Informatikai szörnyszülött az Ügyfélkapu

Titkosítás, biztonság, privát szféra

Nem biztonságos a magyar elektronikus közigazgatás zászlóshajójának, a kormányzati portálon elérhető Ügyfélkapunak a használata – állapították meg dolgozatukban Krasznay Csaba és Szigeti Szabolcs, a Budapesti Műszaki és Gazdaságtudományi Egyetem Informatikai Központjának munkatársai.

( lacika v | 2006. 10. 13., p – 16:28 )

Van ez így :) Komoly probléma ez, de én sokkal jobbra nem is számítottam ....
Valakinek a valakije megnyerte a projectet, az nem számított, hogy mennyire szakértő a gárda....

___________________________________________________________________
Lógnak a pálmafán a kókuszok .... :)

( ishida | 2006. 10. 13., p – 16:39 )

Valaki meg tudna mondani, hogy ebben az esetben mit is ertenek pontosan elektronikus alairas alatt?

" * Egyszerű elektronikus aláírást, amelynek készítője egyedileg nem azonosítható, illetve segítségükkel nem megállapítható, hogy az aláírt dokumentum az aláírás óta változott e.
* Fokozott biztonságú elektronikus aláírást, amely kizárólag az aláíró befolyása alatt álló aláíró eszközzel létrehozott, az aláíró személyazonosságának és az üzenet sértetlenségének megállapítását lehetővé tévő elektronikus adat.
* Minősített elektronikus aláírást, amely olyan fokozott biztonságú aláírás, melyet minősített hitelesítés-szolgáltató által kiadott tanúsítvány hitelesít.

"

ami manapsag egy usb drive on elfer
inkabb azon bukott meg az egesz hogy a kulcsokat penzert adtak /amit ugy erefele nem neznek jo szemmel/

Kepzeljuk ezt el.

Tegyuk fel alaptetelnek letezik ilyen alairt kulcs az embernel mondjuk pl a UK regisztraciona elkeszult.
Vegyuk sorra:
- Vinyora kerul valahogy
Ugye ez a verzio a legproblemasabb, mert egyreszt, hogyan, masreszt barmi modositasnal az elveszese kockaztathato. Valamint gephez kotott az ember.

- Valamilyen hordozhato adathordozo.
- Kartyaolvaso (spec hw)

Ennel a ket utobbinal nezzuk egyutt eletszerunek tunik szamomra mind a 8Millio penztarcajaban USB stickkel(amihez szinten valami tudasalapu azonositas is szukseges) jarkalo emberke (mert ugye a cel az h kesobb minden ugyet itt intezhess az UK keresztul)
Ugyanilyen mosolyogtato a 3millio kartyaolvaso esete is, nem fejtenem ki miert. Nem ezen bukott meg a kartyaolvaso, hanem a bovitett koron. Keptelenseg kiosztani, szervizelni, supportalni INGYEN. A gipsz jakab meg nem fog ezert 20e Ft-t kiperkalni.
A kartyaolvaso (illetve a spec hw) ami egy olyan eszokoz amelyet limitalt agykapacitassal, vagy szamtech tudassal rendelkezok is ugy tudnanak hasznalni, hogy atveres (pl phising v. soc. eng.) modszerrel nem lehetne elcsaklizni toluk a titkos kulcsukat, meg az azt vedo jelszot. Minden mas esetben (USB, fix adathordozo) ez valamilyen megteveszteses modszerrel menne.

Minden ilyen esetben olcsobb es celravezetobb, ha ket fuggetlen csatornat hasznal az azonositasi rendszer mert igy ha vannak az elozetes szemelyes azonositaskor felvett, megvaltoztathatatlan kapcsolattartasi adatok (email cim, telefonszam) igy a szemely azonositasa nagybiztonsaggal valoszinusitheto, es nem kell mindenfele technikai kutyut elfogadtatni az ugyfellel.

Egyebkent amilyen hianyossagot a cikkben emlitett dolgozat hianyol a korulotted levo eszkozok 99.9% nincsen meg. Az egyeduli lenyeg az, hogy az abbol szarmazo kar, hogy ide beszabadul egy megtevesztesen alapulo banda, az igen-igen nagy es jolenne odafigyelni mielott meg a szepen felfutott rendszer osszeborul.

"Ugyanilyen mosolyogtato a 3millio kartyaolvaso esete is, nem fejtenem ki miert. Nem ezen bukott meg a kartyaolvaso, hanem a bovitett koron. Keptelenseg kiosztani, szervizelni, supportalni INGYEN."

Én azt gondolom, hogy nem kell ezt ingyen csinálni. Ha _minden_ elintézhető lenne UK-n keresztül, akkor én simán fizetnék azért, hogy mindent azonnal elintézhessek gyorsan és pontosan.
Aki nem akar ezért fizetni, az meg fizesse meg a szabadidejével, vagyis álljon sorban az irodákban, stb stb.

Misi

USB csatlakozóval nem csak a pendrive-ok bírnak. Vannak olyan USB token-ek, amelyek smartcard-ként működnek, de a csatlakozásuk USB-n történik. Mindez azért, hogy ne kelljen drága kártyaolvasót vásárolni a gépekhez. Egy ilyen token párezer forintba kerül tudtommal. Egy személyi igazolvány se olcsóbb, ha pótolnod kell.
Persze az is igaz, hogy a kártya formájú személyi igazolvány viszont eszményi hordozófelület lenne egy smartcard-nak.
Akkor itt a feladvány, hogy lehet a - majdnem - mindenkinél meglévő kártya formájú személyi igazolványt extra hw nélkül passzítani egy átlagos számítógéphez. A másik kérdés, hogy milyen platformfüggetlen módon oldanátok meg ezt - ne csak Windows-os kliensekkel lehessen csatlakozni az ügyfélkapuhoz -.
Talán nem is olyan egyszerű kérdés ez.

Persze lehetne alkalmazni azt a módszert, amit én a Budapest Banki internetbanking szolgáltatásánál ismertem meg, miszerint minden belépésnél usernév-vel és jelszóval azonosítom magam, majd SMS-ben/e-mail-ben küldenek egy session jelszót.

Ave, Saabi.

Miért kérsz elnézést? Hiszen abszolúte igazad van!

Ha a biztonság igazán fontos, akkor két TELJESEN FÜGGETLEN adatátviteli csatornán kell hitelesíteni. Azaz nem használható mindkettőre az internet. Hacsak nem használsz titkosított kapcsolatot, amikor viszont egy is elég lehet.

Ez evidencia.

---
Mondjon le!

Istenem, ha a tudatlanság még szorgalommal (meg arroganciával) is párosul...

Javaslom, hogy még fejleszd mgad egy csöppet, mielőtt biztonsági kérdésekhez hozzászólnál:
http://en.wikipedia.org/wiki/Man_in_the_middle_attack

Eszközök a teljes internetes forgalmad lehallgatására:
http://www.securityforest.com/wiki/index.php/Category:Traffic_Manipulat…

Ezek után nyugodtan fogd úgy fel, hogy az internetes forgalmad lehallgatása, és a jelszavaid megszerzése csak szándék kérdése.
Ha pedig valaki ezt megteszi, akkor mindkét hitelesítési információhoz hozzájut. Ezért kell a két független csatorna, vagy a titkositás.

---
Mondjon le!

Azert olvasd ujra amit irtal, es gondolkozz el az arrogancia kerdesben, a tudatlansag kerdeseben magamat nem minositenem.
En meg arra hivnam fel a figyelmet: mindig a megnyerheto javak/befektedendo munka es eszkoz hatarozza meg a biztonsagi kerdeseket. Ez az egyetlen 5000 eves ervenyes szabaly. A tobbi mind valtozik, a technikaval a tudassal es a kreativitassal.
Minden esetben (akar mobiltelefon es internet kevert t. eseteben is) konnyeden megoldhato a MITM jellegu tamadas, Esetenkent egyszerubb. Ha ily tajekozott vagy biztosan kitalalod hogyan. Az egyeduli jelentosege akkor lehet ha mar kiderult hogy svindli van.
Egyedul az a baj a mobillal, hogy penzbe kerul, elegge sokba, es ez erdekeben all a mobilszolgaltatonak, hogy a rendszeret hasznald, az garantalt profit.

Magyar viszonylatban, (a gyerek, a nagymama es a munkanelkuli is mobiltulajdonos)
nem szamottevo koltseg. Ami, mivel a szervert uzemelteto kuldi, benne van a szolgaltatas
araban. A biztonsagot viszont _nagyban_ noveli.
Internetbank bevezetes soran kelloen korbejartuk a lehetseges modozatokat. Maradt az SMS jelszo,
mivel nem igenyelt tobblet beruhazast, kenyelmetlen hardver kutyut, tudast.
Minek nagyobb a felhasznalo tabora itthon az internetnek, vagy a mobilnak?
Nagyjabol elfogadhato, hogy aki internetezik, annak mar van mobilja.

Nem az elterjedtseg. Hanem a tranzakcionkenti penz. Banknal, ahol eleve nyulas folyik az aldozat tekinteteben (nevezzuk ezt szolgaltatasnak az indulatok levezetese vegett). A biztonsaga meg nem joval nagyobb mivel egy phising tamadasnal mind a weboldal mind az sms uzenet masolhato (eleg csak elkerni a telszamot is ) innentol a hamis biztonsag adta vedelem az amivel kuzdhetsz, es noveli az elkoveto eltunesi eselyeit.
Nem akarok vitatkozni a teteleddel miszerint aki internetezik az mobilozik, de gondold at a rendszerhez minden esetben ilyen jellegu szolgaltatas tartozhat csak hozza?

Banknal, ahol eleve nyulas folyik, kisebb dijat kaphatsz internetes bankolasnal,
mint fiokban - mivel a banknak maganak olcsobb az internetbank. Es ebben a kisebb
dijban mar benne van az SMS dija is. Szoval internetes nyulas kisebb mint a szemelyes ;)

Amig minositett eszkoz hasznalata szukseges,
minositest a meghatarozott, veges szamu, ceg adhat
- akik az ipar utan evekkel elmaradva kullognak,
addig mit varhatunk ezen a teruleten?

CC EAL5+,ITSEC E6 USB Cryptoken orzi a kulcsom.
Szigoruan magancelra hasznalhatom, mivel nincs minositve hazankban,
az ipari szabvanyokat viszont eleg jol teljesiti
http://cryptoken.com/en/products/hardware/ctm2048.php
http://www.cryptoken.com/ftp/pub/marketing/en/leaflets/CT.pdf

Az ugyfelkapun pedig koteleznek felhasznalo/PIN alapu azonositasra,
mert Linux tamogatott minositett eszkoz nincs es a NetLock tajekoztatasa
szerint ok nem is tervezik. (A tobbi minositonel nem kerdeztem meg)
A minositok fizikailag keptelenek kovetni az ipari fejlodest,
ez ertheto. Ebben az esetben a torvenyhozok ne kivanjanak megvedeni
a maguk dilettans modjan. Hagyjak, ha vallalom a kockazatot, hasznaljam
a nem minositett - de szamomra megbizhatobb es hasznalhatobb - eszkozomet.

( wladek1 | 2006. 10. 13., p – 17:56 )

<összeesküvés-elmélet>

Krasznay Csaba és Szigeti Szabolcs valószínűleg leépítés áldozatává válik majd...

--
//:wladek's world

Hát pont ez az. Az egyetemre jár kb. 2500 műinfós hallgató, és "pár" alkalmazott akinek szintén megvan a megfelelő végzettsége. Ennek ellenére mégis külsős cég üzemeleteti a rendszert. Ha a NEPTUN szárnyalna, akkor se lenne tiszta az ügy, de finoman szólva se megy tökéletesen. Ezért írtam, amit írtam.

Mondok en jobbat: a BMF-en volt hazon belul fejlesztett rendszer, platformfuggetlen webes felulettel, linux szerver hatterrel stb, tok jol mukodott evekig. Erre jott egy dontes felulrol hogy holnaptol neptun, es kesz. 100 millioert vetettek vasat hozza (valami uberdraga hp szervereket) stb, szoptunk vele egy csomot az atallassal es azota meg tobbet az uzemeltetessel.

A lenyeg: szerintem a BME eseteben se a BME dontott a neptun mellett, hanem a kormany/miniszterium rendelte el az osszes felsooktatasi intezmenyben a neptun hasznalatat par evvel ezelott.

A'rpi

Szerintem meg kár olyanról nyilatkoznod amibe bele sem látsz.
Képzeld én is szívtam napokon át (és éjszakákon át) Műegyetemi csodálatos
új-Neptunos tárgyfelvétellel, mégis eszem ágában sem volt a BME-t okolnom emiatt.
Ugyanis a neptun még mindig az -itt jön a reklám helye- Stúdió fejlesztése alatt áll,
és nálunk a neptun üzemeltetési csoport illetve az egyetemi dolgozók nagy része ki volt
kelve magából, többször szó szerint üvöltözésig fajultak az indulatok.
De per pillanat _nincs lehetősége_ egyik odajáró műinfósnak sem tennie ez ügyben semmit,
tudom, mert utánakérdeztünk páran műinfósok hogy hogy is van ez, mivel mi is enyhén fel voltunk háborodva.
BME egyébként még nyáron abszolút mindent megtett tesztüzem alatt hogy ez ne következzen be,
de sajnos voltak előre nem kalkulálható paraméterei is a dolognak, ami nem rajtuk múlott.
A felelősöket kicsit feljebb, a bársonyszékekben keresd, akik megint jósokmilliárdos lobbypénzeket kapnak
az ilyen dolgok miatt, miközben másokkal etetik meg a szarjukat, és most nem akarok belemenni a mocskos politikába, mert annak nincs helye itt.
Szóval erről ennyit.

A hivatalos indoklás szerint azért halt le a rendszer, mert egyszerre több mint EZER ember akarta használni, ami váratlanul érte a mind a Neptun üzemeltetést mind a külsős céget. Ha ez előre nem kalkulálható paraméter egy húszezer fős egyetemen, akkor vki nagyot hibázhatott. Mivel ugye nem látok bele, ezért csak sejthetem, hogy ment az egymásra mutogatás. Felelős/Bűnbak lett végül?

Csak jelzem, hogy az ETR is ugyanúgy szar. Valószínűleg sosem fogom fel, hogy miért egyszerre van a SZTE-ÁOK-n 5 évfolyamnak (~1000 ember) a tárgyfelvétel, miért nem jó óránként meghirdetni a különböző évfolyamoknak? (A jogon meg tudták oldani, pedig ott 400 fős évfolyamok vannak.)
--
Gentoo motto: It's worth spending eight hours trying to make something load 20ns faster.

Kalkulalhato, csak nehezen tesztelheto, es ha tudod hogy nem birja a system akkor sem tehetsz semmit :(

Mi par eve nyaron az egyik ilyen teszthez fejlesztettunk makrozhato rdesktop verziot, ami ugy nezett ki, hogy a neptunosok kulonbozo hallgatokat "szimulalva" vegeztek muveleteket a neptunban amit a patchelt rdesktop fileba mentett (az egermozgasokat stb), majd ezeket a makrokat egy linuxos gepterem gepeirol gepenkent 20-30 peldanyban visszajatszottuk. Eloszor persze meghalast tole minden, aztan sikerult addig allitgatniuk az adatbazisszervert meg a tobbi cuccot hogy ugy 200 hallgatoig hasznalhato volt a rendszer. Efolott drasztikusan lelassult, 300 utan meg elkezdte kidobalni az usereket.
A megoldas: a neptun elotti tuzfalon korlatozva lett 200-ra a kapcsolatok szama. Aki lemaradt annak igyjaras ;(

A'rpi

Szia!

Sajnos az a baj, hogy baromi nagy melo megcsinalni, amig tenyleg minden olyan dolgot tudna egy ilyen rendszer, mint amit most a NEPTUN es az ETR, amelyek ha jol tudom, OKM altal auditaltak is, azaz megfelelnek a felsooktatas igenyeinek adminisztrativ szempontbol. Az, hogy milyen a teljesitmenyuk, az mas kerdes.

