  |
Za poslednú hodinu: 187 meraní | ||||
|
inzercia |
|||||
 
neprihlásený 
| Streda, 30. októbra 2024, dnes má meniny Šimon, Simona |
|
Ministerstvo informatizácie nezvládlo vymeniť SSL certifikát, ochromilo e-government
Dôvodom dlhého výpadku elektronických služieb štátu poskytovaných na pobočkách Slovenskej pošty a celkovo zaručenej konverzie dokumentov v celom slovenskom e-governmente na konci decembra bol triviálny problém, exspirácia SSL certifikátu v systéme EZZK ministerstva informatizácie. Ministerstvo nezvládlo zabezpečiť jeho výmenu včas a vymenený bol až takmer tri dni po svojej exspirácii, pričom niektoré softvéry a služby začali kvôli niektorým technickým aspektom fungovať ešte neskôr. e-government
Navyše ministerstvo doteraz tento dôvod napriek opakovaným otázkam nepotvrdilo a už vôbec nevysvetlilo toto zlyhanie. Exspiráciu certifikátu ako dôvod týchto problémov ale potvrdili pre DSL.sk dvaja dôležití partneri ministerstva pri zaručenej konverzii. Potvrdila ho samotná štátna Slovenská pošta aj dodávateľ, ktorý nakoniec na požiadanie ministerstva výmenu certifikátu realizoval. Nefunkčná zaručená konverziaAko sme upozornili v tomto článku, Slovenská pošta 28. decembra informovala o nefunkčnosti elektronických služieb štátu poskytovaných na jej pobočkách, nefunkčné boli výpis z obchodného registra, výpis a odpis z registra trestov, výpis z listu vlastníctva, kópia z katastrálnej mapy, zaručené konverzie, osvedčovanie dokumentov.Avizovaným dôvodom bol výpadok informačného systému zabezpečujúceho zaručenú konverziu odpisov z informačných systémov verejnej správy prevádzkovaného ministerstvom informatizácie. Zaručená konverzia medzi elektronickými dokumentami a papierovými dokumentami je dôležitým prvkom e-governmentu, keď samozrejme mnoho starších dokumentov potrebných pre elektronické služby je ešte papierových a naopak v niektorých prípadoch sú stále potrebné aj nové papierové dokumenty. Zaručenú konverziu môžu realizovať oprávnené osoby, okrem ich poskytovanie Slovenskou poštou ju potrebujú a využívajú napríklad aj advokáti a notári. Rozličné softvéry pre túto konverziu musia komunikovať s centrálnym štátnym systémom EZZK, Evidencia záznamov o zaručenej konverzii, prevádzkovaným ministerstvom informatizácie, v ktorom sa evidujú uskutočnené zaručené konverzie. Exspirovaný SSL certifikátKomunikácia medzi softvérmi pre zaručenú konverziu a API systému EZZK na doméne ezzk.iomo.sk je štandardne zabezpečená SSL / TLS protokolom so serverovým certifikátom.Ako sme upozornili ešte v deň oznámenia výpadku poštou, podľa našich zdrojov bol dôvodom výpadku exspirovaný SSL / TLS certifikát pre doménu iomo.sk použitý na serveri systému EZZK, prevádzkovanom na doméne ezzk.iomo.sk. Z informácií Slovenskej pošty a dodávateľa ministerstva, spoločnosti Ditec, následne vyplynulo, že problémy boli spôsobené len týmto exspirovaným certifikátom a v systéme neboli iné ďalšie technické problémy. Certifikát nasadený na ezzk.iomo.sk platil do 26. decembra 0:59:59 nášho času. Softvéry komunikujúce s EZZK tak komunikáciu následne už nepovažovali za bezpečnú, komunikácia nefungovala a softvéry tak oprávneným osobám až na výnimky neumožňovali uskutočňovať zaručenú konverziu. To samozrejme mohlo spôsobovať potenciálne vážne problémy, napríklad advokáti mohli zmeškať rozličné súdne lehoty. Vyriešenie až 28.12. až 30.12.Ministerstvo informatizácie doteraz žiadne relevantné detailné informácie k incidentu neposkytlo, okrem pomerne zavádzajúceho stanoviska o príčine problémov a informácií o vyriešení. K tomu na strane systému EZZK prišlo 28. decembra.Certifikát nakoniec podľa potvrdenia pre DSL.sk vymieňal dodávateľ ministerstva, spoločnosť Ditec, ktorá v minulosti poskytovala pre systém EZZK podporu. Spoločnosť certifikát nevytvárala, iba ho nasadila, a dostalo ho od ministerstva podľa svojho stanoviska