Ekspert: Klucze U2F dla polityków tylko z atestem, od sprawdzonych dostawców

Politycy, którzy otrzymają klucze U2F mają zostać obowiązkowo przeszkoleni z ich używania, będą mogli z nich korzystać także do skrzynek prywatnych.

W komentarzu dla CyberDefence24.pl Marcin Szary, dyrektor ds. technologii oraz współzałożyciel Secfense, oceniał że „decyzja o zakupie kluczy kryptograficznych dla polskiego rządu jest jedną z lepszych, którą ostatnio udało się podjąć”.

Konieczne klucze z certyfikatem

Teraz Tomasz Kowalski, prezes i współzałożyciel firmy Secfense, zwraca uwagę, że to najlepszy sposób na ochronę rządu przed kradzieżą danych uwierzytelniania i przejmowania kont, jednak będą one skuteczne jedynie wtedy, kiedy parlamentarzyści będą używali ich codziennie.

Znaczenie ma mieć również wybór odpowiednich kluczy - rząd przy ich zakupie musi zadbać o certyfikaty atestacyjne. Firma zwraca uwagę, że „każdy może przesłać ofertę”, ale nie znaczy, że rząd „powinien każdemu ufać – tym bardziej kiedy sprawa dotyczy narodowego bezpieczeństwa”.

„Aż strach pomyśleć, co mogłoby się stać, jakby rząd kupił kilka tysięcy kluczy U2F np. od podmiotu współpracującego z rządem wrogiego nam kraju. Dostarczone wówczas klucze mogłyby wyglądać identycznie do zamówionych, ale ich mechanizmy kryptograficzne mogłyby być celowo osłabione. Na szczęście, dzięki certyfikatom atestacyjnym możemy prześledzić losy klucza - od linii produkcyjnej podmiotu aż do pierwszego użycia” – mówi Marcin Szary.

Na rynku dostępne są klucze z odpowiednim zabezpieczeniem dla osób pracujących w rządach. „To klucze, których obudowa jest dodatkowo wzmocniona, tak aby jeszcze trudniej było złodziejowi dostać się do ukrytego na kluczu sekretu. I na pewno nie są to takie, które rzecznik (rządu - Piotr Müller – red.) pokazywał ostatnio w TV” – podkreśla dyrektor ds. technologii oraz współzałożyciel Secfense.

Prostota użytkowania

Politycy będą musieli jednak pamiętać, aby klucz U2F włożyć do portu i nacisnąć guzik, aby uwierzytelnić się w internecie. Jeśli ktoś będzie starał się zalogować do witryny podstawionej przez cyberprzestępcę, sam klucz zadba o to, żeby to się nie udało.

Istotne jest jednak obowiązkowe podejście polityków do tego typu kwestii. „Najtrudniejszą i najważniejszą sprawą związaną z zastosowaniem tego rozwiązania jest to, aby politycy klucza zwyczajnie nie gubili i żeby byli świadomi wagi jego znaczenia” – mówi Tomasz Kowalski, prezes i współzałożyciel firmy Secfense.

„Muszą wyrobić w sobie nawyk posiadania klucza zawsze przy sobie, tak jak codziennie w kieszeni mają swój smartfon, dowód osobisty czy legitymację, bez których przecież nie dostaną się do sejmu. Idealnie bezpiecznie by było, gdyby bez klucza U2F nie dało się wysłać żadnego maila” – tłumaczy Kowalski.

Egzemplarz zapasowy może się przydać

Jego zdaniem, każdy polityk powinien otrzymać dwa egzemplarze klucza, przy czym jeden powinien być używany na co dzień, a drugi – czekać zamknięty w sejfie na wypadek awaryjnej sytuacji.

„Podrobienie skradzionego klucza lub odczytanie z niego sekretu jest bardzo długim i skomplikowanym procesem” – mówi Marcin Szary, dyrektor ds. technologii w Secfense. „Jeśli więc polityk będzie używał swojego klucza codziennie, szybko zorientuje się, że go zgubił. Wtedy od razu zareaguje – zgłosi incydent do działu bezpieczeństwa, który zdezaktywuje klucz, zanim złodziej zdoła go podrobić” – dodaje.

Telegram zablokowany, odrodzenie się kanału

Tzw. afera mailowa, która dotyczy wycieku informacji z konta ministra Michała Dworczyka (nie wiemy, które z nich są prawdziwe, a które zostały spreparowane) rozpoczęła się 8 czerwca br. Przez ostatnich kilka tygodni cyberprzestępcy publikują materiały, które mają charakter polityczny, a ostatnio także obyczajowy.

W czwartek wieczorem w związku z interwencją polskiego rządu, kanał na Telegramie, który zajmował się publikacją maili pochodzących z konta pocztowego ministra Michała Dworczyka został zablokowany, jednak w piątek rano pojawił się pod inną nazwą.

/NB

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.