Nagyon sok dolgot kell leadminisztralni, tudom, mert felig-meddig ismerem az egyetem belo mukodeset (Pannon Egyetem, Veszprem). Nem egyszeru dolog ez, foleg fel ev alatt nem fogja nekes infos osszerakni, meg ha 50-en csinaljak, akkor sem. Kb egy ev lenne sztem, mig minden torvenyt, lehetoseget, stb felmerve architekturalis rendszertervet lehetne alkotni.

( willy v | 2006. 10. 14., szo – 00:49 )

Maradjunk annyiban, hogy azt allapitottak meg hogy szerintuk biztonsagosabb lenne ha ketfazisu authentikaciot hasznalna. Semmi mas megallapitas nem olvashato ki a dolgozatukbol. Mellesleg a cikk amire hivatkozol az egy kalap szar (a dolgozat iroi szerint is). Az altaluk ajanlando javaslat a mobilcegek szamara hozna nemi profitot... A kormanyzati portal szakertoi meg talan annyit kihoznak a dologbol, hogy nem volna baj tenyleg megnezni neha hogy lopott adatokkal el e vissza a bejelentkezo, mielott meg az UK rendszert is elonti ez a phising szar.
Sikerult beugranod ismet egy szakmainak alcazott bulvar hirnek.

( bsd_raven | 2006. 10. 14., szo – 18:39 )

"A hivatalos indoklás szerint azért halt le a rendszer, mert egyszerre több mint EZER ember akarta használni, ami váratlanul érte a mind a Neptun üzemeltetést mind a külsős céget."

Igen, nekünk is ezt mondták, valószínüleg így is volt.

"Ha ez előre nem kalkulálható paraméter egy húszezer fős egyetemen, akkor vki nagyot hibázhatott. Mivel ugye nem látok bele, ezért csak sejthetem, hogy ment az egymásra mutogatás. Felelős/Bűnbak lett végül?"

Nézd, attól függ honnan nézzük. Lévén hogy a szoftverfejlesztésben
a tesztelés (validáció, verifikáció) az egyik legfontosabb és ezzel együtt néha minden paramétert figyelembevéve a legnehezebben kivitelezhető lépés, ezért nem biztos, hogy az ujjalmutogatás kielégítő eredményt hozna. Pont Te írod hogy egy 20ezer fős egyetemet kalkulálni...
sztem a kérdésedben benne van a válasz is:
Szerinted nyáron hogy a fenében lehetne mégis egy éles rendszerteszthez keríteni ennyi embert (amikor amúgy is a többség szabadságon van), hogy nesztek ugorjatok neki lássuk mi lesz belőle?
Tudtommal a nyári tesztcsoportok így is többszáz fősek voltak, amik nyilván nem tudták kimutatni, hogy többezer ember terhelése alatt hogyan fog viselkedni a rendszer, nemhogy efölött.
Szóval senkinek sem volt jó ami történt, köztudottan a neptun fejlesztése is eléggé gány, de sztem az ominózust V&V-t precízen kivitelezni ebben az időben _lehetetlen volt_, bármennyire is utáljuk a neptunt. persze ez csak magánvélemény, lehet mások többet tudnak az esetről, majd ők kijavítanak.

> az ominózust V&V-t precízen kivitelezni ebben az időben _lehetetlen volt_

Azért ez nem feltétlen igaz, a klikkelgetést lehet szimulálni. Hozzáértő ismerősöm szerint ingyenes toolok is vannak dótnett-hez. Ezekután alapvető tömegkiszolgálási és teljesítményelemzési ismeretek megléte is kétségessé válik annál a bizonyos kft-nél... (én csak azért pampogtam, mert a BME IK-nak ehhez a világon semmi köze)

bocsánat egyébként rossz helyre ment a postom is...

Kérdés h ezzel a klikkelgetős dologgal ugyanazt a folyamatot el lehet e érni mintha ténylegesen
nekiugrana az a többezer ember, és csak Isten tudja hogy ők mit csinálnak éppen, mennyi
adatbázist használnak éppen, milyen tip. lekérdezések futnak éppen, meg h a dolog nem túl
egyszerű eléggé sok valószínüségszámítási cuccot kell figyelembe venni.
mondjuk biztos lehet, elfogadom h így van mert ilyennel még gyakorlatban nem foglalkoztam.