až 28.12. "Nám bol po dohode certifikát poskytnutý 28.12. niekedy v neskorých poobedňajších hodinách a bezprostredne po tom sme ho nasadili do systému podľa dohody," uviedla spoločnosť v stanovisku pre DSL.sk. Príslušné služby pošty ale nezačali fungovať hneď 28. decembra. Bol na to relevantný technický a organizačný dôvod, ktorým by sa zrejme dalo vyhnúť pri štandardnej plánovanej a vopred ohlásenej výmene certifikátu. Pri neohlásenom exspirovaní a výmene certifikátu cez pracovné dni sfunkčnenie služieb ešte trvalo istý čas. Technickým dôvodom bola zmena v novom certifikáte, ktorý je podpísaný novým tzv. intermediate certifikátom certifikačnej autority. Systémy pošty potrebovali mať certifikát certifikačnej autority uložený vo svojom zozname známych dôveryhodných certifikátov a nový použitý certifikát v ňom nemali, potrebná tak bola aktualizácia zoznamu dôveryhodných certifikátov akceptovaných aplikačným serverom. K tomu prišlo 29. decembra. Podľa stanoviska Slovenskej pošty pre DSL.sk načítanie aktualizovaného zoznamu certifikátov vyžaduje ale reštart aplikačných serverov. Pošta tak reštart zrealizovala až po ukočení prevádzkovaných hodín 29. decembra a služby boli opäť dostupné od otvorenia pobočiek 30. decembra. "Počas reštartu by okrem elektronických služieb štátu boli nedostupné aj všetky poskytované poštové a finančné služby, teda z vyššie uvedených dôvodov bola realizácia reštartu organizačným opatrením presunutá až po ukončení prevádzkových hodín jednotlivých pôšt," vysvetlila pre DSL.sk dôvod Iveta Dorčáková, hovorkyňa Slovenskej pošty. Tvorcovia minimálne jedného zo softvérov podporujúcich zaručenú konverziu zvolili iný prístup a s exspirovaním certifikátu povolili komunikácii s EZZK aj s exspirovaným certifikátom. Tvorcovia zatiaľ neodpovedali na otázku, či dovolili len komunikáciu v prípade exspirovaného certifikátu alebo aj pri prípadných iných problémoch s certifikátom. Povolenie komunikácie v takomto scenári samozrejme iba s povolením exspirovaného certifikátu kvôli vypršaniu platnosti o niekoľko dní nemusí znamenať výrazne vyššie riziko. Nový nasadený certifikát používa rovnaký kľúč ako exspirovaný certifikát a ako sa tak nakoniec ukázalo, neznamenalo to prakticky žiadne riziko. Čo obnáša výmena certifikátuVýmena serverového SSL / TLS certifikátu pri exspirácii doterajšieho pozostáva zo získania nového certifikátu od certifikačnej autority a jeho výmeny na príslušnom serveri.Nový certifikát už bol získaný dlhšie pred exspiráciou predchádzajúceho, keď bol vytvorený zrejme už 2. decembra. Ministerstvu tak stačilo už zabezpečiť len jeho nasadenie na serveri EZZK. V prípade nového certifikátu využívaného na ezzk.iomo.sk neprišlo k zmene používaného kľúča, potrebné tak bolo vymeniť len certifikát. V prípade používania bežných webových serverov to obnáša iba triviálnu operáciu v podobe výmeny súboru s certifikátom a reštartu webového servera. Akú infraštruktúru využíva EZZK nie je verejne známe a či bola výmena certifikátu v tomto prípade o niečo zložitejšia tak nie je jasné. V každom prípade ale zrejme išlo o veľmi triviálnu úlohu. Informácie o dôvodoch zlyhaniaMinisterstvo informatizácie neposkytlo žiadne relevantné informácie vysvetľujúce tento incident a ako prišlo k tomuto zlyhaniu tak zatiaľ nie je jasné. K dispozícii sú ale viaceré čiastkové informácie.Samozrejme informačné systémy môžu zaznamenávať výpadky z akceptovateľných dôvodov, napríklad keď príde k nepredvídateľným technickým problémom alebo problémom ktorým sa pri danom systéme vzhľadom na úroveň jeho dôležitosti z dôvodov efektivity neoplatí predchádzať napríklad redundanciou. Výpadok fungovania systému EZZK a tým znefunkčnenie zaručenej konverzie dokumentov v celej krajine na niekoľko dní kvôli nezabezpečeniu výmeny exspirujúceho certifikátu samozrejme nie je akceptovateľný a ospravedlniteľný dôvod. Zatiaľ nie je známe, či napríklad ministerstvo na exspiráciu tohto certifikátu zabudlo respektíve si ju neuvedomilo, výmenou certifikátu poverilo nejakého dodávateľa ale ten ju nezrealizoval alebo ju chcelo pôvodne zrealizovať vo vlastnej réžii a výmenu nevedelo z nejakých dôvodov zrealizovať. Niekto si zrejme blížiacu sa exspiráciu certifikátu ale uvedomoval, keď nový certifikát bol vytvorený zrejme už 2. decembra. Kto ho vytvoril, nie je známe. Hlbšou príčinou problémov s EZZK je podľa informácií spoločnosti Ditec skutočnosť, že po skončení zmluvy o podpore spoločnosť už niekoľko mesiacov nezabezpečuje podporu tohto systému. Zmluva skončila na konci augusta 2022, spoločnosť podporu poskytovala ešte do konca septembra a keďže zatiaľ neprišlo k dohode na pokračovaní zmluvy, podporu odvtedy neposkytuje. V systéme EZZK už prestali fungovať aj niektoré čiastkové funkcie, na čo ministerstvo informatizácie upozorňovalo partnerov v druhej polovici decembra. Aj tieto menšie problémy sú neakceptovateľné, nejde samozrejme ale o tak závažný problém ako úplne znefunkčnenie zaručenej konverzie v celej krajine. K čomu konkrétne prišlo pri exspirácii certifikátu ale nie je jasné, keď ministerstvo incident nechce vysvetliť. Dajú sa predstaviť aj scenáre, v ktorých malo ministerstvo objektívne prekážky pri výmene certifikátu, napríklad nepoznalo prístupové údaje a niektorý dodávateľ ich dlhodobo odmietal poskytnúť. Takýto scenár sa zdá byť ale vysoko nereálny a hlavne by ministerstvo namiesto mlčania nepochybne v takýchto scenároch objektívne prekážky komunikovalo. "MIRRI je prevádzkovateľom tohto systému a má k nemu všetku potrebnú dokumentáciu a školenia," uviedla pre DSL.sk spoločnosť Ditec na otázku, či ministerstvo malo prístup k tomu systému a mohlo si technicky certifikát vymeniť samo. Nech už boli dôvody, prečo neprišlo včas k výmene certifikátu, akékoľvek z reálnejších predstaviteľných dôvodov, pri takto triviálnej a s predstihom naplánovateľnej úlohe má samozrejme konečnú zodpovednosť za fungovanie vlastného systému a za incident ministerstvo. Po zlyhaní zavádzanie a nekomunikovanieOkrem toho, že prišlo k takémuto zlyhaniu, ministerstvo informatizácie o probléme opäť aj veľmi problematicky komunikovalo.K dôvodom výpadku uviedlo jedinú informáciu, ktorá bola ale pomerne zavádzajúca. "Dôvodom výpadku je technický problém na jednom zo serverov, na ktorých sú tieto systémy prevádzkované," tvrdilo totiž ministerstvo. V tejto formulácii server z kontextu pôsobí zrejme ako hardvérový server a informácia tak bez znalosti skutočnej príčiny a iného vysvetlenia podsúva, že išlo o technický problém na hardvérovom serveri alebo dokonca hardvérový problém. Ministerstvo doteraz nepriznalo, že dôvodom výpadku bol tak triviálny problém ako nevymenenie exspirovaného certifikátu. Nespravilo tak ani na explicitné otázky DSL.sk pýtajúce sa túto príčinu a na tieto otázky poslané v decembri doteraz vôbec neodpovedalo. Ministerstvo neodpovedalo ani otázku, či formuláciou "technický problém na jednom zo serverov, na ktorých sú tieto systémy prevádzkované" podsúvajúcou problém hardvérového serveru úmyselne zavádzalo, v čase stanoviska nepoznalo príčinu alebo išlo o nepresnú informáciu v dôsledku ľudského faktora. Navyše ministerstvo najskôr poslalo k výpadku stanovisko, ktoré vzápätí žiadalo nepoužívať. V ňom je navyše oproti korigovanému stanovisku jedna informácia, ktorá by v prípade správnosti spojením so skutočnou príčinou výpadku poukazovala na nekompetentnosť ministerstva pri prevádzke tohto systému. Keďže nie je jasné, či je informácia správna alebo išlo o zlyhanie komunikácie ministerstva a informácia v skutočnosti správna nebola, ministerstvo incident a informáciu nevysvetlilo, informáciu zatiaľ neuvádzame. 
Najnovšie články: Diskusia:
Pridať komentár | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
