«Τρύπιο» το GOV.GR

Σοβαρό κενό ασφαλείας διαπίστωσε την περασμένη Τρίτη στο gov.gr η Ενωση Πληροφορικών Ελλάδας, με την «τρύπα» να παραμένει ορθάνοιχτη τουλάχιστον μέχρι χθες, αφήνοντας εκτεθειμένα στο διαδίκτυο κρίσιμα προσωπικά δεδομένα πολιτών.

Το πρόβλημα ανακαλύφθηκε με απλή αναζήτηση στο Google ή σε φωτογραφίες (ή ακόμη και τυχαία) εντοπίζοντας κωδικούς URL που εμφανίζουν υπεύθυνες δηλώσεις πολιτών (μέσω της πλατφόρμας: dilosi.services.gov.gr), άσχετων με αυτόν που κάνει την αναζήτηση, ή στοιχεία από άλλα επίσημα έγγραφα (π.χ. βεβαίωση εμβολιασμού κ.ά.), με πολλά προσωπικά στοιχεία όπως αριθμός ταυτότητας, ΑΜΚΑ, ΑΦΜ, στοιχεία επικοινωνίας, εμπορικές πράξεις κ.λπ. Επιπλέον, το σύστημα είναι «διάτρητο» λόγω και της μη κρυπτογραφημένης τεχνικής λύσης που επελέγη για την αποστολή δεδομένων (πρωτόκολλο GET) τα οποία είναι… φανερά από όλους τους σέρβερ που περνά μια επικοινωνία προς το gov.gr, στα αρχεία καταγραφής (LOG files) ή στις προσωρινές μνήμες και τελικά εύκολα ανακτήσιμα από σχεδόν οποιονδήποτε έχει τις τεχνικές γνώσεις.

Αμεσα η Ενωση ενημέρωσε με επιστολή το υπουργείο Ψηφιακής Διακυβέρνησης, τη Γενική Γραμματεία Πληροφοριακών Συστημάτων, την Αρχή Διασφάλισης Απορρήτου Επικοινωνιών και την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Η δημόσια ανακοίνωση της Ενωσης έγινε 72 ώρες μετά την ενημέρωση των αρμόδιων αρχών, βάσει του άρθρου 33 του πλαισίου GDPR, σχετικά με το Δημόσιο Συμφέρον και την Υποχρέωση Γνωστοποίησης, ώστε να υπάρχει χρόνος αποκατάστασης.

Σε επικοινωνία με τον γενικό γραμματέα της Ενωσης Πληροφορικών Ελλάδας, Χάρη Γεωργίου, μας τόνισε ότι είναι μια σοβαρή καταστρατήγηση του πλαισίου προστασίας των προσωπικών δεδομένων βάσει του GDPR, καθώς και της κείμενης νομοθεσίας σχετικά με την Πολιτική Ασφάλειας που είναι υποχρεωμένη να εφαρμόζει κάθε παρόμοια υπηρεσία στο διαδίκτυο.

Το σοβαρότατο κενό ασφάλειας είναι κάτι που από τεχνικής πλευράς δεν είναι δύσκολο να διορθωθεί. Θα μπορούσε π.χ. η επικύρωση να γίνεται από εξουσιοδοτημένο πρόσωπο, με τον απαιτούμενο κωδικό, ή να απαιτείται πρόσθετο συνθηματικό που ξεκλειδώνει το έγγραφο και γνωρίζει μόνο ο πολίτης που δημιούργησε το έγγραφο. Ασφαλέστερη λύση είναι να υπάρχει στην πλατφόρμα οργανωμένο προσωπικό αρχείο με ψηφιακά έγγραφα του πολίτη στα οποία θα μπορεί να δίνει επιλεκτικά πρόσβαση σε συγκεκριμένα πρόσωπα ή φορείς μετά από σχετική αυτοματοποιημένη αίτησή τους, έτσι ώστε να διατηρείται η αρχή της διμερούς και μόνο ανταλλαγής εγγράφων, όπως άλλωστε γίνεται και με αντίστοιχα φυσικά έγγραφα που βεβαίως δεν αναρτώνται πουθενά δημόσια για χρήση από οποιονδήποτε το επιθυμεί ή απλά γνωρίζει την ύπαρξή τους.

