Je to situace, se kterou se setkáváme znovu a znovu. Nové řešení vypadá na první pohled úžasně, ale když se na něj podíváme detailněji, čouhají z něj rizika na všech stranách. Tudíž můžeme již dnes odhadnout, že alespoň některá z těch rizik se dříve či později naplní, bude přibývat podvodů, k důvěrným údajům se dostanou nepovolaní, odpovědní činitelé si budou stěžovat na cizí rozvědky… Přitom tomu všemu bylo možné se vyhnout. Stačilo mít na paměti desítky let staré a dobře ověřené zásady informační bezpečnosti a ochrany proti padělání.
V americkém státu Alabama umožňují, aby se o vrácení přeplatku daně žádalo elektronicky. Odehrávala se kolem toho spousta podvodů, takže se úřady rozhodly pro důkladnější autentizaci uživatelů. Nově má probíhat tak, že žadatel do svého mobilu stáhne autentizační aplikaci (existuje ve verzích pro Android a iOS), pomocí mobilu vyfotí svůj řidičský průkaz, pak vyfotí sebe, odešle, je prohlášen za důvěryhodného a může činit právní úkony. Tvůrci systému si uvědomovali riziko, že někdo nastrčí před fotoaparát fotografii. Aplikace tedy po něm chce, aby se před kamerou otáčel. Detailně je to popsáno zde.
Systém samozřejmě neřeší podvody tak sofistikované, že by útočník předstrčil před kameru video (v době deepfake by to nebylo až tak obtížné). Ale slabým místem je především průkazka. Řidičský průkaz státu Alabama je chráněn proti padělání magnetickým proužkem, obrázky viditelnými jen pod UV světlem a mikropísmem. Není to vrchol bezpečnosti, ale určitou jistotu to dává. Jenže před kamerou může být řidičský průkaz nahrazen kusem papíru vytvořeným v jednoduchém grafickém programu. Náročnost padělání téměř nulová.
Můžeme se tedy spolehnout, že to podvodníci zkusí. A že budou úspěšní. Protože na začátku bylo vybudováno řešení obsahující systémovou chybu.
Co k tomu říká stará teorie? Že je zapotřebí rozlišovat mezi autentizací ve fyzickém světě a autentizací v elektronickém světě. Ve fyzickém světě jde vždy o to, že jeden člověk se snaží prokázat jinému člověku, že je tím, kým o sobě tvrdí. Protistrana může používat nějakou automatizaci, ale pořád je na člověku, zda uvěří nebo neuvěří. Na letišti procházíme elektronickou bránou, ale policista si nás může vytáhnot z řady. Prokazování identity ve fyzickém světě je založeno na tom, kdo jsme, jak vypadáme a také, jaký průkaz totožnosti máme s sebou.
Prokazování identity v digitálním světě není primárně založeno na tom, jak vypadáme, ale na hashích, certifikátech, elektronických podpisech a podobných nástrojích. Digitální identita se opírá o fyzickou. Zejména je zapotřebí počítat s tím, že může být prolomena a že záchranný proces se bude odehrávat ve fyzickém světě.
Problém je, když se oba koncepty smíchají – něco ze světa fyzického, něco z digitálního. Logickým důsledkem je nižší bezpečnost. Za čas možná uslyšíme, že je to daň za pokrok. Není. Je to daň za ignorování bezpečnostních zásad.
Jaké by bylo správné řešení? Třeba podobné českého Czech POINTu. Žadatel by si došel na nejbližší úřad nebo policejní stanici, tam by si ho prohlédli, ověřili jeho totožnost a vydali by mu elektronický certifikát nebo něco na ten způsob.
Společnost Optaglio pomáhá v podobných situacích dodávkami produktů a služeb, které zahrnují, mimo jiné:
- Konzultační podporu při vytváření systému autentizace
- Viditelné prvky ochrany proti padělání
- Mikrohologramy pro skrytou a forenzní úroveň ochrany
- Řešení pro kontrolu dokladu vůči databázi, aniž by byly přenášeny citlivé osobní údaje
- Neustálé vylepšování a vývoj technologií tak, aby byl udržen náskok před padělateli.
BLOG společnosti OPTAGLIO 