SME

Čipové občianske majú vážnu chybu, podpis sa dá ukradnúť

Ministerstvo vnútra chystá bezpečnejší podpis, no aktuálny problém zľahčuje. O bezpečnostnej diere vie už od júna.

Ilustračné foto.Ilustračné foto. (Zdroj: SME - Gabriel Kuchta)

BRNO, BRATISLAVA. Občiansky preukaz s čipom má vážnu bezpečnostnú chybu, v dôsledku ktorej ktokoľvek s patričnými znalosťami a rozpočtom dokáže na základe verejne dostupných údajov ukradnúť niečí kvalifikovaný elektronický podpis.

SkryťVypnúť reklamu
SkryťVypnúť reklamu
SkryťVypnúť reklamu
Článok pokračuje pod video reklamou
SkryťVypnúť reklamu
Článok pokračuje pod video reklamou

Takýto podpis sa dá následne ľahko zneužiť, pretože podľa zákona je rovnocenný s vlastnoručným podpisom; kvalifikovaným elektronickým podpisom sa podpisujú podania na súd či obchodný register, exekúcie alebo aj prevod nehnuteľnosti. Na tému ako prvý upozornil server DSL.sk.

SkryťVypnúť reklamu

Ministerstvo vnútra chybu pripúšťa, situáciu zľahčuje a avizuje, že už pripravuje riešenie na zaistenie bezpečnosti podpisov. Chybu v preukazoch odhalil česko-slovenský tím výskumníkov z Masarykovej univerzity v Brne. Technické podrobnosti zverejnili na webe.

Prečítajte si tiež: Výskumník: Chyba je zapečená priamo v preukazoch Čítajte 

„Pracovali sme na tom zhruba dva roky,“ vraví pre SME výskumník Petr Švenda z katedry počítačových systémov a komunikácie. Výskum nebol špeciálne zameraný na slovenské preukazy, skúmali rôzne šifrovacie nástroje.

Nakoniec odhalili chybu v jednej konkrétnej technológii, ktorú každodenne využívajú milióny používateľov na celom svete pri surfovaní na webe, posielaní e-mailov či podpisovaní elektronických dokumentov.

Chyba v slovenských čipových preukazoch teda nesúvisí s kvalitou tunajšieho e-governmentu, na ktorý sa minula viac ako miliarda eur.

SkryťVypnúť reklamu

Ako získať súkromný kľúč

V obehu je podľa aktuálnych údajov 2,5 milióna čipových dokladov, 300-tisíc z nich obsahuje aj elektronický podpis a bezpečnostná chyba sa ich bezprostredne dotýka. Pri elektronickom podpisovaní sa používajú dva typy šifrovacích kľúčov – verejný a súkromný.

Súkromný je nahraný v čipovom občianskom preukaze a slúži na podpisovanie dokumentu. Štandardne je súkromný kľúč určený len pre jeho majiteľa, nik iný by sa ním nemal podpisovať a nik iný by ho nemal poznať, aby sa podpis nedal ukradnúť a zneužiť.

Verejný kľúč je naopak súčasťou akékoľvek dokumentu, ktorý občan elektronicky podpísal a slúži na to, aby si úradníci alebo obchodní partneri mohli overiť pravosť digitálneho podpisu.

Výskumníci zistili, že šifrovací algoritmus v preukazoch je slabý, vďaka čomu sa dá z dostupného verejného kľúča dopočítať súkromný kľúč, čo by nemalo byť možné.

SkryťVypnúť reklamu

Táto zraniteľnosť sa objavila v šifrovacom algoritme RSA v spojení s konkrétnym bezpečnostným čipom od nemeckej firmy Infineon, na ktorom sa podpisové kľúče generujú. Práve tento algoritmus na tomto čipe sa používa v slovenských občianskych preukazoch.

Pár tisíc eur

Čipový občiansky používa 2048-bitové kľúče, toto číslo vypovedá o dĺžke a zložitosti daného kľúča.