Το πρόβλημα της πλατφόρμας gov.gr παραμένει και μάλιστα δεν φαίνεται να υπάρχει πρόβλεψη διόρθωσής του στο κοντινό μέλλον. Από την πλευρά της, η Ενωση Πληροφορικών τονίζει ότι έχει την υποχρέωση να ενημερώσει τους Ελληνες πολίτες ώστε να αποφύγουν την «ανέμελη» διαρροή προσωπικών δεδομένων τους κατά τη χρήση της πλατφόρμας gov.gr και η ομάδα της τίθεται στη διάθεση των αρμοδίων για οποιαδήποτε επιστημονική βοήθεια ή άλλου είδους συνδρομή.

«Προχειρότητα»

«Τα κενά ασφαλείας στο gov.gr μαρτυρούν την κυβερνητική προχειρότητα» τονίζει σε ανακοίνωσή του ο τομεάρχης Ψηφιακής Διακυβέρνησης της Κ.Ο. του ΣΥΡΙΖΑ-Π.Σ., Μάριος Κάτσης, συμπληρώνοντας ότι «θέτει σε κίνδυνο τους πολίτες που το χρησιμοποιούν. Για μια ακόμα φορά, το υπουργείο Ψηφιακής Διακυβέρνησης είναι εκτεθειμένο, καθώς, στην προσπάθειά του να παρουσιάσει έργο, νομοθετεί και ενεργεί με προχειρότητα που αφήνει έκθετους τους πολίτες στις ορέξεις κάθε κακόβουλου.

Το ίδιο είχε συμβεί όταν το gov.gr εξέδιδε έγγραφα με ταυτοποίηση μόνο μέσω κωδικών taxisnet χωρίς δεύτερο παράγοντα ταυτοποίησης. Τότε επισημάναμε το κενό και το υπουργείο μάς άκουσε υιοθετώντας τη λύση που προτείναμε. Σήμερα γιατί αδρανεί;» αναρωτιέται ο Μάριος Κάτσης και τονίζει ότι «το υπουργείο οφείλει άμεσα να κάνει έστω και τώρα αυτό που έπρεπε να είχε κάνει από την πρώτη στιγμή που έλαβε γνώση. Να κλείσει τώρα την υπηρεσία επικύρωσης στα έγγραφα του gov.gr μέχρι να διορθώσει το σύστημα με ασφαλιστικές δικλίδες».

Το υπουργείο

Στο σχετικό ερώτημα της «Εφ.Συν.» το υπουργείο Ψηφιακής Διακυβέρνησης δεν αποδέχεται ότι υπάρχει «κενό ασφαλείας», απαντώντας με παράθεση τεχνικών όρων ότι θεωρεί «αδύνατον χρονικά να πετύχει με πιθανότητα 0,1% έναν κωδικό εγγράφου», σημειώνοντας ότι «θα πρέπει κάποιος να προσπαθεί για 4 εκατομμύρια φορές τη χρονική διάρκεια του γνωστού σύμπαντος (δεκάδες εκατομμύρια δισεκατομμύρια έτη)» -ουσιαστικά παραδέχεται μόνο μια τυχαιότητα επιλογής κωδικού 128 bits- δεν απαντά όμως για την πιθανότητα να βρεις τυχαία μέρος από ένα τέτοιο έγγραφο (π.χ. στη Διαύγεια ή σε μέσα κοινωνικής δικτύωσης, και να το χρησιμοποιήσεις), ούτε για την εύρεση τυχαίου εγγράφου καθώς ο κωδικός είναι αναπόσπαστο μέρος του εγγράφου, ούτε για τη μη συμμόρφωση προς τις νομικές απαιτήσεις του GDPR και την προστασία του απορρήτου.

