Hlavní navigace

Zaručený elektronický podpis má bezpečnostní mezery

9. 9. 2013
Doba čtení: 6 minut

Sdílet

Zneužít zaručený elektronický podpis není složité. Podvodníkem i uživatelem. Důležité je přiznání, že současné operační systémy nejsou dokonalé a podvodníci nad nimi mohou získat kontrolu, aniž by uživatel něco zanedbal.

Pohledů na elektronický podpis se nabízí celá řada. Velmi často ale diskuse sklouzávají k oblastem jako je certifikační autorita (CA), vydávání certifikátu, kvalita šifrování, atd. Ve skutečnosti jsou to oblasti, které jsou jasné, srozumitelné a mnohokrát z různých stran otestované a sledované. Jenže elektronický podpis je systém, který je používán v určitém prostředí a do kterého patří i počítač uživatele. Na to se musí myslet a s tím se musí v případě použití elektronického podpisu pro B2B (B2C) aplikace počítat, a dvojnásob důležité je to v případě zaručeného elektronického podpisu určeného pro komunikaci se státní správou.

Většina „odborníků“ a podporovatelů zaručeného elektronického podpisu se hovorům o vlivu prostředí uživatelských počítačů a dopadů na podpis úmyslně vyhýbala a vyhýbá. Důvod je jasný, protože by museli přiznat, že je jednodušší uhlídat pytel blech než uživatelský počítač nebo síť. Rozhodně to není způsobeno pouze uživateli, kteří jsou prý lajdáci a na počítače si nainstalují vše, co zkopírují z internetu. Možná. Je zde ještě jedna skutečnost, a ta je daleko vážnější než hyperaktivní uživatel.

Jsou závažnější problémy než hyperaktivní uživatel

Jedná se o zjištění antivirových společnosti Kaspersky Labs, Trend nebo Symantec, které v posledních letech přicházejí s upozorněním, že objevily různé sofistikované viry. Jednou to byl RedOctober, Gaus a předtím například Flame. Tyto viry měly jedno společné, existovaly a fungovaly v síti internet a na počítačích uživatelů několik let, aniž by si jich všimli uživatelé nebo bezpečnostní firmy. To vlastně znamená, že uživatel nemusí nic zanedbat a stejně se může do jeho počítače dostat virus a okopírovat nebo jinak zneužít privátní klíč a digitální certifikát (navázat spojení s čipovou kartou, atd.). Podle současných pravidel není možné s odstupem času zjistit, zda byl uživatel lajdák a něco zanedbal, nebo se do jeho počítače dostal sofistikovaný virus, který obešel zabezpečení uživatelského počítače, provedl připravenou operaci a pak se sám odinstaloval. Takový popis činnosti viru není žádné sci-fi, takové viry již byly zachyceny a popsány.

Naivka by mohl tvrdit, že viry RedOctober, Flame, Stuxnet byly pouze výjimky a žádný další takový virus se neobjeví. Jenže na jedné straně zde máme děravé Windows. Mimochodem z 57 slabin zveřejněných ve Windows 8 od počátku roku 2013 bylo celých 54 společných se starými XPéčkami. Na druhé straně stojí sice novější, ale nevyzrálé operační systémy pro chytré telefony a tablety, které se snaží obchodníci rychle uvést na trh. Obě varianty jsou, z pohledu bezpečnosti a důvěryhodného prostředí pro tvorbu zaručeného elektronického podpisu, nebezpečné.

Snadné zneužití bez povšimnutí držitele podpisu

Použití elektronického podpisu v B2B prostředí a ve státní správě má mnoho odlišností. Jednou z hlavních je rychlost zjištění zneužitého podpisu. V případě internetbankingu zjistí klient neznámou transakci nejpozději druhý den na svém výpisu z účtu. Podobně rychlé je to i v případě zfalšované objednávky, faktury nebo jiného obchodního dokumentu.

V případě eGovernmentu není nic, co by bylo podobné výpisu z účtu v internetbankingu, kde by občan mohl rychle zjistit podezřelou komunikaci.  Zfalšovaný zaručený elektronický podpis se může „objevit“ až s odstupem několika týdnů nebo dokonce měsíců. Samozřejmě, že se neobjeví jen tak z ničeho nic. Dokument s podpisem byl systémem státního úřadu v pořádku přijat, byla zkontrolována „pravost“ podpisu podle nastavených algoritmů a bylo ověřeno, zda byly v době tvorby podpisu prostředky pro jeho vytváření platné.

