vyplňují formuláře a sbírají data — zmapovali nástroje Wikipedie a vytvořili takový provoz, že je totill zaplavili. Mluvíme o statistikách, kdy agenti tvořili výraznou část requestů na některé API endpointy, a správci museli zavádět omezení.

Wikipedie přitom není sama. Podobné vlny automatického provozu hlásí i další veřejné API. Provozovatelé řeší, co s tím: rate limiting podle user-agentu selže, protože agenti se vydávají za běžné prohlížeče. Nástroje jako Cloudflare už proto nasazují detekci botů pomocí důkazů o práci (proof-of-work) a kryptografických podpisů.

Co z toho plyne pro běžného podnikatele? Pokud provozujete web nebo API, počítejte s tím, že vlny AI provozu jsou nová norma. Nastavte si monitoring, logujte anomálie. A pokud sami používáte AI agenty, buďte slušní — respektujte robots.txt a limity, nebo vám nakonec zablokují IP celého cloudu.

Chcete ušetřit na energiích?

Zjistěte, kolik můžete ušetřit sdílením elektřiny z FVE nebo optimalizací bateriového úložiště.

Spočítat úsporu →

Nemotron: jedna rodina modelů, dvě zlatá úrovně

Zatímco hackeři kují pikle, NVIDIA ukázala opačnou stranu síly. Doladěný model z rodiny Nemotron dosáhl výsledků na zlaté úrovni v úlohách inspirovaných Mezinárodní olympiádou v informatice (IOI) i v matematice (IMO). Jde o zajímavý trik: stejná základní architektura, jen odlišné doladění pro různé typy úloh.

Technicky to znamená fine-tuning pomocí LoRA (Low-Rank Adaptation) — metody, kde netrénujete celý model, ale jen malé nízko dimenzionální matice navíc. Výsledek: trénink, který by stál statisíce korun na GPU čase, se vejde do zlomku. LoRA adaptér pro model o velikosti 8B parametrů zvlánete dotrénovat i na jediné RTX 4090 za pár dní. Náklady na elektřinu? Řádově stovky Kč.

Modely jsou dostupné na HuggingFace, kde najdete i open-source varianty Nemotronu. K lokálnímu provozu stačí Ollama — příkaz `ollama pull` a model běží na vašem stroji, bez odesílání dat do cloudu. Pro firmy se zpracovatelnými daty je to cesta, jak využít AI bez smluv s americkými cloudy.

Praktické srovnání přístupů

| Přístup | Cena | Soukromí | Výkon | |---|---|---|---| | API (GPT, Claude) | od 0,15 Kč/1K tokenů | nízké | nejvyšší | | Ollama + open model | jen elektřina | plné | střední | | Vlastní fine-tuning (LoRA) | 5–50 tis. Kč jednorázově | plné | přizpůsobitelné |

Co to všechno znamená pro peněženku a energetiku

Možná si říkáte, co mají padělané certifikáty společného s elektřinou. Víc, než se zdá. Moderní energetika je digitální infrastruktura — chytré sítě, fotovoltaika, baterie, platformy pro obchodování. Každá komunikace mezi střídačem, agregátorem a burzou jde přes TLS. Padělaný certifikát v této vrstvě neznamená krádež hesla, ale možnost manipulovat s daty o výrobě a spotřebě. A ta data mají přímou finanční hodnotu.

Změna ceny elektřiny o haléř na MWh se v agregaci promítá do milionů. Pokud někdo ovládne komunikační kanál mezi desítkami FVE a obchodní platformou, může teoreticky ovlivnit nabídku flexibility. Proto se seriózní platformy, jako je řešení SmartEnergyShare, staví na vlastní [IoT monitoringu](https://smartenergyshare.com/iot-monitoring?utm_source=smartenergyshare-info&utm_medium=referral&utm_campaign=satellite-marketing), kde bezpečnost není příloha, ale základ. Detaily, jaký provoz jde přes platformu a jak se chrání, najdete v sekci [jak to funguje](https://smartenergyshare.com/jak-to-funguje?utm_source=smartenergyshare-info&utm_medium=referral&utm_campaign=satellite-marketing).

Stejně tak obchodování flexibility a služby výkonnostní rovnováhy vyžadují důvěryhodné, šifrované spojení mezi všemi účastníky. Padělaný certifikát v tomhle řetězci je jako padělaná faktura — dokud ji nikdo nezkontroluje, funguje.

Jak se chránit: praktický checklist

Nejdřív ta dobrá zpráva: nemusíte být Google, abyste se ubránili. Základní hygiena pokryje devadesát procent rizik.

Povolte HSTS na všech doménách. Zákaz HTTP fallbacku znemožní downgrade útoky. Jeden řádek v konfiguraci nginx.
Používejte Certificate Transparency logy. crt.sh hlídá nově vydané certifikáty pro vaše domény. Nastavte e-mailové upozornění.
Přijměte DNSSEC. Zabraňuje podvržení DNS záznamů, které je často první krok k získání padělaného certifikátu. U českých registrátorů jde o pár kliků.
Oddělte interní a veřejné komunikace. Pro IoT zařízení (střídače, měřidla) používejte vzájemné TLS (mTLS), kde se prokazuje obě strana.
Logujte a kontrolujte. Anomálie v provozu odhalí kompromitaci dřív, než způsobí škodu.

Pro domácnosti s fotovoltaikou platí jednodušší rada: měňte výchozí hesla střídačů a aktualizujte firmware. Výrobci často nechávají desítky let staré hole v zařízeních, která jsou připojená k internetu. Pokud váš střídač komunikuje s agregátorem, zeptejte se, jaká šifrování používá. Sérioví výrobci najdou informace na stránce pro výrobce FVE.

Predikce: rok 2026 bude rokem AI i bezpečnostních incidentů

Tady je kontroverzní předpověď: padělané certifikáty a zahlcené API jsou jen předzvěst. Jakmile se AI agenti masově rozšíří, automatizované útoky i automatizovaná obrana se vystupňují do podoby, kterou dnes známe jen ze sci-fi. Modely jako Nemotron ukazují, že AI zvládá olympijskou matematiku — stejný mozek zvládne i hledání děr v protokolech.

Firemám, které na digitální infrastruktuře stojí — a to je dnes každá energetická firma — zbývají dvě cesty. Buď investovat do bezpečnosti a vlastních AI nástrojů (open-source, lokální, auditovatelné), nebo čekat, až se stanou statistikou. První varianta stojí desítky tisíc korun. Druhá statistiku znáte: průměrná cena bezpečnostního incidentu u střední firmy se dnes pohybuje v milionech.

Sledujte, jak se mění spotová cena elektřiny i bezpečnostní prostředí. Oba trendy spolu souvisí víc, než si kdo připouští. Další analytické pohledy na AI a energetiku nabízí ElectricShare.cz, legislativní souvislosti pak sdilenienergie.info. Zaregistrovat se můžete na smartenergyshare.com/registrace — lepší být v systému předem, než volat hasiče, když hoří.

Zdroje

Obchodujete s batteriovými úložišti nebo hledáte partnera pro flexibilitu a day trading elektřiny? SmartEnergyShare nabízí kompletní řešení pro BESS projekty od 50 do 250 kW — obchodování flexibility, SVR služby a IoT monitoring. Zjistěte víc →

Další články na toto téma najdete na: RPSavings.cz Co je LFM2.5-2.6B a proč to není další ChatGPT klon Vice o byd launches