Formalna zgodność rozwiązań do składania podpisu elektronicznego z Ustawą o podpisie elektronicznym i rozporządzeniami do niej pozwala stwierdzić jedno: przy zachowaniu właściwego trybu rejestracji podpis uzyskuje status bezpiecznego, a więc kwalifikowanego. Czy jednak składająca go osoba może czuć się bezpiecznie? Bynajmniej.

Zaczęło się banalnie. Ostatniego dnia września br. niewielka firma G Data ze Szczecinka poinformowała wszystkie popularne media elektroniczne w Polsce, że... złamała podpis elektroniczny. Początkowy brak jakichkolwiek szczegółów technicznych spowodował, że mało kto potraktował to doniesienie poważnie.

Jak pisać o dziurze, o której nic nie wiadomo? W końcu firma zaczęła stopniowo ujawniać redakcji Computerworld szczegóły, a sprawa zaczęła nabierać kolorów.

Dziura zaprezentowana przez firmę polega - w skrócie - na umieszczeniu w pamięci komputera, na którym jest podpisywany dokument, odpowiedniego modułu programowego, który podmienia treść dokumentu, tak że użytkownik co innego widzi, a co innego rzeczywiście podpisuje. Na konferencji CONFidence w Krakowie 15 października zaprezentowano ten mechanizm. Dwa dni po publikacji informacji Certum, jedna z firm sprzedających certyfikaty służące do składania podpisu elektronicznego, opublikowała oficjalne dementi, w którym zarzuciła programistom G Data "absolutną ignorancję" oraz cyniczne publikowanie sensacyjnych i nieprawdziwych informacji dla osiągnięcia określonych korzyści marketingowych (G Data sprzedaje oprogramowanie antywirusowe).

Czy podpis elektroniczny rzeczywiście jest w niebezpieczeństwie? Czy też może publikacja firmy ze Szczecinka miała na celu sianie strachu i niepewności? Aby to rozstrzygnąć, musimy sięgnąć do źródeł, czyli dokumentów prawnych definiujących podpis elektroniczny.

Problem praktyczny czy teoretyczny

Czy warto zajmować się takimi - wydawałoby się - teoretycznymi problemami? Nie powinniśmy zapominać o tym, jak potężnym narzędziem jest kwalifikowany podpis elektroniczny - według prawa ma on takie same skutki prawne jak podpis odręczny. Elektronicznie można podpisać umowę przystąpienia do programu finansowego, pożyczki, sprzedaży samochodu, domu czy akcji i innych rzeczy, co powoduje powstanie zobowiązania finansowego.

O ile w sądzie dla dowiedzenia fałszywości podpisu odręcznego można przywoływać świadków, prowadzić ekspertyzy papieru czy atramentu, o tyle w przypadku podpisu elektronicznego sytuacja jest jednoznaczna jak logika binarna. Podpis został złożony i jest ważny, albo nie ma go w ogóle.

Tymczasem liczba ataków prowadzonych za pomocą phishingu rośnie, co świadczy o tym, że amatorzy cudzej gotówki z Internetu odkryli żyłę złota. Najbardziej niepokojące jest to, że narzędzia stosowane przez phisherów (konie trojańskie, robaki, rootkity itp.) są bardzo zbliżone do tych, które potencjalnie można zastosować do podrobienia podpisu elektronicznego.

Jak zabezpieczył nas ustawodawca

Aktami prawnymi pozwalającymi na podpisanie umowy e-podpisem jest Ustawa o podpisie elektronicznym z 2001 r. Towarzyszy jej wiele zastrzeżeń natury prawnej oraz technicznej, zdefiniowanych w licznych rozporządzeniach. Część z nich, tak jak rozporządzenie o warunkach technicznych podpisu elektronicznego, również pochodzi z 2001 r. Inne, jak rozporządzenie o fakturach elektronicznych - podpisano dopiero niedawno.

Kluczem do bezpieczeństwa e-podpisu jest rozporządzenie o warunkach technicznych, które określa zabezpieczenia "bezpiecznego" lub "kwalifikowanego" podpisu elektronicznego. Jest to podpis mający największe skutki prawne i dlatego objęty największymi restrykcjami. Aby podpis elektroniczny był podpisem "bezpiecznym", musi być składany za pomocą "bezpiecznego urządzenia".To urządzenie składa się z komponentu sprzętowego (karta mikroprocesorowa, czytnik kart) oraz komponentu programowego (aplikacja do podpisywania dokumentów).

Najlepiej zdefiniowane są zabezpieczenia komponentu sprzętowego, czyli karty i czytnika. Muszą one posiadać odpowiednie certyfikaty bezpieczeństwa według norm ITSEC lub Common Criteria. Co do nich raczej nikt nie ma wątpliwości.

Komponent programowy to zupełnie inna historia. Otóż zgodnie z literą prawa komponentem tym może być standardowy system Windows z zainstalowaną odpowiednią aplikacją do podpisywania dokumentów. Różnica jest jednak taka, że aplikacja ta nie musi posiadać żadnego certyfikatu. Wystarczy, że będzie miała tzw. deklarację zgodności.

Deklaracja jest dokumentem wystawianym przez producenta, w którym dobrowolnie deklaruje on zgodność programu z wymogami rozporządzenia.