Και καταλήγει: «Επί της ουσίας, ο ισχυρισμός πως υπάρχει “κενό ασφαλείας” στη συγκεκριμένη περίπτωση δεν ευσταθεί. Αν κρινόταν ακριβής θα συνεπαγόταν, κατ’ αντιστοιχία, πως υπάρχει κενό ασφαλείας σε όλα τα email της χώρας επειδή κάποιος θα μπορούσε να μαντέψει τον κωδικό πρόσβασης ενός χρήστη. Το υπουργείο Ψηφιακής Διακυβέρνησης [...] βρίσκεται σε διαρκή συνεργασία με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αλλά και με όλες τις αρμόδιες Αρχές και υπηρεσίες, τηρώντας πάντα όλα τα κατάλληλα τεχνικά μέτρα ασφαλείας και έχοντας ως πρωταρχικό σκοπό τόσο τη βελτίωση της καθημερινότητας των πολιτών όσο και την προστασία των προσωπικών τους δεδομένων. Είναι δεδομένο πως διαρκώς εργαζόμαστε για την περαιτέρω διασφάλιση των συστημάτων μας, εξετάζοντας πρόσθετες δικλίδες ασφαλείας και διαθέτοντας τους αντίστοιχους ανθρώπινους και υλικούς πόρους όταν αυτό κρίνεται αναγκαίο, σταθμίζοντας πάντα και την ανάγκη οι υπηρεσίες να είναι εύχρηστες και να απομειώνουν -πόσο μάλλον να μη δημιουργούν- περιττή γραφειοκρατία».

Η απάντηση

Η πλήρης απάντηση του Υπουργείου Ψηφιακής Διακυβέρνησης, για την Εφημερίδα των Συντακτών:

«Στην υπηρεσία της Υπεύθυνης Δήλωσης, ο μοναδικός κωδικός κάθε εγγράφου με τα χαρακτηριστικά ασφαλείας του gov.gr αποτελείται από 22 χαρακτήρες που προκύπτουν με την κωδικοποίηση base64 (διαφορετικοί χαρακτήρες Α-Ζ, a-z, 0-9) ενός μη ανιχνεύσιμου αριθμού μήκους 128 bits (2^128 διαφορετικοί αριθμοί, δηλαδή 2 στην 128).

Η μη ανιχνευσιμότητα προκύπτει από την ενσωμάτωση εντροπίας από τους εξυπηρετητές του gov.gr στη γεννήτρια τυχαίων αριθμών /dev/urandom του λειτουργικού συστήματος Linux, κατάλληλη για κρυπτογραφική χρήση. Μη ανιχνεύσιμος αριθμός 128 bits σημαίνει ότι εάν κάποιος προσπαθήσει να μαντέψει(brute force attack)τον κωδικό ενός εγγράφου με ρυθμό 12000 προσπαθειών ανά δευτερόλεπτο (ο μέγιστος ρυθμός εξυπηρέτησης που έχει εξυπηρετήσει η υπηρεσία), τότε για να πετύχει με πιθανότητα 0.1% ένα κωδικό εγγράφου θα πρέπει να προσπαθεί για 4 εκατομμύρια φορές τη χρονική διάρκεια του γνωστού σύμπαντος (δεκάδες εκατομμύρια δισεκατομμύρια έτη).

Ουσιαστικά λειτουργεί ως ένα πολύ ασφαλές και μεγάλο σε μέγεθος password που το ξέρει μόνο ο ιδιοκτήτης του εγγράφου και ο νόμιμος παραλήπτης του. Δεν δημοσιεύεται, ούτε υπάρχει αλλού,παρά μόνο στον παραλήπτη που το χειρίζεται ως προσωπικό έγγραφο. Ταυτόχρονα, εάν κάποιος χρήστης επιχειρεί επιθέσεις, υπάρχουν πολλαπλά επίπεδα μέτρων στις υποδομές της ΕΔΥΤΕ ώστε να απομονωθούν οι προσπάθειές του, είτε προέρχονται από συγκεκριμένο σημείο, είτε είναι κατανεμημένες (DDoS attack). O μοναδικός κωδικός, με τον ίδιο τρόπο όπως καιτα άλλα προσωπικά στοιχεία της δήλωσης, είναι γνωστά μόνο στον ιδιοκτήτη-αποστολέα της δήλωσης και στον παραλήπτη που έχουν και την ευθύνη διασφάλισής τους, ακριβώς όπως και στην έντυπη δήλωση.

Επι της ουσίας, ο ισχυρισμός πως υπάρχει «κενό ασφαλείας» στη συγκεκριμένη περίπτωση δεν ευσταθεί. Αν κρινόταν ακριβής θα συνεπαγόταν, κατ’αντιστοιχία, πως υπάρχει κενό ασφαλείας σε όλα τα email της χώρας επειδή κάποιος θα μπορούσε να μαντέψει τον κωδικό πρόσβασης ενός χρήστη - και μάλιστα κωδικό ο οποίος κατά βάση είναι λιγότερο ισχυρός από τον ανωτέρω.