Tyto kroky byly již mnohokrát popsány, ale týkají se výhradně technologií a nic to neříká o tom, zda dokument skutečně vytvořil držitel digitálního certifikátu (privátního klíče) nebo někdo jiný jeho jménem. Mám na mysli skutečnost, že teprve až po několika týdnech nebo měsících občan zjistí podvod spojený s jeho zaručeným elektronickým podpisem a on ve skutečnosti takový dokument nikdy nevytvořil a nepodepsal.

Stačil by šikovný právník…

Navíc může nastat i opačný případ. Občan zjistí, že z nějakého důvodu je pro něho nevýhodný obsah dokumentu, který před časem podepsal zaručeným elektronickým podpisem a zaslal úřadu. S náležitě fundovaným advokátem a odborným posudkem, který bude hovořit o sofistikovaných virech, které dokážou obelstít antivirové ochrany, se bude domáhat zneplatnění dokumentu z důvodu, že jej vytvořil podvodník s použitím sofistikovaného viru. Takový útok by se skutečně mohl stát, ale dotčenému úřadu nebo Policii ČR budou s odstupem týdnů nebo měsíců chybět důkazy, aby mohli jasně říci, zda podpis vytvořil podvodník nebo oprávněný držitel digitálního certifikátu.

Stát by měl být odpovědný za své řešení

Co s tím? První a nejvážnější fakt, který je třeba si uvědomit, je skutečnost, že zaručený elektronický podpis je aplikace státu a ten by měl garantovat občanům (ale i svým jednotlivým úřadům) kvalitu a možnost odlišit podvod od korektní operace. Jistě, není to jednoduché, ale to není a nesmí být omluva pro polovičaté řešení.

Někdo může namítnout, že stejné řešení zaručeného elektronického podpisu zavedli nebo zavádí i v jiných zemích EU. Takový argument mi zavání starými časy. Když se tehdy řeklo, že novinku používají soudruzi v Sovětském svazu, tak se o tom také nepochybovalo a bezhlavě se to přijalo jako dokonalé řešení.

Dalším faktem je, že nedokonalé, polovičaté řešení v oblasti bezpečnosti, v oblasti důležitého projektu eGovernmentu dává špatný signál tvůrcům dalších IT projektů ve státní správě.  Název IT systému, který sice po modernizaci fungoval, ale k dokonalosti nebo alespoň kvalitě původní aplikace měl daleko, si určitě doplníte sami.

Řešení v oblasti internetbankingu existovalo již před deseti lety, i když to někteří bankovní i IT manažeři neradi slyšeli a do poslední chvíle se snažili přenášet odpovědnost na platící klienty. V bankách stačilo přijmout fakt, že aplikace je službou banky a ona je za její kvalitu odpovědná. To sice úplně neodstraní pokusy nebo dokonané podvody, ale odstranilo to problémy běžných uživatelů s vykradeným účtem.

dan_z_prijmu

Cesta pro bezpečný elektronický podpis existuje

V případě eGovernmentu a zaručeného elektronického podpisu je situace jiná. Neexistuje zde výpis z účtu a rychlá zpětná vazba od klientů. Existují ale možnosti, jak upravit postupy pro tvorbu zaručených elektronických podpisů. Existuje prostor pro přidání záznamů o vytvořeném elektronickém podpisu a tím vytvářet (zjednodušeně řečeno) něco na způsob evidenční knihy, kterou můžeme vidět u notářů nebo na CzechPointech. Uživatel by mohl tento záznam zpětně kontrolovat, ale nemohl by jej upravovat, podobně by příslušnou část záznamů mohl číst i příjemce jednotlivých dokumentů opatřených zaručeným elektronickým podpisem. To je hodně stručně naznačený jeden směr zdokonalení zaručeného elektronického podpisu.

Důležité pro důvěryhodnost a rozvoj zaručeného elektronického podpisu, internetbankingu, ale i dalších kancelářských a průmyslových aplikací je přiznání, že současné operační systémy nejsou dokonalé a podvodníci nad nimi mohou získat kontrolu, aniž by uživatel něco zanedbal. Když budou tvůrci nových aplikací pro business i eGovernment s tímto rizikem (vlastností operačních systémů) počítat a dokáží jej pokrýt, tak můžeme očekávat novou generaci aplikací, kde již nebude problém s krádeží identity, případně bude incident včas odhalen. V opačném případě se bude dál prohlubovat názorová propast mezi běžnými uživateli a „dokonalými specialisty.“

Byl pro vás článek přínosný?

Autor článku

Autor se věnuje počítačové bezpečnosti a zjednodušování pracovních postupů.

Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).