Ewidencja z podpisem
-
- Przemysław Gamdzyk,
- 24.05.2004
Na potrzeby systemu Centralnej Ewidencji Pojazdów i Kierowców (CEPiK) powstała już dedykowana infrastruktura klucza publicznego.
Na potrzeby systemu Centralnej Ewidencji Pojazdów i Kierowców (CEPiK) powstała już dedykowana infrastruktura klucza publicznego.
"Cała filozofia bezpieczeństwa w CEPiK-u została oparta na podpisie elektronicznym" - twierdzi Paweł Luksic, dyrektor ds. sprzedaży systemów bezpieczeństwa w Comp SA. Firma ta jest podwykonawcą Softbanku, generalnego wykonawcy CEPiK-u, w zakresie całości systemu bezpieczeństwa. Chodzi tutaj nie tylko o identyfikację osób i plików, ale również sprzętu, obiektów czy poszczególnych elementów baz danych, np. w celu zapewnienia integralności baz w ramach całego systemu. Wszystkie zapytania i odpowiedzi baz danych, składających się na CEPiK, są uwierzytelniane za pomocą podpisu elektronicznego, co gwarantuje niezaprzeczalność dokonania tych operacji.
Wykorzystanie podpisu elektronicznego jest oczywiście tylko elementem szerszego systemu bezpieczeństwa. Za pomocą e-podpisów są uwierzytelniane urządzenia sieciowe - urządzenie może mieć czytnik kart procesorowych albo certyfikat jest importowany poprzez sieć z wykorzystaniem szyfrowania SSL. Niezależnie wprowadzono także sprzętowe szyfrowanie połączeń sieciowych.
Swoje drzewo
MSWiA zdecydowało, że będzie na potrzeby CEPiK-u budować własną infrastrukturę PKI. W tym celu wykorzystano system Centaur - autorski produkt warszawskiej spółki Enigma Systemy Ochrony Informacji. Swego czasu żal o to mieli działający w Polsce wystawcy kwalifikowanych certyfikatów, liczący na to, że właśnie takie systemy jak CEPiK staną się naturalnym odbiorcą ich usług w ramach outsourcingu.
O wyborze dokonanym przez urzędników MSWiA zadecydowały jednak względy zarówno ekonomiczne, jak i organizacyjno-prawne. "W pewnym momencie, wraz ze wzrostem wielkości systemu, przekracza się próg opłacalności - podobnie jak z każdą inną tego rodzaju infrastrukturą. Przy tak dużej skali, jaką stwarza CEPiK, taniej i lepiej wykorzystywać własne centrum PKI" - twierdzi Paweł Luksic. "Korzystanie z zewnętrznych certyfikatów jest dobrym rozwiązaniem w przypadku mniejszych systemów. W przypadku dużych rozwiązań, zwłaszcza tych, w których, tak jak w przypadku CEPiK-u, występują specyficzne potrzeby użytkowników, lepiej sprawdza się własny system, pozwalający wdrażać własne polityki certyfikacji, ściśle dopasowane do konkretnych potrzeb" - twierdzi Jacek Pokraśniewicz, prezes firmy Enigma SOI.
W rozwiązaniu zastosowanym w CEPiK-u wprowadzono kilka różnych polityk certyfikacji, m.in. osobne dla zwykłych użytkowników systemu, dla urządzeń czy administratorów. Jednak nie to było najważniejszym kryterium przy podejmowaniu tej decyzji. Część informacji przetwarzanych w CEPiK-u ma charakter niejawny, co narzuca na ten system wymogi bezpieczeństwa, w szczególności zaś to, iż określone polityki certyfikacji muszą być akredytowane przez Agencję Bezpieczeństwa Wewnętrznego. "Chodzi tutaj o weryfikację wszystkich procedur i to od samego początku, od etapu projektowego poczynając" - mówi Paweł Luksic. Tymczasem żaden z wystawców kwalifikowanych certyfikatów nie posiada akredytacji ABW, co rodzi wątpliwości, czy wystawiane przez nich certyfikaty mogą być wykorzystywane do podpisywania dokumentów zawierających informacje niejawne. Opinie są jednak podzielone.
