Przełom w koncepcjach rejestrów państwowych MSWiA

Transkrypt

1 Przełom w koncepcjach rejestrów państwowych MSWiA Michał MŁOTEK Wydział Bezpieczeństwa Infrastruktury Teleinformatycznej MSWiA

2 BEZPIECZEŃSTWO Czym jest bezpieczeństwo, a czym nie jest?

3 BEZPIECZEŃSTWO Bezpieczeństwo to proces, a nie produkt Bruce Schneier

4 HISTORIA Jeden z najbardziej znanych rejestrów państwowych, będących w gestii Ministra Spraw Wewnętrznych i Administracji PESEL CBD

5 HISTORIA Eksploatację rejestru PESEL rozpoczęto w ubiegłym wieku, a dokładnie w 1975 r.

6 BEZPIECZEŃSTWO? To są te same czasy, gdy Richard Stallman upowszechniał wśród swych kolegów hakerów zwyczaj nie używania hasła w dostępie do konta systemowego

7 ZMIANY Popatrzmy, jak z biegiem czasu zmieniał się nasz stosunek do bezpieczeństwa jako takiego i jak bardzo zmienialiśmy jego zakres

8 IZOLACJA Stworzono izolowaną sieć, na potrzeby tego rejestru

9 IZOLACJA Stworzono izolowaną sieć, na potrzeby tego rejestru PESEL PESEL-NET

10 OCHRONA PRAWNA...którą Obłożono to system klauzulę klauzulą aktualnie niejawności się usuwa. PESEL NIEJAWNE

11 ZMIANA FRONTU Skąd nagle taka zmiana? Skąd rozluźnienie rygorów? Jest to efekt składowy dwóch elementów: innego podejścia do potrzeby gromadzenia informacji, nowych sposobów uzyskania danych przez osoby niepowołane. 1/3

12 ZMIANA FRONTU Inne podejście do potrzeby gromadzenia informacji Informacja jest bronią. Tak było, jest i będzie. Niestety, w czasach, gdy powstawał PESEL CBD, informacja służyła kontroli obywateli. Stąd obostrzenia i grożenie paragrafami. Na dzień dzisiejszy wystarczającą ochronę zapewnia ustawa o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) 2/3

13 ZMIANA FRONTU Nowe sposoby uzyskania danych przez osoby niepowołane Nie ma co ukrywać, iż model komputera w sejfie już dawno stracił swoją główną zaletę izolację od atakującego. W końcu nie bez przyczyny najwięcej udanych ataków mających na celu uzyskanie danych, odbywa się przy współudziale (świadomym lub nie) osób uprawnionych. Nie ma sensu narzucanie sztucznych i kosztownych ograniczeń, które są łatwe do ominięcia. 3/3

14 SYTUACJA DO DZIŚ Rejestry były wyspami. Nie było łączności z Obywatelem, jak i między nimi samymi.

15 WYMIANA INFORMACJI Koncepcja informatyzacji Państwa zwraca uwagę na te sprawy. Nie można, jak do tej pory, budować rejestrów w oddzieleniu od siebie. Konieczna jest wymiana informacji pomiędzy nimi. Nie można również oddzielić Obywatela od informacji. Co z tego wynika? Dwa podstawowe założenia: Medium wymiany informacji INTERNET Metoda wymiany informacji Metoda wymiany informacji OTWARTE STANDARDY

16 NOWE PODEJŚCIE Bezpieczne Wymagania dla nowych rejestrów Dostępne dla obywatela Budowane jako systemy otwarte To są trzy równorzędne wymagania, jakie muszą być spełnione przez nowe rejestry państwowe

17 INTERNET Aby zapewnić obywatelom możliwość korzystania z rejestrów a także umożliwić łączność pomiędzy systemami należy wykorzystać Internet, jednakże hasło Internet budzi zazwyczaj ambiwalentne uczucia. + Powszechny dostęp + Łatwy dostęp obywatela do informacji - Powszechne zagrożenie poprzez łatwy dostęp do narzędzi crackerskich - Niemożność zapewnienia jakiejkolwiek gwarancji dostępu Przykłady na + i można długo ciągnąć

18 INTERNET Pomimo stosunkowo wysokiej skali zagrożeń, jakie łączą się z zapewnieniem dostępu do systemu poprzez Internet, połączenie takie jest konieczne. Na dzień dzisiejszy, aktualnie wdrażane systemy posiadają możliwość dostępu do nich poprzez Internet: Centralna Ewidencja Pojazdów i Kierowców (CEPiK) Paszportowy System Informacyjny (PSI) Wszystkie nowe projekty oraz te, które mają na celu modyfikacje już istniejących systemów, obejmują plany podłączenia tych systemów do Internetu (np( np.. PESEL-2)

19 OTWARTE STANDARDY Doświadczenie z przeszłości nauczyło nas jednego: stosowanie zamkniętych standardów nie dość, że nie poprawia bezpieczeństwa, to do tego powoduje problemy przy rozbudowie. Na dzień dzisiejszy trwające projekty opierają się na otwartych standardach wymiany informacji, a dodatkowo starają się w jak największym stopniu wykorzystywać Otwarte Oprogramowanie (Open Source). REJESTRY NIE MOGĄ STAĆ SIĘ ZAKŁADNIKIEM JEDNEGO PRODUCENTA!

20 BEZPIECZEŃSTWO Wbrew pozorom, ani podłączenie rejestrów do Internetu, ani stosowanie oprogramowania, którego kod źródłowy jest publicznie dostępny, nie położyło się cieniem na bezpieczeństwie. Oczywiście, część baz danych nadal znajduje się w izolacji, ze względu na krytyczność ich zawartości, jednak zyski są większe niż koszty. Przykładowo: dostęp Stacji Kontroli Pojazdów, Straży Miejskich, komorników do SI CEPiK jest realizowany całkowicie poprzez Internet Istnieje Portal Informacyjny SI CEPiK, realizujący postulat dostępu Obywateli do informacji 1/2

21 BEZPIECZEŃSTWO Paszportowy System Informacyjny (PSI) jest w całości oparty o sieć Internet Oba te systemy używają otwartych standardów do wymiany informacji, oprogramowanie przeznaczone dla użytkowników końcowych jest możliwe do użytkowania na różnych systemach operacyjnych (nie ma preferencji dla jednej firmy), użytkowane są mechanizmy kryptograficzne publicznie znane. Dzięki temu jakiekolwiek błędy są szybko wykrywane i likwidowane. 2/2

22 PODSUMOWANIE Wydaje się, iż nie ma odwrotu od otwarcia się na świat. Oczywiście nie należy mylić otwarcia, z publikacją. Trzeba zwrócić szczególną uwagę na separację danych, autentykację i autoryzację użytkowników. Ciągły rozwój technologii (zarówno ataków jak i obrony) sprawia, iż praca ludzi od bezpieczeństwa nigdy nie jest zakończona w pełni.

23 DZIĘKUJĘ ZA UWAGĘ Pytania i wnioski proszę kierować na adres: piotr.durbajło@mswia.gov.pl