Varnost po domače
Kot sistemskemu upravitelju manjšega podjetja mi praviloma največ sivih las povzročajo naprave, ki ždijo med digitalnim in analognim svetom. Tiskalniki, optični bralniki, faks ... Zadnje leto pa se jim pridružujejo še certifikati.
Moja številka je prva, ki jo zavrti naša računovodkinja, ko se računalnik ne obnaša tako, kot bi pričakovala. In od lanske jeseni sem na daljavo najpogosteje priključen na njen računalnik prav zaradi certifikatov in povezanih varnostnih tehnologij.
Da ne bo pomote – ta tehnologija je absolutno nujna za varno delovanje spletnih povezav. A v Sloveniji se vedno bolj zdi, da ne dohajamo stanja razvoja v širšem spletu (oziroma da naša državna uprava tega ne dohaja). To temeljno težavo zelo očitno opazi vsak, ki se ukvarja s sistemsko administracijo in podporo končnim uporabnikom.
Prva težava, na katero je opozarjal že marsikdo, je ta, da naša overitelja SIGEN-CA in SIGOV-CA ne spadata med svetovne zaupanja vredne izdajatelje certifikatov (h katerim, med drugim, uvrščamo kak Verisign, Symantec, Comodo ...). Seznam teh izdajateljev je namreč vgrajen v večino operacijskih sistemov in v večino spletnih brskalnikov.
Navodila državne uprave, kako urediti zadeve s certifikati, so razsejana po različnih straneh in pogosto slabo napisana.
Posledica tega je, da obisk strani državnih institucij uporabniku postreže z opozorilom, da povezava ni varna – brskalnik namreč ne zaupa nameščenim potrdilom. Temu se lahko, in v praksi tudi se, izognemo na enega izmed dveh načinov – najpogosteje v brskalniku potrdimo izjemo, torej mu dopovemo, da je stran res prava (čeprav tega ne moremo zares vedeti) in naj ne opozarja na morebitne težave. Druga alternativa pa je, da si prenesemo korenski certifikat in ga namestimo v operacijski sistem. S tem vsaj na krajevnem računalniku SIGEN-CA uvrstimo med zaupanja vredne izdajatelje. Tako stanje se v majhnem podjetju (kjer je verjetnost napada z ribarjenjem res majhna) še tolerira, pri državnem organu, kot je (na primer) davkarija, pa se ne bi smelo.
Razlog, da je letos ta problematika zopet v ospredju, pa je opustitev šifriranja SHA-1 oziroma njegova menjava za SHA-2. V SHA-1 se je pokazalo kar nekaj varnostnih pomanjkljivosti. Varnostni strokovnjaki tako že od leta 2002 (ja, skoraj petnajst let) priporočajo uporabo bistveno varnejšega SHA-2.
V zadnjem letu smo tako priča vse močnejši opustitvi certifikatov, ki uporabljajo SHA-1. To v praksi pomeni, da brskalniki nanje še posebej opozarjajo. Posledica tega je, da smo v zadnjem letu doživeli poplavo novih certifikatov z vseh koncev – tudi državnih.
Tu pa nastanejo težave, ki jih omenjam že v uvodu. Najbolj je zbodla v oči kolobocija s certifikatom eDavkov letos poleti. DURS je namreč zamenjal korensko potrdilo spletne strani, a ker izdajatelj ni med zaupanja vrednimi izdajatelji, so novejši brskalniki (ti so danes, ko se brskalniki večinoma samodejno posodabljajo, praktično vsi) dostop enostavno zavrnili. Spletišče pa ne omogoča navadnega, nešifriranega dostopa.
Na strani eDavki so sicer vnaprej objavili, da bodo zamenjali omenjeno potrdilo, a so to storili manj kot en dan pred zamenjavo. Možnosti, da bi naša računovodkinja to pravočasno opazila in me opozorila, so bile skoraj nične, si predstavljam, da je bilo tako v večini podjetij. Sledilo je seveda skakanje naokoli in iskanje, kako zaobiti težavo – konkretno z namestitvijo novega korenskega certifikata v operacijski sistem. S tem se vzpostavi veriga zaupanja, prek katere brskalnik spet zaupa certifikatu, ki ga prejme od spletne strani.
Stran, na kateri smo lahko prišli do omenjenega korenskega certifikata, sicer ni ravno vlivala posebnega zaupanja, tudi sicer so navodila državne uprave, kako te stvari urediti, razsejana po različnih straneh in pogosto slabo napisana. No, s celotno zgodbo očitno še nismo končali, saj so dodatno poglavje tudi podpisne komponente. Te spet terjajo svoj postopek potrjevanja znotraj brskalnikov. To zadnje omenjam, ker me je v trenutku, ko pišem te besede, klicala računovodkinja in povedala, da je morala na strani davčne uprave »osvežiti« podpisno komponento. Večina naših bank in tudi kar nekaj državne uprave sicer uporablja podpisno komponento podjetja SETCCE, ne pa vsi (DURS ima, recimo, drugo).
Po nekaterih ocenah naj bi čez približno pet let dočakali SHA-3. Ali je to dobro ali slabo, pa se ne morem čisto odločiti.