Podpis (nie)ustawowy
Certyfikaty wystawiane w "cepikowym" PKI nie są kwalifikowane, aczkolwiek pod względem technologicznym i organizacyjnym rozwiązanie jest zgodne z wymaganiami ustawy nakładanymi na centra wydające kwalifikowane certyfikaty, czyli takie podpisy elektroniczne, które są równe swoją mocą podpisom odręcznym - zgodnie z zapisami Ustawy o podpisie elektronicznym. W wymogach przetargowych CEPiK-u zostało bowiem zawarte takie wymaganie. Notabene ułatwiło to zadanie twórcom specyfikacji przetargowej - wystarczyło samo powołanie się na ustawę.
Takie podejście ma jednak także wady, przede wszystkim ze względu na konieczność spełniania wymogów ustawowych, w szczególności w zakresie tzw. bezpiecznego urządzenia służącego do składania podpisów elektronicznych. Ogranicza to np. zakres możliwych do zastosowania kart procesorowych, na których jest przechowywany klucz prywatny. Nie można np. stosować technologicznie kart, które pozwalają na późniejsze wgranie kodu wykonywalnego.
Mimo to zakładane (ustawowo) upowszechnienie stosowania i obsługi bezpiecznego podpisu elektronicznego w administracji publicznej uzasadnia przygotowanie całego systemu do obsługi certyfikatów kwalifikowanych.
Kiedy polski oddział firmy empolis niecałe 2 lata temu realizował system obiegu elektronicznych dokumentów dla Polskiej Telefonii Cyfrowej Era (wyniki przeglądów stacji bazowych), napotkał nieoczekiwane trudności w realizacji jednego z wymogów postawionych przez zleceniodawcę. Dokumenty miały być bowiem uwierzytelniane za pomocą kwalifikowanego podpisu elektronicznego. Problem powstał, ponieważ usługi przeglądu stacji bazowych są świadczone nie przez pracowników Ery, ale zewnętrznych zleceniobiorców.
Specjaliści empolisu zwrócili się z prośbą o ekspertyzę do wszystkich wystawców certyfikatów kwalifikowanych, jakie wymogi ma spełniać moduł służący do obsługi takiego podpisu elektronicznego. Odpowiedzi były mgliste, różnorodne i - w gruncie rzeczy - mało przydatne, bowiem żaden z wystawców nie był w stanie odpowiedzieć wówczas na pytanie, jak właściwie ma działać tzw. bezpieczne urządzenie do składania podpisu elektronicznego. Wymogi ustawy postawiły bowiem tak wysokie wymagania, że niektórzy specjaliści zajmujący się podpisem cyfrowym uznali nawet, iż takiego urządzenia być nie może. Zaś system budowany przez empolis zakładał wykorzystanie interfejsu WWW (wówczas nie można się posłużyć dedykowaną aplikacją do składania e-podpisów). Skończyło się na podpisach niekwalifikowanych (dokumenty PDF; wykorzystanie komponentu ładowalnego Capicom, dostarczanego przez Microsoft).
Według ustawy zgodność urządzenia służącego do składania bezpiecznych podpisów elektronicznych powinien zadeklarować wystawca kwalifikowanych certyfikatów, biorąc tym samym odpowiedzialność za ewentualne nadużycia. Jako pierwsze taką deklarację przedstawiło szczecińskie Unizeto, wprowadzając zestaw Suscriptor Q 01, zawierający czytnik i kartę kryptograficzną cryptoCertum (komponent techniczny, który spełnia wymagania zgodne z normą ITSEC E4 High) oraz aplikację proCertum SecureSign, czyli oprogramowanie podpisujące, które wraz z modułem uwierzytelniającym pozwala na bezpieczne sygnowanie dokumentów podpisem elektronicznym. Cały zestaw spełnia wymagania Ustawy o podpisie elektronicznym i posiada deklarację zgodności wg normy PN-EN 45014.
Urządzenie to może jednak być wykorzystywane do składania podpisów elektronicznych jedynie w tzw. środowisku niepublicznym (biuro lub dom). Rozwiązania pozwalające na składanie kwalifikowanych (bezpiecznych) podpisów elektronicznych w środowisku publicznym (np. kawiarenka internetowa czy bankomat), zgodne z wymogami ustawy, są dopiero celem prac koncepcyjnych i przyjdzie na nie poczekać.
Zestaw kwalifikowany znajduje się również w ofercie Polskiej Wytwórni Papierów Wartościowych. Z jego wykorzystaniem jest związana gwarancja wynikająca z rozporządzenia Ministra Finansów towarzyszącego Ustawie o podpisie elektronicznym (umowa ubezpieczeniowa).
