BRATISLAVA. Zoskupenie slovenských bezpečnostných profesionálov a firiem sa domnieva, že reakcia štátu na bezpečnostný problém týkajúci sa občianskych preukazov s elektronickým kontaktným čipom - tzv. elektronických identifikačných kariet (eID) je neadekvátna.
"Dňa 16.10.2017 bola zverejnená zraniteľnosť, ohrozujúca bezpečnosť kľúčov používaných na zaručený elektronický podpis, vytváraný pomocou eID. Podľa nám dostupných informácií je táto zraniteľnosť mimoriadne závažná a reálne vykonateľná," upozornili experti.
Ministerstvo problém zľahčuje
Podľa nich tento problém nezavinili slovenské úrady či firmy a nesúvisí s doterajšími projektmi eGovernmentu.
Hacknite môj digitálny podpis, vyzval Kaliňák. Verejný kľúč nezverejní Čítajte "Avšak zodpovednosť za jeho rýchle a dostatočné riešenie teraz leží najmä na Ministerstve vnútra (MV) SR, ktoré vydávanie eID riadi," konštatovali bezpečnostní experti.
Podľa ich názoru doteraz zverejnené stanoviská MV SR situáciu najmä zľahčujú, obzvlášť informovaním, že ide "iba o teoretický útok", pričom neboli prijaté žiadne okamžité opatrenia.
"Takýmto spôsobom sú však všetci držitelia zaručeného elektronického podpisu v eID vystavení veľkému riziku. A taktiež neistote, keďže tieto vyjadrenia sú v rozpore so správami z iných zdrojov," uvádza sa v stanovisku.
Bezpečnostné opatrenia
Experti za adekvátnu reakciu považujú okamžité verejné informovanie o dátume plošnej revokácie certifikátov, ktorá bude vykonaná najneskôr do konca októbra 2017, a v stanovenom dátume revokovať všetky vydané certifikáty postihnuté touto zraniteľnosťou.
Chybu občianskych opravia za mesiac, vydávanie kľúčov nestopli Čítajte Z krátkodobého hľadiska je podľa nich potrebné nové RSA kľúče generovať s väčšou šírkou určenou na základe výsledkov diskusie jednak s výskumným tímom, ktorý odhalil zraniteľnosť, ako aj s výrobcom čipu - firmou Infineon.
Zo strednodobého hľadiska žiadajú prehodnotiť použitý algoritmus i jeho parametre a v prípade potreby zmeny túto zmenu implementovať, a to najneskôr do konca októbra 2018.
Používateľom elektronického podpisu odporúčajú nevytvárať nové elektronické podpisy pomocou eID, revokovať svoj certifikát a vyžiadať si nový certifikát až keď MV SR prijme adekvátne protiopatrenia, teda zvýši bezpečnosť generovaných kľúčov.
Nebezpečný podpis
Experti tvrdia, že výskumný tím z Masarykovej univerzity odhalil zraniteľnosť v čipoch, ktoré obsahujú aj slovenské občianske preukazy.
Dôkaz, že na moderné časy nie sme v tejto krajine pripravení Čítajte Dôsledkom zraniteľnosti je možnosť vypočítať súkromný kľúč na základe verejného kľúča a následne elektronicky podpisovať dokumenty v mene obete.
Znamená to, že nie je možné rozoznať skutočný podpis od podpisu vykonaného útočníkom. Stanovisko podpísalo 16 ľudí, medzi nimi aj zamestnanci spoločností ESET či IBM.
"V krátkodobom horizonte eliminujeme riziko zväčšením generovaného kľúča a v strednodobom horizonte zmeníme celý algoritmus jeho generovania," zareagovala hovorkyňa MV SR Andrea Dobiášová.
Zdôraznila, že MV SR pristupuje k situácii zodpovedne a nanajvýš dôsledne.
"Spolupracujeme s NBÚ na riešení. V súčasnej dobe kroky, ktoré chceme podniknúť, spolu s NBÚ verifikujeme, aby sme si boli istí, že nebudú mať negatívny dopad na iné súvisiace akcie. Pred tým, ako zrealizujeme naše kroky, nebudeme medializovať ich priebeh," doplnila.
Štátna tajomníčka rezortu vnútra Denisa Saková na tlačovej konferencii v stredu 18. októbra uviedla, že slovenské elektronické občianske preukazy sú stále bezpečné.
Hrozba je podľa nej len v teoretickej rovine. MV SR tvrdí, že garantuje bezpečnosť doposiaľ vydávaných slovenských elektronických občianskych preukazov s čipom, ktorý je chránený bezpečnostným osobným kódom (BOK).