Το Υπουργείο Ψηφιακής Διακυβέρνησης λόγω των αρμοδιοτήτων του αλλά και της παροχής συνεχώς νέων ψηφιακών υπηρεσιών βρίσκεται σε διαρκή συνεργασία με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αλλά και με όλες τις αρμόδιες Αρχές και υπηρεσίες, τηρώντας πάντα όλα τα κατάλληλα τεχνικά μέτρα ασφαλείας και έχοντας ως πρωταρχικό σκοπό τόσο την βελτίωση της καθημερινότητας των πολιτών όσο και την προστασί των προσωπικών τους δεδομένων.

Είναι δεδομένο πως διαρκώς εργαζόμαστε για την περαιτέρω διασφάλιση των συστημάτων μας, εξετάζοντας πρόσθετες δικλείδες ασφαλείας και διαθέτοντας τους αντίστοιχους ανθρώπινους και υλικούς πόρους όταν αυτό κρίνεται αναγκαίο, σταθμίζοντας πάντα και την ανάγκη οι υπηρεσίες να είναι εύχρηστες να απομειώνουν - πόσο μάλλον να μη δημιουργούν - περιττή γραφειοκρατία.»

Ανακοίνωση μετά το δημοσίευμα της «Εφ.Συν.»

Μετά το δημοσίευμα και λίγο πριν το μεσημέρι σήμερα, το υπουργείο Ψηφιακής Διακυβέρνησης επανήλθε στο θέμα με ανακοίνωση, στην οποία αναφέρει τα παρακάτω:

«Με αφορμή πρωτοσέλιδο δημοσίευμα της «Εφημερίδας των Συντακτών» της Δευτέρας 24^ης Μαΐου, διευκρινίζουμε τα ακόλουθα:

Ο ισχυρισμός πως υπάρχει «κενό ασφαλείας» στην ψηφιακή υπηρεσία Υπεύθυνης Δήλωσης είναι ανυπόστατος. Στην ψηφιακή υπηρεσία της Υπεύθυνης Δήλωσης, με τη δημιουργία κάθε νέου εγγράφου γεννιέται και ένας μοναδικός κωδικός για το συγκεκριμένο έγγραφο, με τον οποίο εκείνος στον οποίο απευθύνεται το έγγραφο μπορεί να το αναζητήσει.

O μοναδικός κωδικός, όπως και τα άλλα προσωπικά στοιχεία της δήλωσης, είναι γνωστά μόνο στον ιδιοκτήτη-αποστολέα της δήλωσης και στον παραλήπτη, οι οποίοι έχουν και την ευθύνη διασφάλισής τους, ακριβώς όπως συμβαίνει και στην έντυπη δήλωση. Στην πράξη, η νέα ψηφιακή υπηρεσία της υπεύθυνης δήλωσης συνιστά όχι απλά διευκόλυνση του πολίτη, αλλά και αναβάθμιση της αξιοπιστίας των δημοσίων εγγράφων, αφού ανά πάσα στιγμή η γνησιότητα του ψηφιακού εγγράφου είναι επαληθεύσιμη από τον παραλήπτη του.

Το Υπουργείο Ψηφιακής Διακυβέρνησης βρίσκεται σε διαρκή συνεργασία με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα αλλά και με όλες τις αρμόδιες Αρχές και Υπηρεσίες, τηρώντας πάντα όλα τα κατάλληλα τεχνικά μέτρα ασφαλείας και έχοντας ως πρωταρχικό σκοπό τόσο την βελτίωση της καθημερινότητας των πολιτών όσο και την προστασία των προσωπικών τους δεδομένων.

Η ψηφιακή μετάβαση της χώρας είναι μια κατάκτηση όλων των Ελλήνων. Και επειδή αφορά στον πυρήνα των προοπτικών της χώρας, δεν επιβραδύνεται, δεν υπονομεύεται, δεν σταματά. Είναι ευθύνη όλων μας.