Ak by útočník získal verejný kľúč občana, ktorý sa bežne objavuje v podpísaných dokumentoch, trvalo by 141 rokov vypočítať príslušný súkromný kľúč. Ale iba v prípade, že by sa takýto výpočet robil na domácom, tri roky starom počítači.

Ak by si útočník prenajal niekoľko desiatok serverov, trvalo by to niekoľko hodín, maximálne dní. Výskumníci vypočítali, že takýto prenájom by stál 20- až 40-tisíc eur. Výskum pritom naďalej pokračuje a podľa dostupných informácií skúmajú aj možnosti, ako sa dá digitálny podpis prelomiť skôr a lacnejšie.

SkryťVypnúť reklamu

Ale už suma 20- až 40-tisíc eur je relatívne nízka, keďže môže byť motivovaný výrazne vyššími ziskami, napríklad podvodným prevodom majetku či firmy.

Vláda mesiace mlčala

Výskumníci z Masarykovej univerzity odhalili chybu ešte v januári tohto roka, v súlade s pravidlami etického hackingu o nej verejne nehovorili, informovali výrobcu čipov a dali mu čas, aby na ňu zareagoval. Opis chyby zverejnili po desiatich mesiacoch.

Začiatkom leta nemecká firma Infineon Technologies upozornila na chybu zákazníkov, v júni prišlo takéto varovanie aj na Slovensko, potvrdilo ministerstvo vnútra pre SME.

Prečítajte si tiež: Digitálne podpisy sudcov a advokátov chybu nemajú Čítajte 

V rovnakom čase prišlo varovanie aj do Estónska, ktoré používa vo svojich čipových občianskych preukazoch rovnakú chybnú technológiu na digitálne podpisovanie.

Ale kým estónska vláda občanov na problém upozornila a pripravuje výmenu certifikátov na preukazoch, slovenské ministerstvo vnútra mlčalo. Prvýkrát problém priznalo až pre portál DSL.sk v pondelok podvečer, keď výskumníci zverejnili sumár svojej práce.

SkryťVypnúť reklamu

V utorok ministerstvo vydalo širšie stanovisko, kde bezpečnostnú dieru síce priznáva, ale zľahčuje. Odvoláva sa napríklad na to, že ide len o teoretickú možnosť zneužitia, keďže vypočítať súkromný kľúč by trvalo veľmi dlho.

Sľubujú bezpečnejší kľúč

Ministerstvo zároveň informovalo, že pracuje na zaistení bezpečnosti podpisu. „Držitelia elektronických preukazov si ich nebudú musieť meniť,“ ubezpečuje.

V najbližšom čase ministerstvo plánuje zaviesť do dokladov 4096-bitový kľúč, dvakrát dlhší a zložitejší než aktuálne používaný. Výrazne to predĺži čas potrebný na prelomenie kľúča, čo zaistí jeho bezpečnosť na niekoľko ďalších rokov.

Ministerstvo zároveň avizuje, že by chcelo nahradiť celý šifrovací algoritmus v čipe - starší algoritmus RSA z 80. rokov moderným algoritmom ECC, ktorý sa začal používať v roku 2004.

SkryťVypnúť reklamu

Úradníci sľubujú, že sa pokúsia všetko urobiť na diaľku, aby ľudia nemuseli chodiť s dokladmi na policajné stanice. „Pri obnove a generovaní nových komponentov pre tvorbu elektronického podpisu v maximálnej miere využijeme elektronické služby,“ tvrdí.

Na porovnanie Estónsko plánuje chybu odstrániť tak, že občania si pomocou špeciálneho softvéru z domu sami nahrajú na čipový preukaz novú bezpečnejšiu technológiu na tvorbu digitálneho podpisu.

Zrušiť podpisy všetkým?

Pravidlá na vytváranie a overovanie podpisových certifikátov hovoria, že keď sa ukáže reálna hrozba zneužitia podpisových kľúčov, musia sa všetky zneplatniť. Ide drastické opatrenie, ktoré by malo dopad na všetkých 300-tisíc držiteľov e-občianskeho s podpisom.

