Odgovor @vladaRS glede SIGEN-CA in SIGOV-CA digitalnih potrdil in varnosti državne infrastrukture
Danes je @vladaRS objavila pojasnilo Ministrstva za javno upravo, da si morajo OSX in Linux uporabniki sami ročno namestiti korensko potrdilo, če hočejo dostopati do državne infrastrukture.
Za začetek poglejmo kje sploh tiči problem, saj @vladaRS pravilno trdi, da je certifikat na seznamu zaupanja vrednih izdajateljev na dveh mestih.
Izdani certifikat (uporabljen npr. na varni povezavi https://edavki.durs.si/), ki šifrira in ščiti dostop do spletne strani je podpisan z enim ali več korenskih potrdil. V brskalnikih so korenska potrdila po dolgotrajnem birokratskem postopku vključena v sam brskalnik, tako da lahko brskalnik preveri, če je bil certifikat res podpisan z varnim korenskim potrdilom.
Res je, da sta SIGEN-CA in SIGOV-CA potrjena in se nahajata na seznamu potrjenih korenskih potrdil Microsofta, tako vse deluje na plačljivem Windows operacijskem sistemu.
Ampak SIGEN-CA, SIGOV-CA in tudi POSTArCA nista potrjena za Mac in Linux uporabnike. Pri tem je izrednega pomena poudariti, da sta za razliko od Windows oba operacijska sistema zastonj, Linux je celo odprtokoden.
Zakaj to predstavlja problem?
Ročno nameščanje korenskih potrdil je tipični chicken or the egg problem.
Če hočemo ročno namestiti potrdilo, ga moramo prvo prenesti iz interneta po varni povezavi, zato da bomo lahko dostopali do državne infrastrukture varno. Na žalost http://www.si-ca.si/identiteta-si-trust-root.php ne vključuje HTTPS na začetku, tako da do njega dostopamo po nešifrirani povezavi. Kdorkoli nam lahko servira drugačen korensko potrdilo in nas prepriča v Phishing in tako ukrade podatke ali nas kako drugače prikrajša. Če uporabimo varno povezavo, torej https://www.si-ca.si/identiteta-si-trust-root.php pa nam brskalnik pokaže naslednje:
Zavrne nam dostop do korenskega potrdila, ker nimamo korenskega potrdila.
Kaj lahko Vlada RS stori, da bodo uporabniki res varni?
Mozilla za Linux in Apple za Mac-e imajo javno objavljen postopek kako se vključi korenski certifikat v njihove brskalnike, kar pozivam vlado, da opravi čimprej.
Domen