Jak zvýšit bezpečnost elektronické komunikace

Přenos důvěrných informací se v budoucnosti změní

Bezpečnostní specialisté v oblasti informačních technologií (IT) v blízké budoucnosti očekávají přechod od tradičních forem bezpečné komunikace (doporučených listovních zásilek a kurýrních služeb) k zabezpečené elektronické, například k e-mailové službě. Tento trend je zřejmý. Zároveň s ním však do popředí vystupuje potřeba zásadního bezpečnostního řešení v této oblasti.
Problémy zabezpečení elektronické výměny informací však nejsou jen otázkou budoucnosti. Již v současnosti můžeme najít příklady konkrétních transakčních aplikací využívajících zabezpečené komunikace. Touto aplikací je například internetové bankovnictví.

Zabezpečení komunikačních kanálů.

V poslední době byly zneužity internetbankingy některých bank a tyto úspěšné útoky vyvolaly diskuse o úrovni zabezpečení těchto kanálů. Banky prozatím škody vzaly na sebe a obratem zavedly dodatečné bezpečnostní metody. Zobecněme však tento problém a uvědomme si, že takzvaný bezpečný komunikační kanál tvoří několik uzlů. Bezpečnost celého kanálu limituje zabezpečení toho nejslabšího. Jako příklad použijeme právě komunikaci mezi klientem a bankovním domem.
Za bezpečné lze považovat bankovní systémy díky tomu, že jsou provozovány na vysoké profesionální úrovni a za velkých nákladů.
Další částí řetězu je internet, který je ze své povahy velmi nebezpečný a není možné ho aktivně ovlivňovat. Překvapivě však lze říci, že při správném použití běžně dostupných technologií (SSL, elektronický podpis) je možné i tento uzel považovat za relativně bezpečný.

Problémem je klient.

Zásadním uzlem je klient, respektive jeho počítač, jehož prostřednictvím prezentuje svou vůli komunikačním partnerům. Dovolíme si již předem tvrdit, že tento uzel je aktuálně tím nejméně bezpečným a určuje bezpečnost celého komunikačního kanálu. Počítač klienta se obvykle stává terčem útoku zacíleného na krádež elektronické identity nebo na ztrátu kontroly nad technickými prostředky, jež ji reprezentují. V případě nedostatečně zabezpečeného počítače útočník obvykle nad ním nebo nad aplikací přebírá kontrolu. Všechny úkony, které pak klient činí, má tento útočník pod kontrolou, a dokáže je nejen monitorovat, ale i modifikovat, případně provádět samostatně. Tento útok je odborně označován jako Man-in-Middle (MiM), tedy něco jako člověk-útočník uprostřed, myšleno mezi bankou a klientem. Tedy i kvalitní bezpečnostní klientova technologie (čipová karta, automatický kalkulátor) může být degradována nebo zneužita.

Ověření identity.

Zvýšení úrovně bezpečnosti elektronické komunikace lze řešit zavedením dodatečného způsobu ověření identity klienta nebo transakce prostřednictvím nezávislého kanálu. Příkladem je ověření prostřednictvím SMS, které je označováno v kombinaci s registrací telefonního čísla za bezpečné. Bezpečnost autorizačních SMS má však kromě útoku na mobilní zařízení ještě další limity (moderní telefony jsou stejně náchylné na infekci - to znamená na ztrátu důvěryhodnosti - jako počítače). Aby totiž tato SMS reálně zvýšila zabezpečení elektronického kanálu, musí obsahovat detaily transakce podle představy bankovního systému a na klientovi je, aby si ověřil shodu se svým požadavkem. Tento úkon je technicky možný pouze u jednoduchých transakcí, nikoli u hromadného příkazu. V tomto článku zcela pomíjíme (ne)pohodlí klienta a někdy reálnou nemožnost autorizační SMS použít.
Jiným způsobem může být hlasová komunikace, kdy je klient požádán o potvrzení transakce, kterou bankovní systém, monitorující jeho běžné aktivity, označí za podezřelou a vymykající se jeho profilu.

Řádné poučení uživatele.