Prečo sa tak ešte nestalo? „Publikovaná zraniteľnosť je zatiaľ len teoretická,“ vraví Jaroslav Ondriska, riaditeľ výskumu a vývoja vo firme Disig, od ktorej vláda nakupuje podpisové kľúče pre občanov.

SkryťVypnúť reklamu

Je pravda, že výskumníci zatiaľ nezverejnili reálny príklad zneužitia odhalenej chyby, dovtedy teda vláda aj Disig považujú chybu iba za teoretickú. „Máme za to, že doposiaľ nebol preukázaný žiaden z prípadov, ktoré nás oprávňujú zrušiť certifikáty,“ vraví Ondriska.

Výskumníci z Brna ohlásili na 2. novembra prednášku, kde zverejnia ďalšie podrobnosti o chybe v podpisovaní; na takýchto prednáškach sa zvykne zverejniť aj ukážka konkrétneho zneužitia chyby.

Ondriska potvrdil, že ak sa reálne preukáže zneužitie verejného kľúča z e-občianskeho, po dohode s ministerstvom vnútra zneplatnia podpisové kľúče všetkým občanom.

Výskumníci pritom odovzdali výrobcovi čipov reálne súkromné kľúče, ku ktorým sa dopočítali. Vážnosť chyby uznal aj Microsoft, keď minulý týždeň vydal bezpečnostnú záplatu pre softvér s odhalenou chybou.

SkryťVypnúť reklamu

Kto sa bojí, nech zruší kľúče

Podmienky používania čipových občianskych hovoria, že pri hrozbe úniku súkromného podpisového kľúča treba tento kľúč zneplatniť. Odporúča to aj ministerstvo ľudom, ktorí sa obávajú o bezpečnosť svojho digitálneho podpisu, ale akú majú alternatívu, nehovorí.

Elektronický podpis je pritom už dnes nevyhnutnosť, od jari je totiž exekučné konanie elektronické a portál Slovensko.sk je povinný pre všetky firmy.

Kľúče na podpisovanie sa dajú zneplatniť osobne na ktoromkoľvek policajnom oddelení dokladov alebo cez web. V utorok pritom webová služba na zneplatnenie podpisu nefungovala.

Národný bezpečnostný úrad, ktorý podľa zákona zodpovedá za celú oblasť digitálneho podpisovania, na otázky neodpovedal.

SkryťVypnúť reklamu

Najčítanejšie na Index

KURZY

Koľko dostanem za 1 euro (28. 3. 2024)
USD 1.082
AUD 1.660
CZK 25.319
JPY 163.520
CAD 1.471
GBP 0.858
HUF 395.400
PLN 4.315
CHF 0.981
SEK 11.506

