Ponownie w dziejach ludzkości zamiast skorzystać ze sprawdzonych metod wymyśla się koło od początku. Mądre głowy wymyśliły, że powstanie centralny rejestr, wyszukiwarka spraw, które można w urzędach załatwić. Gdyby na tym przestano to pomysł był by super! (abstrahując od obecnej czytelności tego serwisu).
Jak można zepsuć tak piękna idee? Wystarczy wyszukiwarkę połączyć z narzędziem przeprowadzającym "AAA" (Authentication, Authorization, Accounting).
- Identyfikacja: Przedstawiamy się, twierdząc, że my to my!
- Uwierzytelnianie: Serwer na to: sprawdzam!
- Autoryzacja: Jeśli wszystko do tej pory się zgadza i Jan Kowalski jest uwierzytelnionym Janem K. to serwer może dać prawa do pewnych czynności (autoryzację) - jeśli te prawa sie należą.
Te trzy elementy są mocno powiązane - pominięcie choćby jednego z nich może osłabić cały system zabezpieczeń.
Od tego momentu mamy do czynienia z pojedynczym systemem, prowadzonym przez państwowy urząd, ale oprogramowanie zostało kupione od firmy zewnętrznej. Nasuwają mi się pytania:
1) Czy oprogramowanie przeszło audyt bezpieczeństwa?
2) Czy osoby zaangażowane w tworzenie oprogramowania były objęte nadzorem ABW?
3) Czy osoby rozbudowujące, konserwujące i w ogóle mające dostęp do systemu są objęte nadzorem ABW?
4) Czy ePULAP jest objęty nadzorem i ochroną ABW?
5) Czy wszelki dostęp do danych gromadzonych przez system, oraz dostęp do samego systemu, usług, konsol i serwerów, jest w sposób pewny i niezależny rejestrowany i kontrolowany?
6) Czy służby specjalne wykorzystują ten zintegrowany system informatyczny w celu kontroli obywateli?
Przecież ten pojedynczy system umożliwia wgląd w sprawy prowadzone przez obywateli z jednego miejsca. Nie raz są to sprawy o wymiernej wartości majątkowej. Mało tego, ten system odpowiada też za dodatkowe zabezpieczenia, typu potwierdzenia SMS'em. Czyli mając dostęp do tego systemu mogę zapewne ominąć te zabezpieczenia. Jak w takim razie mają wierzyć w bezpieczeństwo tak przekazywanych danych kancelarie prawne, doradcy finansowi, itp. Co z danymi o zdrowiu, danymi finansowymi, danymi dotyczącymi inwestycji, a może i w przyszłości patentów?
Ten system ma docelowo objąć wszystkich obywateli...
Jeśli system ePULAP nie przechowuje wprost danych dotyczących załatwianych spraw, to i tak mając dostęp do systemu można sprawdzać postępy danej sprawy, sprawdzać historię spraw, itp., ponieważ system ePULAP umożliwia dostęp do innych systemów potwierdzając naszą tożsamość.
Sprawa jest jeszcze bardziej niepokojąca, gdy uzmysłowimy sobie, że systemy informatyczne w poszczególnych urzędach trzymają zapewne dane w formie jawnej na serwerach. Czyli mają do tych danych dostęp osoby bezpośrednio nie zaangażowane z mocy prawa w obsługę danej sprawy, jak informatycy zatrudnieni w urzędzie.
Nasuwa się jeszcze pytanie jak rozwiązano sprawę dostępu do systemu osób zatrudnionych w firmach zewnętrznych (producentach oprogramowania)? Testy nowych wersji, upgrade, rozwiązywanie problemów - czy dane są niewidoczne dla osób wykonujących takie prace konserwacyjne z ramienia twórcy oprogramowania, firmy zewnętrznej? Zawsze niewidoczne? Jak to jest kontrolowane i potwierdzone? Czy istnieje teoretyczna możliwość, że firma tworząca oprogramowanie dla urzędów może mieć dostęp do danych urzędowych i to nie tylko jednego urzędu?
Pomińmy sprawę zabezpieczenia sieci i serwerów, potwierdzenia wiedzy administratorów systemów informatycznych, ich kompetencji - a pomijam teraz w rozważaniach krytyczne punkty! Istnieją przecież urzędy duże, które może czasami są bardziej świadome zagrożeń i przeznaczają większe środki na zabezpieczenia i zatrudniają lepszych administratorów. Lecz co małymi urzędami mającymi małe budżety?
Gdyby od początku połączono dowód osobisty z parą asymetrycznych kluczy kryptograficznych, to cały proces AAA mógł by odbywać się na linii petent-urząd. W takim przypadku, w razie kompromitacji systemu, problem dotyczył by tylko jakiejś grupy osób, korzystających z danego urzędu.
Przez analogię: gdy korzystam z usług kilku banków, to włamanie do danego banku nie stanowi problemu dla reszty moich pieniędzy w innych bankach. Co by było, gdyby wszystkie banki korzystały z jednego dostawcy potwierdzającego naszą tożsamość? Czy jakikolwiek bank zdecydował by sie na to?
Jak uczy historia każdy taki centralny system musi zostać skompromitowany. Jeśli prawdziwe są informacje, że np.: konsultanci ePULAP obsługujący cały kraj to maksimum dwie osoby, zatrudnione przez firmę pośredniczącą, to ciekawi mnie jak zatrudnieni są inni pracownicy i czy może to mieć implikacje dla bezpieczeństwa tego systemu.
Musiałem ostatnio wysłać jakiś wniosek do urzędu i okazało się, że mogę to zrobić zwykłym e-mailem - co mnie ucieszyło. Zastanowiłem się jednak nad tym, że wniosek ten jest przekazywany jako zwykły e-mail i oprócz osób wskazanych do zapoznania się z nim i jego obsługi mają do niego dostęp informatycy w urzędzie.
Ciekawe, czy włodarze miasta mają świadomość, że informatycy mają dostęp również do ich korespondencji e-mail. Pamiętajmy że SSL szyfruje dane pomiędzy: nadawca-serwer i serwer-odbiorca. Wiadomości na serwerze są przechowywane w postaci jawnej.