Αναλυτικές τεχνικές πληροφορίες: Τα έγγραφα με φυσική υπογραφή και σφραγίδα επαληθεύονται μέσω της οπτικής παρατήρησης, κάτι που αυξανόμενα δεν κρίνεται επαρκές. Το ψηφιακό έγγραφο της Υπεύθυνης Δήλωσης που εκδίδεται από το gov.gr διαθέτει ψηφιακή σφραγίδα του Ελληνικού Δημοσίου και 22ψηφιο κωδικό επαλήθευσης. Ο έλεγχος της γνησιότητάς του μπορεί να γίνει με δύο τρόπους:

• α) τον αμιγώς ψηφιακό, όταν το έγγραφο διακινείται ψηφιακά και το ανοίγει ο παραλήπτης του μέσα σε έναν υπολογιστή, όπου εκεί αυτόματα το έγγραφο επαληθεύεται ως προς τη γνησιότητά του μέσω της ψηφιακής σφραγίδας
• β) και τον μερικώς αναλογικό, όταν ο πολίτης προσκομίζει το ψηφιακά παραγόμενο έγγραφο σε εκτυπωμένη μορφή. Σε αυτήν την περίπτωση, η επαλήθευση της γνησιότητας του εγγράφου γίνεται με τον κωδικό επαλήθευσης 22 χαρακτήρων, ο οποίος αναγράφεται στο έγγραφο, είναι μοναδικός, και απευθύνεται στον παραλήπτη του εγγράφου, προκειμένου αυτός να επαληθεύσει την γνησιότητα του, αποκλείοντας περιπτώσεις πλαστογράφησης. Ο παραλήπτης του εγγράφου εισάγει στο gov.gr τον 22ψηφιο κωδικό ή σαρώνει τον κωδικό QR και επαληθεύει τη γνησιότητα του εγγράφου.

Η διαδικασία αυτή διασφαλίζει τα δεδομένα του πολίτη και φυσικά δεν τα εκθέτει. Αντιθέτως, δημιουργεί έναν κύκλο εμπιστοσύνης που συνιστά βέλτιστη πρακτική, και αποκλείει περιπτώσεις πλαστογραφίας οι οποίες τόσο συχνά έχουν ταλαιπωρήσει τους Έλληνες πολίτες στο παρελθόν στις δικαστικές αίθουσες.

Ο μοναδικός κωδικός κάθε εγγράφου με τα χαρακτηριστικά ασφαλείας του gov.gr αποτελείται από 22 χαρακτήρες που προκύπτουν με την κωδικοποίηση base64 (διαφορετικοί χαρακτήρες Α-Ζ, a-z, 0-9) ενός μη ανιχνεύσιμου αριθμού μήκους 128 bits (2¹²⁸ διαφορετικοί αριθμοί).

Η μη ανιχνευσιμότητα προκύπτει από την ενσωμάτωση εντροπίας από τους εξυπηρετητές του gov.gr στη γεννήτρια τυχαίων αριθμών /dev/urandom του λειτουργικού συστήματος Linux, κατάλληλη για κρυπτογραφική χρήση.

Μη ανιχνεύσιμος αριθμός 128 bits σημαίνει ότι εάν κάποιος προσπαθήσει να μαντέψει (brute force attack) τον κωδικό ενός εγγράφου με ρυθμό 12000 προσπαθειών ανά δευτερόλεπτο (ο μέγιστος ρυθμός εξυπηρέτησης για την εν λόγω υπηρεσία), τότε για να πετύχει με πιθανότητα 0.1% ένα κωδικό εγγράφου θα πρέπει να προσπαθεί για 4 εκατομμύρια φορές τη χρονική διάρκεια του γνωστού σύμπαντος (δεκάδες εκατομμύρια δισεκατομμύρια έτη).

Ουσιαστικά λειτουργεί ως ένα πολύ ασφαλές και μεγάλο σε μέγεθος password που το ξέρει μόνο ο ιδιοκτήτης του εγγράφου και ο νόμιμος παραλήπτης του. Δεν δημοσιεύεται, ούτε υπάρχει αλλού, παρά μόνο στον παραλήπτη που το χειρίζεται ως προσωπικό έγγραφο. Ταυτόχρονα, εάν κάποιος χρήστης επιχειρεί επιθέσεις, υπάρχουν πολλαπλά επίπεδα μέτρων στις υποδομές της ΕΔΥΤΕ ώστε να απομονωθούν οι προσπάθειές του, είτε προέρχονται από συγκεκριμένο σημείο, είτε είναι κατανεμημένες (DDoS attack).»