Klucze U2F dla Polityków
Zastanawiałem się ostatnio, co by było, gdyby rząd wybrał dostawcę kluczy U2F, mających chronić tożsamości naszych polityków, zupełnie przypadkowo. Na przykład poprzez „nieuwagę” kupiłby je od podmiotu współpracującego z rządem wrogiego nam kraju. Dostarczone wówczas urządzenia mogłyby wyglądać identycznie do zamówionych, ale ich mechanizmy kryptograficzne mogłyby być celowo osłabione… Aż strach rozwijać, co mogłoby stać się dalej…
Takie myślenie nie jest bezpodstawne – wciąż dobrze pamiętamy aferę z przetargiem na maseczki, które nie działały i nie miały odpowiednich atestów. Na szczęście, w przypadku kluczy U2F sprawa jest całkiem prosta – dzięki certyfikatom atestacyjnym możemy prześledzić dokładnie ich losy – od linii produkcyjnej podmiotu, który ten klucz wyprodukował, aż do pierwszego użycia. Nadzieją napawają też doniesienia dziennika DGP, który informował w zeszłym tygodniu, że zakupu kluczy ma dokonać NASK. Liczę, że Naukowa i Akademicka Sieć Komputerowa odrobi właściwie swoje zadanie.
Mam jednak pewne obawy wiążące się z tym, że procedura korzystania z kluczy U2F ma być dobrowolna: (…) Urządzenia dostaną wszyscy chętni członkowie rządu, parlamentarzyści, ale także osoby z istotnych instytucji państwowych”. Czytamy dalej w DGP. A przecież klucze, według mnie, powinny stać się obowiązkowym standardem dla wszystkich, którzy piastują rządowe stanowiska, ponieważ aktualnie to najlepsza znana metoda zabezpieczenia systemów przed phishingiem. A taki właśnie atak spowodował problemy Dworczyka – atakujący zdobył jego login i hasło i miał otwarty dostęp do jego sekretów.
Niestety – wyposażenie wszystkich w klucz również nie rozwiązuje problemu. Samo posiadanie klucza lub używanie go “od czasu do czasu” nie wystarczy. Klucza trzeba używać codziennie. Choćby po to, by szybko zorientować się, że został zgubiony i trzeba go od razu zdezaktywować. Jeśli klucz kryptograficzny będzie w użyciu raz na tydzień lub – o zgrozo – raz w miesiącu, „nieuczciwy” znalazca będzie miał szansę go podrobić i wykraść znajdujący się na nim sekret. Co prawda, jest to długi i żmudny proces, ale jeśli “gra jest warta świeczki” – to i mikroskop elektronowy się znajdzie 🙂
Tak więc, klucze w dłoń i w kieszeń, drodzy politycy! Trzymamy kciuki za to, abyście zaczęli traktować te wspaniałe urządzenia jak kluczyki do samochodu lub portfel z legitymacją, bez której nie możecie dostać się do sejmu.
Antoni Sikora 