Elektroniczny urząd jest to rozwiązanie stosowane w administracji publicznej, pozwalające na komunikację interesanta z urzędem za pomocą dokumentów elektronicznych. Dokumenty takie muszą zostać podpisane za pomocą kwalifikowanego podpisu elektronicznego. Dostawca systemu ma obowiązek dostarczyć aplikację do weryfikacji takiego podpisu, a w przypadku formularzy elektronicznych przesyłanych do urzędu, również aplikację do ich podpisywania. Aplikacja razem z komponentem technicznym stanowi tzw. bezpieczne urządzenie, a dostawca systemu wystawia odpowiednią deklarację zgodności z polskim prawem. Użytkownik korzystający z takiego urzędowego oprogramowania nie ma podstaw, by nie ufać wyświetlanym przez nie komunikatom. Niestety opisana sytuacja to tylko teoria. W rzeczywistości pomimo, iż przepisy wymagają by od 1 maja 2008 r. każdy urząd przyjmował dokumenty elektroniczne to naprawdę ciężko jest wskazać sprawnie działające rozwiązanie. Poniżej zamieszczam fragment mojego opracowania opisujący dosyć niebezpieczne braki (luki), w aplikacjach do podpisywania i weryfikacji podpisu dostarczanych przez firmę AlfaTV.
(…) Rozwiązanie firmy AlfaTV (rys. 1) jest bardzo popularne w województwie zachodniopomorskim. Na stronach serwisu znajdziemy informację, że dokumenty należy przesłać na adres e‑mail, który jest jednocześnie adresem skrzynki podawczej. W serwisie znaleźć można również mnóstwo wzorów formularzy, które możemy pobrać i wypełnić na komputerze, oraz aplikację (również do pobrania), za pomocą której podpiszemy dokumenty elektroniczne podpisem elektronicznym w formacie XAdES-BES. Aplikacja jest bardzo prosta w obsłudze – posiada tylko dwa przyciski: podpisz i weryfikuj. Do swojego działania wymaga instalacji platformy Microsoft .NET Framework 2.01.
Rys. 1. ESP – AlfaTV (strona główna)
Niestety aplikacja posiada również kilka istotnych wad. Po pierwsze podpisać możemy jedynie pojedynczy plik w formacie DOC lub PDF, a weryfikując dokument, który od tego momentu przybiera rozszerzenie .xml musimy wiedzieć, w którym z tych formatów był podpisany wcześniej plik. Po drugie aplikacja nie sprawdza czy certyfikat, którym został podpisany plik jest kwalifikowany ani nawet czy nie został odwołany. Po trzecie w wyniku weryfikacji elektronicznego dokumentu otrzymujemy jedynie okno z informacją o tym, że dokument nie został zmieniony, oraz z nazwą osoby podpisującej. Nazwa ta pochodzi z pola „subject” znajdującego się standardowo w certyfikacie. Niestety podejście takie jest bardzo złe i pozwala na przeprowadzenie ataku poprzez odpowiednie spreparowanie dokumentu elektronicznego. O pochodzeniu danego dokumentu mówi nam bowiem klucz publiczny zawarty w certyfikacie a nie wartość z pola zawierającego imię i nazwisko. W ramach testu wygenerowano certyfikat za pomocą aplikacji selfcert.exe, a następnie za pomocą tego certyfikatu został podpisany dokument elektroniczny. Na rysunku 2, znajduje się wynik weryfikacji tego dokumentu za pomocą aplikacji firmy AlfaTV.
Rys. 2. Aplikacja E-podpis – wynik weryfikacji spreparowanego dokumentu
Już z powyższego przykładu jasno wynika jak wielkim niebezpieczeństwem może być nieumiejętne zastosowanie rozwiązań związanych z podpisem elektronicznym. W przypadku rozwiązania firmy AlfaTV bezpieczeństwo rozwiązania jest bliskie zeru i wprowadza w błąd osobę, która z tego rozwiązania korzysta.
1 .NET Framework – platforma programistyczna opracowana przez Microsoft, obejmująca środowisko uruchomieniowe oraz biblioteki klas dostarczające standardowej funkcjonalności dla aplikacji.
 |
Łukasz Skłodowski - więcej informacji Architekt rozwiązań SharePoint oraz kierownik projektów z ponad 10-letnim doświadczeniem. Właściciel firmy Mavsystem i autor bloga officesystem.pl |
Facebook
Google+