Wpuszczeni w (nie)bezpieczny kanał

Rozporządzenie o warunkach technicznych podpisu elektronicznego narzuca wiele zabezpieczeń, m.in. odnośnie funkcji kryptograficznych i algorytmów stosowanych podczas podpisywania dokumentu. Nas jednak najbardziej interesuje jeden z kolejnych zapisów, ponieważ bezpośrednio wiąże się on z zaprezentowaną przez G Data dziurą. Rozporządzenie wymaga od aplikacji, by podczas podpisywania dokumentu posługiwała się tzw. bezpieczną ścieżką i bezpiecznym kanałem.

To pierwsze nie wzbudza emocji, bo dotyczy komunikacji z komponentem sprzętowym i istnieją skuteczne środki, by była ona prowadzona bezpiecznie. Natomiast "bezpieczny kanał" wymaga, by podpisywany dokument nie został zmieniony pomiędzy aplikacją a plikiem. Czyli aby nie nastąpiło to, co pokazała G Data.

Czy zademonstrowane fałszerstwo oznacza, że nie został zastosowany "bezpieczny kanał"? Tak. Czy zatem testowana aplikacja nie jest zgodna z rozporządzeniem? Otóż jednak jest, a fałszerstwo odbyło się w majestacie prawa! Rozporządzenie zawiera bowiem jedną krytyczną klauzulę, która zastrzega, że wymóg stosowania bezpiecznego kanału dotyczy tylko "oprogramowania publicznego". Oprogramowanie "niepubliczne" nie musi korzystać z bezpiecznej ścieżki.

W rozumieniu rozporządzenia oprogramowanie publiczne to takie - i tylko takie - do którego w normalnych warunkach dostęp ma więcej niż jedna osoba. W szczególności zaś, co jest wprost wymienione w ustawie, oprogramowaniem publicznym nie jest oprogramowanie działające w domu, biurze lub telefonie komórkowym. To znaczy, że program do e-podpisu działający w domowym systemie Windows nie musi stosować bezpiecznej ścieżki, choćby nawet komputer ten był obsługiwany przez całą rodzinę.

Biorąc pod uwagę statystyki phishingu, który zwykle wiąże się właśnie z ingerencją z zewnątrz w system Windows ofiary i zdalnym monitorowaniem jego pracy (podsłuchiwanie haseł i numerów kont), nie można jednak powiedzieć, żeby ogół komputerów biurowych i domowych był bezpieczny. Z formalnego punktu widzenia protest Certum był w pełni uzasadniony. Oferowany przez tę firmę program działa zgodnie z rozporządzeniem i według niego podpis nadal jest bezpieczny. Z punktu widzenia użytkownika nie będzie jednak bezpieczny, ponieważ - wprawdzie zgodnie z rozporządzeniem, ale jednak - pozwala na fałszowanie dokumentów, jeśli tylko jest uruchomiony w biurze lub domu.

Formalnie bezpiecznie

Mamy tutaj niecodzienną sytuację, w której fakt sfałszowania dokumentu będzie lub nie będzie fałszerstwem w zależności od tego, gdzie tej czynności dokonano. Certum twierdzi, że to użytkownik powinien zadbać o bezpieczeństwo swojego komputera, że zaprezentowany przez G Data atak jest sprawą powszechnie znaną, a w instrukcji samego programu do podpisu jest zaznaczone, jak używać go bezpiecznie.

Nie jest to do końca prawda. W instrukcji do programu Certum secureSignVer jest tylko krótka i dość enigmatyczna wzmianka, że służy ono do weryfikacji podpisu "w środowisku niepublicznym, takim jak dom, biuro, do którego w normalnych warunkach ma dostęp ściśle określona grupa użytkowników".

Czy ja i żona tworzymy "ściśle określoną grupę użytkowników"?

Czy ja, żona i Sergiej, operator trojana z Sankt Petersburga, o którego istnieniu nie mamy pojęcia, tworzymy taką grupę? To zależy, kto ją "ściśle określa", a tego rozporządzenie nie mówi. Zacytowane sformułowanie to dosłowna kopia z rozporządzenia i konia rzędem temu, kto na tej podstawie potrafi wysnuć wniosek, że taki system powinien posiadać system antywirusowy, firewall i regularnie instalowane uaktualnienia.

Najlepiej by było, aby do składania e-podpisu służyło wydzielone stanowisko, niepodłączone do sieci i niewykorzystywane do przeglądania Internetu. Przedstawiciele środowiska związanego z e-podpisem w kuluarach argumentują, że taka forma rozporządzenia powstała, bo trzeba było dać użytkownikom coś, co działa, a niekoniecznie całkiem bezpiecznie.

Faktycznie, gdyby rozporządzenie żądało formalnego dowodu bezpieczeństwa od "bezpiecznego urządzenia", to e-podpis byłby ograniczony do wąskiej grupy dedykowanych urządzeń. Czy jednak umieszczenie w instrukcji obsługi programu zaleceń odnośnie do bezpieczeństwa systemu, w którym działa aplikacja i ostrzeganie o tym w ekranie startowym, to wymóg nadmierny?

Użytkownik powinien wiedzieć, że również na nim ciąży odpowiedzialność za bezpieczeństwo własnego e-podpisu. Traktowanie tego jako rzeczy oczywistej świadczy o oderwaniu od rzeczywistości firm wprowadzających to oprogramowanie do obrotu oraz niefrasobliwości ustawodawcy.

Dementi Certum:http://www.certum.pl/certum/47966.xml

Oświadczenie G Data:http://www.gdata.pl/pl/news/news_e-podpis.html