GIODO zabiera głos w sprawie bezpieczeństwa poczty e-mail

Generalny Inspektor Ochrony Danych Osobowych zabrał głos w sprawie bezpieczeństwa poczty e-mail. Dokument pt. „Opinia w sprawie bezpieczeństwa danych przekazywanych przy użyciu poczty elektronicznej” pojawił się na stronie Internetowej ministerstwa. Dokument porusza temat zachowania poufności, integralności oraz wspomina o podpisach cyfrowych a więc zagadnieniu weryfikacji tożsamości nadawcy.

Dokument kładzie nacisk na stosowanie kryptografii. Zastosowanie jej w praktyce wymaga dodatkowego oprogramowania oraz wiedzy a wybór metody szyfrowania jest niełatwy. Jak więc szyfrować pocztę e-mail – na to pytanie postaram się znaleźć odpowiedź jednocześnie odrzucając archaiczne lub niepraktyczne rozwiązania które proponuje GIODO.

Banialuki

W dokumencie GIODO znajdujemy kilka rozwiązań technologicznych, które moim zdaniem należy na wstępie odrzucić jako niepraktyczne,  archaiczne lub niewystarczające:

  • kryptografia symetryczna

GIODO proponuje zastosowanie samorozpakowujących się archiwów EXE szyfrowanych hasłem. Niestety szyfrowane archiwa (ZIP, RAR a w szczególności EXE jako potencjalne wirusy) są automatycznie odrzucane przez większość serwerów pocztowych o czym pisałem w artykule Gmail wie lepiej. Stosując symetryczną metodę szyfrowania, wciąż nierozwiązany pozostaje problem w jaki sposób przekazać hasło do rozpakowania archiwum. W teorii „należy to uczynić innym bezpiecznym kanałem” – powiedzmy sobie szczerze, takie rozwiązanie jest archaiczne i kłopotliwe.

  • szyfrowane kanały komunikacyjne

Przesyłając wiadomości przez sieć Internet nie mamy możliwości kontroli jakimi kanałami transmitowana jest nasza wiadomość. Istnienie tego problemu potwierdza również Google. Należy więc zastosować metody które zapewnią poufność danych nawet jeśli kanał komunikacji między serwerami pocztowymi nie będzie szyfrowany.

Oczywiście jeśli mówimy o poczcie e-mail w Intranecie, gdzie administrator ma wpływ na konfigurację wszystkich parametrów kanału komunikacyjnego proponowane przez GIODO rozwiązanie ma sens. Ale dla użytkowników Internetu SSL nie wystarczy.

Konkrety

Po przeanalizowaniu całego dokumentu mogę śmiało powiedzieć, że jedynym sensownym i uniwersalnym rozwiązaniem jest kryptografia klucza publicznego. Kryptografia asymetryczna rozwiązuje wiele problemów takich jak brak szyfrowania kanału transmisyjnego, potencjalny dostęp do treści wiadomości przechowywanych na serwerze pocztowym. Jest to jedyna metoda, która zapewnia 100% poufność w każdym miejscu transmisji.

Dostępne są dwie metody szyfrowania poczty e-mail w oparciu o architekturę klucza publicznego: Gnu Privacy Guard oraz certyfikaty X.509. Zdecydowanie polecam używać technologii GPG gdyż jest ona darmowa i powszechnie znana. Baza wiedzy (artykuły, tutoriale, filmy) o tym jak korzystać z GPG jest obszerna a sama technologia moim zdaniem łatwa w użyciu. Użytkownikom systemu Windows polecam pakiet GPG4WIN.

Prawo

Podmiot decydując się na wybór określonego dostawcy usługi powinien zwracać ponadto uwagę na możliwości dochodzenia swoich praw i zobowiązań dostawcy na wypadek niedotrzymania warunków umowy przed sądem.

Po przeczytaniu tego zdania zacząłem bić brawo na stojąco. GIODO porusza niezwykle ważną kwestię. Czy którykolwiek z użytkowników poczty e-mail dostarczanej przez firmę znajdująca się na drugim końcu globu ziemskiego, zastanawiał się nad możliwością prawnego dochodzenia roszczeń? Zalecam więc wybierać dostawców poczty e-mail znajdujących się w Polsce lub w neutralnej Szwajcarii. W kontekście doniesień Edwarda Snowdena odradzam dostawców podlegających pod amerykański system prawny.

Podsumowanie

Kilka miesięcy temu wysłałem do GIODO prośbę o udostępnienie klucza publicznego (w dowolnym standardzie), którym mógłbym zaszyfrować kierowaną do inspektoratu korespondencje. Do dnia dzisiejszego nie otrzymałem odpowiedzi.

Moim zdaniem taka opinia jest warta tyle co zeszłoroczny śnieg. Dopóki nie pojawi się prawo jednoznacznie wymagające stosowania kryptografii takie opinie pozostaną niezauważone. Może ktoś je przeczyta i na tym się skończy. Polskie ustawodawstwo jest nieprecyzyjne. Poufność jest wymagana jednak nie ma rozporządzenia które wymagałoby stosowania kryptografii end-to-end w korespondencji e-mail. Nie jestem zwolennikiem mnożenia przepisów prawnych. Nie jestem też zwolennikiem tworzenia za nasze pieniądze przez urzędników opinii, których nikt nie bierze pod uwagę*.

*nawet same urzędy.

Dodaj komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *