Bezpečnost nikdo moc neřeší, NEN nepomáhá
Bezpečnost IT dodnes nebyla pro český eGovernment výraznou prioritou. Změna k lepšímu asi přichází s kybernetickým zákonem, celkově je ale povědomí o nutnosti dodržovat určité zásady v oblasti bezpečnosti ICT velmi malé.
Bohužel to ale je, jak to tak vypadá, i problém těch, co o podobě eGovernmentu rozhodují a jak píše Jiří Peterka ve svém článku na serveru Lupa.cz, pak vznikají přímo učebnicové příklady toho, jak by se to opravdu dělat nemělo. A takovým příkladem je právě NEN (Národní elektronický nástroj).
Proč? Zdravý rozum, veškerá zadávací dokumentace a dokonce i legislativa (č. 227/2000 Sb. o elektronickém podpisu) říkají, že soukromý klíč, s právní relevancí vlastnoručního podpisu, který Vám bude sloužit k podepisování zakázek, musíte chránit a rozhodně se o něj s nikým nedělit. To je přece normální, že?
Jenže NEN v současnosti pracuje tak, že svůj soukromý klíč svěřit musíte a dokonce se to považuje za výchozí operaci. Jiří Peterka se ve svém článku tedy zaměřil konkrétně na oblast elektronického podpisu.
Export soukromého klíče – špatně
V dokumentaci, která je přímo dostupná na webu NEN, naleznete příručku, jak získat výše zmíněný klíč (Principy práce s certifikáty v aplikaci NEN z pohledu dodavatelů a zadavatelů). Naleznete v ní informace, jak si nechat vystavit od akreditované autority certifikát a jak jej můžete i s příslušným soukromým klíčem vyexportovat a někam uložit.
Snad nemusím upozorňovat na to, že ukládat si soukromý klíč do souboru v počítači, který Vám nějaký šikovný hacker dokáže, byť i zaheslovaný, prostě z počítače zkopírovat, není úplně v pořádku. Tady se to po vás přímo požaduje.
I současně platná evropská směrnice pro právně platné elektronické podepisování uvádí, že soukromý klíč je nutné mít uložený na USB zařízení či čipové kartě, bez možnosti jejího dalšího exportu.
U nás takovéto nařízení zatím „obcházíme“ požadavkem certifikační autority, i když od 1.7.2016 vstoupí v platnost nařízení EU eIDAS, které znemožní na národní úrovni obcházet tento požadavek a tak všechny bezpečnostní klíče budou muset být bezpečně uloženy, bez možnosti dalšího exportu.
Proč to tedy neudělat rovnou dobře?
NEN Váš soukromý klíč požaduje – špatně
Jestliže samotný export bezpečnostního klíče není úplně v pořádku, pak potenciálně ještě nebezpečnější je, že NEN po Vás bude soubor s tímto klíčem požadovat. Sice ho „chrání“ přihlašovacím heslem, ale co to dnes znamená?
Nechce pouze podpis a nějaké heslo, ale celý soubor s podpisem včetně hesla, které ho chrání, aby sám mohl soubor kdykoli použít k podpisu toho, co je potřeba podepsat.
Jiří Peterka k tomu dále uvádí: „Připomeňme si znovu, že jakékoli poskytnutí soukromého klíče – komukoli či čemukoli, co držitel klíče nemá pod svou výhradní kontrolou – je nejenom vysloveným bezpečnostním hazardem, ale jde i proti požadavkům zákona. Konkrétně proti §2/b3 a §5/1a, které požadují výhradní kontrolu nad soukromým klíčem, náležitou péči o něj a zabránění neoprávněnému použití soukromého klíče (a nepřímo i §5/2, který hovoří o škodě v případě zneužití soukromého klíče).
A také proti obdobným požadavkům certifikačních politik autorit (příklad), které k soukromým klíčům vydávají kvalifikované certifikáty. Přičemž podmínkou pro získání takového certifikátu je souhlas s dodržováním příslušné certifikační politiky, podle které je certifikát vydáván.“
Pokud chcete k tomuto tématu více informací, rozhodně Vám doporučuji si článek Jiřího Peterky přečíst.
Odpovědět na příspěvek