Uvedená dodatečná zvýšení míry bezpečnosti jsou aplikovatelná právě v rámci bankovních domů, které jsme uváděli za příklad. I zde však přinášejí nezanedbatelné problémy dodatečné náklady na jednu transakci, které nese banka.
Transakční komunikace mezi subjekty obvykle kryje smluvní či přímo zákonný rámec, jenž obě strany zavazuje a dává jim práva, povinnosti a související odpovědnosti. V případě banky jde kromě všeobecných obchodních podmínek také o smlouvu o použití konkrétní bezpečnostní technologie. Banky jsou evidentně oprávněně kritizovány za nedostatečnou informovanost klientů o nutných bezpečnostních opatřeních. Jde o přístup, kdy je přenášena odpovědnost za užití i zneužití bezpečnostních technologií a prostředků na uživatele. Ani konstrukce zákona o elektronickém podpisu však není k uživateli přívětivější a spíše jen vyjmenovává povinnosti držitele certifikátu. Zneužití PC klienta může být v případě, kdy poskytovatel služby řádně nepoučil uživatele, až okolností, jež podle obchodního zákoníku vylučuje odpovědnost uživatele.

Aktivní účast poskytovatele.

Dalším argumentem pro aktivní zapojení poskytovatele služby do zabezpečení PC je obecná prevenční povinnost předcházet škodám ve smyslu Občanského zákoníku. Dále je ve smyslu zákona o elektronických komunikacích jednoznačnou povinností podnikatele poskytujícího veřejně dostupnou službu elektronickou komunikací informovat dotyčné účastníky o specifickém riziku porušení bezpečnosti sítě ve vztahu k ochraně údajů (osobních, provozních a lokalizačních) a k důvěrnosti komunikací. Když toto riziko přesahuje rozsah jím přijímaných opatření, je povinen pod sankcí účastníky informovat i o veškerých možnostech docílení nápravy včetně souvisejících nákladů.
Z uvedeného lze dovodit, že poskytovatelé transakčních služeb - nejen bankovní ústavy - by zejména ve vlastním zájmu měli více a prokazatelně informovat klienty o rizikách spojených s elektronickou komunikací a poskytovat jim vyšší bezpečnostní podporu. Ani po průměrně technicky zdatném uživateli nelze požadovat, aby se vyrovnal s riziky elektronické komunikace, která je přitom uskutečňována společně a v zájmu obou stran.

Obchodně zajímavý artikl.

Budeme-li chtít zvýšit bezpečnost obecného komunikačního kanálu, nezbývá nic jiného než zvýšit míru zabezpečení klientské strany, tedy znalost klienta. Tato snaha však dlouhodobě naráží na dosavadní přístup výrobců softwaru, který jde proti uživatelské jednoduchosti, srozumitelnosti, a tedy možnosti vzdělávání klienta. Proto bude nezbytné, aby jako součást aplikací pro bezpečnou komunikaci (v obecném smyslu) byly klientům poskytnuty zvládnutelné nástroje a technologie nezbytné v oblasti nastavení, kontroly a monitoringu jejich počítače (například v rámci poskytování internetového připojení - ISP), případně jim uvedené poskytnout formou služby. S předpokládaným nárůstem elektronické výměny citlivých informací poroste i potřeba řešit klientovu bezpečnost, a to v závislosti na typu poskytované služby. Klientova bezpečnost a s ní související systémy se stanou dalším obchodně zajímavým artiklem.

Box
Společnost LogicaCMG LogicaCMG je přední světový dodavatel služeb v oblasti IT. Zaměstnává téměř 40 000 lidí v 41 zemích světa a pomáhá svým zákazníkům budovat a udržet vedoucí postavení na trhu. K tomu využívá hlubokých profesních znalostí a zkušeností z mnoha úspěšně realizovaných projektů. LogicaCMG poskytuje konzultační služby, systémovou integraci, outsourcingové služby zákazníkům působícím především v sektorech telekomunikací, finančních služeb, energetiky, průmyslu a veřejné správy. Společnost zaujímá silnou pozici zejména na evropských trzích, kde je obchodována na burzách v Londýně, Amsterdamu a Stockholmu. Více informací najdete na www.logicacmg.com.
LogicaCMG CEE má centrálu v Praze, pobočky v Bratislavě, Brně, Plzni, Budapešti a ve Vídni. Zaměstnává více než 700 lidí, kteří realizují projekty pro nejvýznamnější společnosti a organizace v České republice, na Slovensku a v dalších zemích střední Evropy, podporují zákazníky v USA a západní Evropě a vyvíjejí softwarové systémy pro globální telekomunikační trhy. LogicaCMG byla jako první společnost v České republice a na Slovensku certifikována podle mezinárodních standardů ISO 9001 : 2000 a TickIT Issue 5.0. LogicaCMG je jednou z prvních poradenských a technologických firem na českém trhu, které se podařilo získat certifikát organizace, jež dodržuje standardy šetrného chování k životnímu prostředí podle mezinárodní normy EN ISO 14001 : 2004.