PRAHA Bezhlavé „odklikávání“ chybových a výstražných hlášení prohlížeče by se mohlo uživatelům informačního systému datových schránek notně vymstít. Systém totiž vyžaduje pro svůj běh instalaci certifikátu České pošty, respektive její podřízené organizace PostSignum. Pokud si uživatelé neověří, zda instalují pravý certifikát pošty, mohou svá přístupová data posílat internetovým útočníkům.
Ti totiž dokážou uživatele zmást a podstrčit mu falešnou stránku, která vypadá přesně jako stránky poštovního PostSigna, ze kterých uživatelé certifikát stahují. V takovém případě dojde k instalaci útočníkova certifikátu, díky kterému se neoprávněná osoba dokáže dostat k přístupovým datům do firemní datové schránky a vystupovat jejich jménem. Například může mazat přijaté zprávy či jménem firmy zasílat zprávy úřadům.
Podle Miroslava Ludvíka, technického ředitele firmy 4Safety, která na možný útok upozornila, může být útočníkem například kterýkoli správce sítě. „Například administrátor wi-fisítě na sídlišti. Podle nás je lidí, kteří budou schopni takový útok vést a pracují v příslušných pozicích, tisíce,“ uvedl Ludvík. Podle něj si pošta buď nenechala provést bezpečnostní audit systému, nebo se neřídila jeho výsledky.
Ludvík také upozornil na to, že pokud by pošta použila certifikát od takzvané důvěryhodné certifikační autority, nemuselo by k ničemu dojít. Tyto certifikáty totiž obsahují všechny prohlížeče „v sobě“ a uživatelé si je na rozdíl od toho, který využívá systém datových schránek, nemusejí instalovat sami.
Podle bezpečnostního architekta systému datových schránek Radka Smolíka by byla na místě výměna certifikátu PostSigna, který podle něj nepatří mezi celosvětově „důvěryhodné“. „Můj osobní názor je, že Česká pošta by měla použít certifikát například od certifikační autority Verisign. Uživatelům to nezpůsobí žádný problém a navenek nic nepoznají. Pokud by ale skutečně existovali uživatelé, kteří si nainstalovali falešný certifikát, tímto krokem by případní útočníci byli ze hry,“ uvedl Smolík.
Certifikát se dá ověřit na infolince Smolík také upozornil na to, že pravý certifikát pošty se dá získat na každé pobočce pošty. Pokud si jej zájemce stáhne z internetu podle návodu na informačních stránkách projektu datových schránek, měl by si pak ověřit, že soubor, který si stáhl, je pravý, a nikoli falešný a někým podstrčený.
Zda má uživatel datové schránky nainstalován ve svém počítači pravý certifikát pošty, a ne ten podvržený, který si do počítače případně nainstaloval ze stránek internetových útočníků, lze ověřit například na informační lince české pošty. Při testovacím hovoru LN pracovnice infolinky bez problémů odrecitovala čtyřicetimístné číslo, takzvaný otisk certifikátu. Toto číslo se musí zcela shodovat s otiskem certifikátu, který mají lidé nainstalovaný na svém počítači v prohlížeči, který používají.
***
CERTIFIKÁTY Mohou je zneužít podvodníci
Systém datových schránek je zabezpečován mimo jiné i pomocí certifikátů, což jsou šifrovací klíče, které zajišťují bezpečné spojení mezi uživatelem systému a systémem samotným.
Uživatelé si ale musejí certifikát nainstalovat. Vydává ho takzvaná certifikační autorita, v tomto případě organizace PostSignum.
Pokud si uživatel neověří, že nainstaloval pravý certifikát, může mu internetový útočník podstrčit ze svých stránek, které vypadají stejně jako stránky PostSigna, falešný certifikát.
S jeho pomocí se pak může zmocnit osobních dat uživatele.
Pravost certifikátu je možné ověřit pomocí takzvaného kontrolního součtu, tedy čtyřicetimístného čísla, které je pro každý certifikát unikátní.
Tento „digitální otisk“ se zobrazí při instalaci certifikátu. Číslo není vhodné ověřit stejným kanálem, jakým uživatel dostal certifikát, ale pomocí například telefonátu na infolinku pošty. Bezpečné také je nahrání certifikátu přímo na poště.
