Vďaka eID karte môžu občania Slovenskej republiky od decembra 2013 bezpečne pristupovať k elektronickým službám verejnej správy prostredníctvom digitálnych kanálov z pohodlia domova.
V našom trojdielnom seriáli sa pozrieme na to, ako funguje elektronická identifikačná karta (eID). V tejto časti si vysvetlíme, aké bezpečnostné mechanizmy sú aplikované a aké funkcie poskytuje. O spoľahlivosti v duchu návratu coppersmithovho útoku, resp. problémoch s kvalifikovanými elektronickými podpismi a faktorizáciou súkromného kľúča, budeme hovoriť až v ďalšom diele.
Východiskový stav: informatizácia ako motivácia na implementáciu eID
Základným predpokladom na použitie elektronických služieb občanmi je okrem samotných služieb aj implementácia riešenia pre spoľahlivú a dôveryhodnú identifikáciu a autentifikáciu jednotlivca s možnosťou právne záväznej autorizácie úkonov.
Skúsenosti s dokladovou agendou pred zavedením eID karty
Hewlett-Packard Slovakia (dnes DXC Technology) ako hlavný dodávateľ projektu eID karty a MV SR ako gestor tejto oblasti demonštrovali skúsenosti so zavádzaním iných typov dokladov ešte pred projektom eID (napr. biometrické pasy).
eID karta a jej vlastnosti
Občianskym preukazom s čipom (eID karta) občan preukazuje svoju totožnosť, štátne občianstvo a ďalšie údaje. Z pohľadu fyzického vyhotovenia ide o kartu z viacvrstvového polykarbonátu. Zápis údajov technológiou laserového gravírovania vytvára zmeny priamo v štruktúre dokladu. „Mozgom“ karty je kontaktný čip SLE78CFX3000P s certifi káciou CC EAL 5+ a certifikovanými knižnicami na symetrickú (AES, 3DES) a asymetrickú (RSA, ECC) kryptografiu. Používa natívny operačný systém CardOS v.
5.0 s riadením prístupu s BOK kódom. Národný bezpečnostný úrad certifi koval eID kartu ako bezpečné zariadenie na vytváranie kvalifi kovaného elektronického podpisu. Požiadavka na čip s kontaktným rozhraním bola pritom striktne stanovená štátom.
Prvé dve tvoria nevyhnutné minimum na použitie eID karty v prostredí eGovernmentu. Funkcionalita autorizácie je voliteľná, v prípade záujmu je zapísaná do čipu pri preberaní dokladu občanom na pracoviskách Policajného zboru SR prostredníctvom post-personalizačného procesu, alebo od októbra aj z pohodlia domova, prostredníctvom eID klienta. V tomto prípade vystupujú pracoviská PZ SR ako registračné autority. Po postpersonalizácii sú na čipe prítomné tri certifikáty: šifrovací certifikát, certifikát pre elektronický podpis a kvalifikovaný certifikát na kvalifikovaný elektronický podpis. Avšak ani jeden z týchto certifikátov sa nepoužíva na účely identifikácie a autentifikácie.
Multifunkčnosť: identifikácia, autentifikácia a autorizácia
Čip reprezentuje platformu na realizáciu multifunkčnej karty s tromi primárnymi funkciami:
1. identifikácia občana prostredníctvom údajov zapísaných v čipe
2. overenie identifikácie prostredníctvom dvojfaktorovej autentifikácie
3. autorizácia úkonov vyhotovením kvalifikovaného elektronického podpisu
Identifikácia a autentifikácia v egovernment prostredí
Mechanizmus EAC: princípy a protokoly
Osobné údaje občana sú jeho majetkom, preto musí mať plne pod kontrolou, komu a aký rozsah údajov poskytuje vzhľadom na zamýšľaný účel ich spracovania. Na identifikáciu a autentifikáciu sa aplikuje bezpečnostný mechanizmus rozšírenej kontroly prístupu označovaný ako EAC (Extended Access Control). EAC je postavený na princípe vzájomnej autentifikácie čipu a poskytovateľa služby. Využíva pritom asymetrickú kryptografiu eliptických kriviek (ECDH). Súčasťou je vytvorenie silného end-to-end šifrovaného komunikačného spojenia medzi čipom a terminálom.
Autentifikácia podrobnejšie
Vychádzame z toho, že občan si želá využiť elektronickú službu na portáli slovensko.sk. V prvom kroku klikne na tlačidlo „Prihlásiť sa na portál“. Poskytovateľ vygeneruje žiadosť o autentifikáciu a tá je následne presmerovaná na autentifikačný server MV SR. Ten identifikuje poskytovateľa služby, zistí, či je poskytovateľ registrovaný a disponuje terminálovým certifikátom vydaným MV SR na účely vzájomnej autentifikácie. Ten mu umožňuje po súhlase občana vyčítať z čipu iba tie údaje, na ktoré dostal
oprávnenia. Bez certifikátu a zadania správneho BOK, nie je technicky možné z čipu vyčítať akýkoľvek údaj.
Server naštartuje autentifikačnú reláciu, vytvorí sa spojenie medzi serverom a eID klientom na prácu s eID kartou a občanovi sa zobrazí jeho grafické rozhranie. Občan na základe mapy oprávnení z terminálového certifikátu poskytovateľa v grafickom rozhraní eID klienta vidí, kto od neho žiada prístup a ku ktorým konkrétnym údajom. V prípade súhlasu zadá 6-miestny bezpečnostný osobný kód (BOK), ktorý si určil pri podaní žiadosti o vydanie eID karty. Na zadanie správneho BOK má 5 pokusov, inak sa eID zablokuje. Po zadaní správneho BOK sa spustí mechanizmus EAC v.1 protokolom čipovej, pasívnej a terminálovej autentifikácie.
Účelom čipovej autentifikácie je odhaliť možný klon čipu a vytvoriť silný šifrovaný kanál na bezpečnú komunikáciu priamo medzi čipom a autentifikačným serverom. Cez tento kanál sú následne sprístupnené požadované osobné údaje potrebné pre poskytovateľa služby.
Záver
Pri návrhu riešenia eID karty sa rozhodlo Slovensko pre riešenie aplikujúce najnovšiu generáciu bezpečnostných mechanizmov a štandardov vyvinutých osobitne na účely identifikácie a autentifikácie s ohľadom na právo občana na súkromie a ochranu osobných údajov. V druhej časti seriálu sa zameriame na mieru využívania a jej rezervy, aktuálne iniciatívy na národnej a európskej úrovni a možnosti prieniku do komerčného sektora.
V ďalšej časti nášho seriálu si povieme o tom, aká je miera využívania eID a čím sme si za 4 roky prešli. Whiteboardy
Autor: Ing. Peter Handzuš, peter.handzus@dxc.com