Zobraziť kompletný kurzový lístok

Komerčné články

  1. Špičkové pokrytie v záhrade či v pivnici? Takto internet rozšírite do každého kúta
  2. Za hranicami bytu: Ako si vybudovať dobré susedské vzťahy?
  3. Prečo vymeniť plastové vchodové dvere za hliníkové?
  4. Všetky divy sveta v privátnom lietadle dnes so zľavou 12 225 eur
  5. Wellness v prírode: máme tip, kde si na jar najlepšie oddýchnete
  6. Do ZWIRN OFFICE sa sťahuje špičková zubná klinika 3SDent
  7. Slováci minuli za 4 dni na dovolenky 6,4 milióna eur
  8. Deväť dobrých: Jarný literárny výber v denníkoch SME a Korzár
  1. Za hranicami bytu: Ako si vybudovať dobré susedské vzťahy?
  2. Výlet 2 v 1: Jednou nohou na Slovensku, druhou v Rakúsku
  3. Ahoj, TABI! Kto je záhadný digitvor?
  4. Všetky divy sveta v privátnom lietadle dnes so zľavou 12 225 eur
  5. Prečo vymeniť plastové vchodové dvere za hliníkové?
  6. Dobrovoľníci z MetLife vysadili nové stromy a kríky
  7. MISSia splnená. Projekt Kesselbauer ožíva spokojnými majiteľmi
  8. Wellness v prírode: máme tip, kde si na jar najlepšie oddýchnete
  1. Fellner otvorene: Manželka mi vyčítala, že zo mňa nič nemá 30 694
  2. Do utorka za vás uhradia polovicu exotickej dovolenky 16 525
  3. Deväť dobrých: Jarný literárny výber v denníkoch SME a Korzár 15 287
  4. McDonald's reštaurácia Košice Jazero ukončuje svoju prevádzku 13 030
  5. Slováci minuli za 4 dni na dovolenky 6,4 milióna eur 10 655
  6. Patria medzi svetovú elitu. Slováci zariskovali a predbehli dobu 9 980
  7. Prečo vymeniť plastové vchodové dvere za hliníkové? 9 590
  8. Všetky divy sveta v privátnom lietadle dnes so zľavou 12 225 eur 7 352
  1. INESS: Blockchain v zdravotníctve
  2. Jiří Ščobák: Je nový II. pilier dlhodobo udržateľný? Ktoré zmeny sú pozitívne a ktoré negatívne?
  3. Juraj Karpiš: Ako investovať a sporiť, keď spľasla matka všetkých bublín a hrozí recesia
  4. Milan Dubec: Kedy klesnú ceny nehnuteľnotí v Žiline?
  5. Jozef Drahovský: Budú od januára jazdiť kamióny po diaľniciach bez platenia mýta?
  6. Jozef Drahovský: Zákaz nedeľného predaja, cirkev, ego a zdravý rozum
  7. Adam Austera: Ako sa aktuálne darí najvýznamnejším dodávateľom vakcín proti Covid-19?
  8. INESS: Lieky bude treba platiť inak
  1. Ivan Čáni: Korčok vybuchol – Pellegrini ho zožral zaživa. 44 871
  2. Ivan Mlynár: Fašistický sajrajt Tomáš Taraba, je už zamotanejší, ako nová telenovela. 13 447
  3. Peter Bolebruch: Každa rodina bola podvedená o 80 tisíc v priemere. Ako podviedli vidiek a ožobráčili ľudí o role a pozemky? Kto je pozemková mafia? 13 325
  4. Post Bellum SK: Prvé transporty smrti boli plné mladých dievčat 12 213
  5. Janka Bittó Cigániková: Drucker to vyhlásil 1. februára, Dolinková to stále zdržiava. Stáť nás to môže zdravie a životy 8 339
  6. Michael Achberger: Vitamínový prevrat, o ktorom lekári mlčia: Ako lipozomálne vitamíny menia pravidlá! 8 318
  7. Miroslav Galovič: Nezalepený dopis víťazovi prezidentských volieb 7 593
  8. Ján Šeďo: Malý cár : "Uvedomme si, že máme 2 atómové elektrárne". Vážne ? 6 415
  1. Pavol Koprda: Demografia a voľby - čo sa zmenilo od roku 1999
  2. Jiří Ščobák: Ivan Korčok aktuálně zvítězil ve facebookové diskusi nad Petrem Pellegrinim!
  3. Jiří Ščobák: Velikonoce jsou výborné na podporu Korčoka na sociálních sítích! Pojďme do toho! ❤
  4. Iveta Rall: Polárne expedície - časť 76. - Arkdída - Vilkitský a Ušakov, ktorí sa zaslúžili o posledné arktické objavy
  5. Yevhen Hessen: Teroristický útok v Moskve a mobilizácia 300 000 Rusov
  6. Monika Nagyova: Synom, ktorí svoje matky nešibú
  7. Post Bellum SK: Prvé transporty smrti boli plné mladých dievčat
  8. Yevhen Hessen: Postup pri zdaňovaní príjmov pre odídencov z Ukrajiny
SkryťVypnúť reklamu
SkryťVypnúť reklamu
SkryťVypnúť reklamu
SkryťVypnúť reklamu

Hlavné správy zo Sme.sk

Premiéra Roberta Fica (Smer) vítajú v Galante na výjazdovom rokovaní vlády v čase volebnej kampane k voľbe prezidenta

Pellegrini cez šéfa Aliancie láka Maďarov. Ten podrazil vlastnú stranu.


a 1 ďalší
Šéfredaktorka denníka SME Beata Balogová.