"Ezekután alapvető tömegkiszolgálási és teljesítményelemzési ismeretek megléte is kétségessé válik annál a bizonyos kft-nél... (én csak azért pampogtam, mert a BME IK-nak ehhez a világon semmi köze)"
Lehet nem nagyon jártak be töki órára :))))

Gondolatmeneted alapján vannak olyan rendszerek (figyelem: ezen az ETR-en meg neptunon meg hasonló szarokon tízezrek karrierje múlik évente), ahol nem lehet normál terhelést szimulálni, így az élesben történő hibás/elégtelen működés természetes, és nem érheti szó a ház elejét. Érzed, mennyire gáz, amit mondasz? Arról már nem is beszélek, hogy ebbe aamit beleöltek, azt szerintem 8 számjeggyel lehetne leírni (10-es számrendszerben persze :-D).
De mondok mást: volt, hogy az ETR-fejlesztők a tárgyfelvételi időszak kellős közepén frissítgették az ETR-t. Ezt még meg sem lehet kísérelni megmagyarázni.
--
Gentoo motto: It's worth spending eight hours trying to make something load 20ns faster.

Gondolatmeneted alapján vannak olyan rendszerek (figyelem: ezen az ETR-en meg neptunon meg hasonló szarokon tízezrek karrierje múlik évente), ahol nem lehet normál terhelést szimulálni, így az élesben történő hibás/elégtelen működés természetes, és nem érheti szó a ház elejét. Érzed, mennyire gáz, amit mondasz?

Nem, nem érzem. Teljesen kiforgatod a szavaimat, én egyátalán nem azt mondtam amit állítasz.
"Szerinted nyáron hogy a fenében lehetne mégis egy éles rendszerteszthez keríteni ennyi embert (amikor amúgy is a többség szabadságon van), hogy nesztek ugorjatok neki lássuk mi lesz belőle?
Tudtommal a nyári tesztcsoportok így is többszáz fősek voltak, amik nyilván nem tudták kimutatni, hogy többezer ember terhelése alatt hogyan fog viselkedni a rendszer, nemhogy efölött.
Szóval senkinek sem volt jó ami történt, köztudottan a neptun fejlesztése is eléggé gány, de sztem az ominózust V&V-t precízen kivitelezni ebben az időben _lehetetlen volt_..."

Ezt írtam, jó akkor kihangsúlyozom még1szer: Az _adott_ időpontban volt lehetetlenség szerintem,
totálisan rosszul választották meg, amikor arra gondoltak h ezt _ilyenkor_ precízen ki tudják vitelezni.
Erre gondoltam. így érted már?

( csabika25 | 2006. 10. 15., v – 18:44 )

Üdv mindenkinek. Látom, sikerült vitát indítani a cikkünkkel.:) Végigolvastam a fórumot, látom, hogy sok elképzelés volt, miért is született ez a cikk. Szóval a története a következő: egy áprilisi konferenciára írtuk ezt az elemzést, amihez már januárban le kellett adni a szöveget. Ergo a részletek háromnegyed évesek. Azóta sokminden változott. Ami nem, az az, hogy véleményünk szerint egy fontos szolgáltatás a hitelesítés gyengesége miatt veszélynek van kitéve. Az elemzés mögött nem volt semmi összeesküvés, csak annyi, hogy szakmai közönség előtt ki akartuk mondani a véleményünket. Ezt a cikket találta meg most egy újságíró, és foglalta össze. A szöveget láttam, a címet nem. Ezért tűnik szenzációhajhásznak az egész. Szerintem a szövegbe nem lehet belekötni - a címbe annál inkább.

A Neptunhoz semmi közünk nincs. Illetve annyi igen, hogy ismerem a fejlesztőket, de még nem jutott eszünkbe, hogy a Neptunt is kielemezzék. Megteszik ezt helyettünk mások is. Az egy dolog, hogy én azért elmondom az ottaniaknak is a véleményemet.

Igen, valóban jöttek telefonok, de az a jó hírem, hogy még az IK-ban dolgozunk. Ennyiért azért nem lehet minket kirúgni.:)

Csaba