Naštrbená dôvera k elektronickým certifikátom

Potreba bezpečnej komunikácie sa obracia do sveta informačných technológií. Cez internet píšeme listy, realizujeme platby. No ako vieme, kto je osoba na druhej strane? Musíme sa spoľahnúť na údaje, ktoré nám o nej poskytne počítač. Na potvrdenie pravdivosti identifikačných údajov sa používajú tzv. digitálne certifikáty.

Nedávno spôsobila rozruch správa vydaná 22. marca 2001 spoločnosťou Microsoft o existencii falošných certifikátov vystavených na jej meno. Správa uvádza, že certifikáty "môžu byť použité na podpísanie ľubovoľných programov, ActiveX komponentov a makier pre Office získaných bežne elektronickou poštou alebo pomocou WWW". To znamená, že taký kód môže obsahovať vírusy, môže poškodiť alebo úplne zničiť údaje vo vašom počítači. Pritom sa bude prezentovať ako platne podpísaný od Microsoft Corporation.

Elektronický certifikát predstavuje potvrdenie pravosti údajov, ktoré o sebe zverejňuje príslušný objekt. Potvrdenie vydáva tretia strana (certifikačná autorita), ktorej musí dôverovať tak subjekt, pre ktorý je certifikát vydávaný, ako aj používateľ, ktorý s ním komunikuje. V súčasnosti najznámejšou certifikačnou autoritou, ktorá vydala 95 percent všetkých certifikátov, je spoločnosť Verisign. Práve ona vydala 29. a 30. januára 2001 dva certifikáty na elektronický podpis pre spoločnosť Microsoft. Ukázalo sa však, že osoby, ktorým tento podpis patril, nemajú s Microsoftom nič spoločné. Situácia pritom nie je nová - občas sa stane, že platný certifikát treba zrušiť (napríklad v prípade krádeže podpisu). Verisign má na zozname vyše 300 takýchto certifikátov. Bežne používané aplikácie ako Internet Explorer však nedokážu automaticky rozoznať zrušené certifikáty, a preto pred nimi používateľa nijako nevarujú.

Na túto chybu existuje liek. Každý certifikát sa kontroluje, a ak je nájdený na zozname zrušených certifikátov, používateľ je pred ním varovaný. Toto je však iba čiastočné riešenie problému, pretože použitý zoznam je statický. Ak ho chce mať používateľ aktuálny, musí ho ručne získať a nainštalovať, a to aspoň raz za týždeň.

Spomínaný prípad tvorí iba vrchol ľadovca, ktorý poukázal na nedostatky súčasných technológií zabezpečovania komunikácie.

Ľubor Illek
Autor pôsobí v spoločnosti Gordias, s. r .o. , Bratislava, ktorá sa špecializuje na bezpečnosť informačných systémov.