Orbánove médiá vykresľujú Pellegriniho ako mierotvorcu a Korčoka ako vojnového štváča.


Eduard Šebo (3 ku 2)

Eduard Šebo patrí medzi najbohatších Slovákov.


Kde a ako skončili prokurátori zo zrušenej špeciálnej prokuratúry.


a 2 ďalší

Neprehliadnite tiež

	
Snímka z nového vlakového spojenia na Ukrajinu v Košiciach 28. marca 2024.

Priamy spoj na ukrajinskú hranicu umožňuje prestup na spoje ukrajinských železníc.


TASR
Letisko M.R. Štefánika v Bratislave

Najväčšie slovenské letiská pridávajú nové destinácie.


Dnes  vieme, že  medzi cárskym ortodoxným imperializmom, imperializmom Sovietskeho zväzu a dnes Ruskej federácie nie je rozdiel.

Žiada aj prijatie opatrení, ktoré zaistia použitie domáceho softvéru.


TASR
Ilustračné foto.

Neznámy odosielateľ informuje ľudí, že majú otvorený účet.


TASR
  1. INESS: Blockchain v zdravotníctve
  2. Jiří Ščobák: Je nový II. pilier dlhodobo udržateľný? Ktoré zmeny sú pozitívne a ktoré negatívne?
  3. Juraj Karpiš: Ako investovať a sporiť, keď spľasla matka všetkých bublín a hrozí recesia
  4. Milan Dubec: Kedy klesnú ceny nehnuteľnotí v Žiline?
  5. Jozef Drahovský: Budú od januára jazdiť kamióny po diaľniciach bez platenia mýta?
  6. Jozef Drahovský: Zákaz nedeľného predaja, cirkev, ego a zdravý rozum
  7. Adam Austera: Ako sa aktuálne darí najvýznamnejším dodávateľom vakcín proti Covid-19?
  8. INESS: Lieky bude treba platiť inak
  1. Ivan Čáni: Korčok vybuchol – Pellegrini ho zožral zaživa. 44 871
  2. Ivan Mlynár: Fašistický sajrajt Tomáš Taraba, je už zamotanejší, ako nová telenovela. 13 447
  3. Peter Bolebruch: Každa rodina bola podvedená o 80 tisíc v priemere. Ako podviedli vidiek a ožobráčili ľudí o role a pozemky? Kto je pozemková mafia? 13 325
  4. Post Bellum SK: Prvé transporty smrti boli plné mladých dievčat 12 213
  5. Janka Bittó Cigániková: Drucker to vyhlásil 1. februára, Dolinková to stále zdržiava. Stáť nás to môže zdravie a životy 8 339
  6. Michael Achberger: Vitamínový prevrat, o ktorom lekári mlčia: Ako lipozomálne vitamíny menia pravidlá! 8 318
  7. Miroslav Galovič: Nezalepený dopis víťazovi prezidentských volieb 7 593
  8. Ján Šeďo: Malý cár : "Uvedomme si, že máme 2 atómové elektrárne". Vážne ? 6 415
  1. Pavol Koprda: Demografia a voľby - čo sa zmenilo od roku 1999
  2. Jiří Ščobák: Ivan Korčok aktuálně zvítězil ve facebookové diskusi nad Petrem Pellegrinim!
  3. Jiří Ščobák: Velikonoce jsou výborné na podporu Korčoka na sociálních sítích! Pojďme do toho! ❤
  4. Iveta Rall: Polárne expedície - časť 76. - Arkdída - Vilkitský a Ušakov, ktorí sa zaslúžili o posledné arktické objavy
  5. Yevhen Hessen: Teroristický útok v Moskve a mobilizácia 300 000 Rusov
  6. Monika Nagyova: Synom, ktorí svoje matky nešibú
  7. Post Bellum SK: Prvé transporty smrti boli plné mladých dievčat
  8. Yevhen Hessen: Postup pri zdaňovaní príjmov pre odídencov z Ukrajiny
SkryťZatvoriť reklamu