Kormányablak, Ügyfélkapu, magyarorszag.hu, kormany.hu
KORMÁNYABLAK, ÜGYFÉLKAPU - A ZÁRT AJTÓK MÖGÖTT...
(nem hivatalos e-kormányzati témájú oldal)
  
BEMUTATKOZÁS 
E-KÖZIGAZGATÁS 
IT BIZTONSÁG 
  
































  Mottó:
Ha kalapács van a kezedben,
nem kell mindent szögnek nézni!
/Csontos Márta/
2010. november 13.  
 Bevezető gondolatok az e-közigazgatási IT biztonságról 
   
A biztonsági megoldásoknak nyilvánvalóan több szintje van, én csak néhány részterületéhez kapcsolódóan tudok érdemben hozzászólni: a kriptográfiát érintőkhöz. A hálózatbiztonsági részhez vannak nagyon jó szakemberek, akik, mint "kritikus infrastruktúra" tekintenek a kormányazati gerinchálózatra, s bár ott is megjelenik a kriptográfia, én inkább az alkalmazások, folyamatok szintjén mozogtam eddig.

A "túlzott veszélyérzet" majdnem annyira rossz, mint a "hamis biztonságérzet", magukkal a folyamatokkal szemben elég lenne a papíralapúakkal megegyező biztonsági szintet megkövetelni a jogszabályokban, azonban gyakran túlzott óvatosság olvasható ki azokból, amelyek miatt a rendszereknek, felhasználóknak is bonyolultabb feladatokat kell végrehajtaniuk. Az más kérdés, hogy a kommunikációs csatornák nyíltsága, a mindenki számára elérhető kormányzati felületek gyenge láncszemnek bizonyulhatnak egy célzott támadás esetén (elég csak az orosz-észt konfliktusra gondolni, ami 2009. áprilisa-májusa környékén zajlott és gyakorlatilag DDoS révén lebénították a kormányzati és banki szervereket).

A felhasználók már hozzászoktak a bankkártyás, hitelkártyás világhoz, tudják, hogy mit kell tenni, ha elveszett a kártya, tudják, hogy kell engedélyezni PIN kóddal egy tranzakciót. Ehhez képest nem jelent sokkal többet az elektronikus aláírás használata sem. A kriptográfiai kulcsokat akár nettó 4.800 Ft/év áron meg lehet szerezni, de minősített aláíró alkalmazást is lehet kapni egyszeri nettó 15.000 Ft-ért, fokozott biztonság esetén pedig akár ingyen, nyílt forráskódúként is hozzá lehet jutni (ld. XAdES.PHP).

A kriptográfia hasznos dolog, de ésszerűen kell használni! Az Ügyfélkapunál a regisztrációnál lehet elektronikus aláírással találkozni, de az egyes dokumentumok, beadványok feltöltésénél már nem annyira, ráadásul a regisztráció utáni belépések már ugyanúgy username/password alapúak. Az ÁNyK egy hasznos űrlap-kitöltő alkalmazás, amely a háttérben a régről ismert PGP függvényeket használja, de csak rejtjelezésre (elektronikus aláírás nincs kivezetve). Ártatlan kérdés: miért nem a beadott dokumentumokat magukat védjük az aláírással és tesszük jogi értelemben vett hiteles okiratokká?

A rejtjelezési funkciókat akár a háttérben, akár a felhasználó szeme előtt lépten-nyomon használják, az elektronikus aláírás azonban - szerepéből adódóan - sokkal kevesebb helyen fordul elő az egyes rendszereknél. A rejtjelezésnél világos, hogy ez talán a legjobb megoldás a hozzáférési jogosultságok érvényre juttatására, legyen szó a kommunikációs csatorna védelméről (SSL-réteg pl. HTTP-nél) vagy magáról az adat tárolásáról (fájlrendszer szintjén pl. TrueCrypt, adatbázis szintjén pl. Oracle, amely már akár az Intel Xeon 5600 sorozat saját, hardveres AES-NI kripto-függvényeit is hívhatja szoftveres rejtjelezés helyett). Az elektronikus aláírás iránti igény addig valóban nem érthető, amíg látszik, hogy egy-egy mobiltelefonszámos, e-mail címes, bankszámlaszámos visszaigazolás után probléma nélkül nagy összegű tranzakciók is végrehajhatók pl. aukciós oldalakon, ahol egyébként egy jelszó megszerzésével nagy felfordulást lehetne okozni. Azt is tudjuk azonban, hogy máshol, pl. a netbanki oldalaknál már nem elég a csak "tudás" alapú hitelesítés (pl. jelszó), a mobiltelefon, illetve SIM kártya, vagy külön kütyü (pl. RSA SecurID), mint "birtok" is szükséges ahhoz, hogy a belépéshez, tranzakciókhoz rendelt egyszeri jelszavakkal (one-time-password) engedélyt lehessen szerezni a művelet (belépés, utalás) végrehajtásához. A felhasználói hitelesítés harmadik lehetséges változatának alapja a "biometria", azonban az elterjedtségük addig nem tudni növekedni, amíg a valóban valamiféle védelmet érő megoldások ára versenyképesebbé nem válik.

A kriptográfia hatékony fegyver lehet a védelemben (legyen szó a kommunikációs csatornához vagy a tárolt adatokhoz való hozzáférésről), de megfelelő módon kell azt alkalmazni. Az algoritmusok szintjén viszonylag ritkán vannak problémák, de ha vannak, akkor annál nagyobbat szólnak (pl. MD5 hash-függvény). Ha jók az algoritmus matematikai alapjai, akkor is lehet rossz a felhasználás logikája (pl. SSL/TLS re-negotiating, WEP vagy WPA-TKIP törések). Az átgondolt folyamatoknál is gyenge láncszem lehet a tapasztalatlan fejlesztő (pl. OpenSSL PRNG probléma). Mindent ésszel kell csinálni és közben természetesen figyelni kell a Moore-törvénynek megfelelő teljesítményjavulásra, állítgatni kell a kripto-paraméterek erősségét: erősebb CPU-k és még erősebb GPU-k egyaránt számolhatják a jelszó hash-eket, közben pedig kopogtat az ajtón a kvantumszámítógép, ami miatt sok dolgot újra kell gondolni.

Addig is van még időnk: csináljunk biztonságos, de egyszerű e-közigazgatást!

 vissza 
   
  info@kormanyablak.org
info@ugyfelkapu.info