Po prečítaní informácie o bezpečnosti HW zariadenia iKey 2032 som mal chuť do nadpisu napísať predražená sračka.
Při chytře zadaných hodnotách a pár iteracích se dá přijít na vnitřní algoritmus a přihlásit se k iKey jako administrátor (a tím se dostat ve veškerému obsahu uvnitř). Celou tuto operaci lze provést v čase kolem dvou minut.
USB token: pamatuje si hesla a šifruje. Útok zabere dvě a půl minuty – LUPA.
Trochu som zapátral po webe a okolo ZEP sa zdá sa dejú zaujímavé veci. Na výber je až jedno zariadenie. Aj počet certifikačných autorít nám pekne klesá. Na stránkach nbusr123 sú uvedené len 3. Navyše len jedna si so svojou prezentáciou dala toľko námahy, aby sa človek ako tak zorientoval v tom informačnom bordeli. Ostatné nadchnú ostatnou novinkou z roku 2008 respektíve 2005 a absenciou slov zaručený elektronický podpis na celom webe. Čo to vlastne teda ponúkajú? Nejaké certifikáty? Ale ja chcem podpis! 😉
Tiež zaujalo, že nbus123r na rok 2011 necertifikoval iKey 2032 (PDF dokument sa odkazuje fakt super). Asi vedia prečo. No má to jeden háčik. Ak máte ZEK na tomto zariadení, na ďalší rok si musíte kúpiť nové. Preto v nadpise to predražená. Cca 80€ určite nie je veľa. No v prípade, keď to použijem 4x do roka sa pomer cena/výkon dostáva pomaly k deleniu nulou. Vzhľadom na to, že u prostriedkov na zabezpečenie čohokoľvek je to vždy o súperení ochrancu a zlodeja, vlastne to ani neprekvapí.
Nie je trh, nie je produkt, nie je potreba
Viete, uvažoval som nad tým, že si konečne ten ZEK vybavím. No rád by som potom používal to drahé HW príslušenstvo aj na niečo zmysluplnejšie, ako len podávanie Súhrnného výkazu k DPH. Správa hesiel, kľúč na prístup k nejakým HW zariadeniam, šifrovanie obsahu, podpisovanie dokumentov aj v bežnej komunikácii a tak podobne. No ten článok na Lupe medzi riadkami a v súvislostiach hovorí, že to celé ja vlastne stále nezmyslená úvaha.
Celé tieto certifikáty a podpisy mi pripadajú ako hrajkanie sa na dospelákov. Nič z toho stále poriadne nefunguje, nikoho to nezaujíma a ak to spomeniete, ste za exota väčšieho ako je v IT obvyklé. A to stále trvá už od konca 90 rokov minulého storočia. Vtedy som sa v časopise Internet prvýkrát stretol s PGP a vygeneroval si svoj prvý pár kľúčov. Ešte by som niekde vyhrabal disketu s nimi. Nadchlo ma to, Bersha Bershovic o tom písal veľmi príjemne a zaujímavo.
A aký je stav dnes? Nič. Z pohľadu užívateľa je to len kopa podivných pojmov a paragrafov, predražené zariadenia, nepochopiteľné služby a zmysel to nemá vonkocom žiaden. No DPH z EU-cudziny vám bez zaručeného elektronického podpisu nevrátia.
