Kövesse az Indexet Facebookon is!
Követem!További Szoftver cikkek
Előző cikkemben említettem már néhány fecskét, most más madarak következnek, azaz az elektronikus aláírás további gyakorlati felhasználási lehetőségeinek feltárása. Visszakanyarodva ezzel a jelenbe, mint egy honvágytól gyötört időutazó, elsőként arra szeretnék útmutatót adni, hogy miképp találkozhatunk elektronikus tanúsítványokkal, és mit tegyünk ilyen alkalmakkor. Az óvatlan hálófürkésző bármikor, szinte a legváratlanabb helyeken is belebotolhat egy tanúsítványba. A figyelmetlenebbje észre se veszi, mint cipő alatt a kutyasalakot, ha mégis, rögtön jéggé fagy benne forró vére.
1. típusú találkozások
Pedig ilyenkor a legfontosabb, hogy megőrizze higgadtságát és lélekjelenlétét. Vegyük mindjárt a leglátványosabb, bár nem leggyakoribb esetet, a szoftvertanúsítványok feltűnését. A böngészőben ilyen alkalmakkor megjelenő "Security Warning" (Biztonsági Figyelmeztetés) ablak nem csak valamiféle veszélyre hívja fel figyelmünket, hanem arról is tanúskodik, hogy az éppen gépünkre lecsusszanni akaró és ott mindenfajta ismeretlen műveletet végrehajtani szándékozó programhoz gyártója nevét adja. Teszi ezt méghozzá abból a nemes célból, hogy minket, akik rábízzuk komoly értéket képező erőforrásunkat, és az azon tárolt adatainkat, megnyugtasson a program eredete és sértetlensége felől. Olyan ez, mint mikor beengedjük a lakásunkba a számlálóbiztost, miután felmutatta az igazolványát. Arra ugyan nincs garancia, hogy nem fog leütni, mihelyst bejutott az előszobába, és nem pakolja ki a lakást, de jelentősen kisebb erre az esély, mint igazolványmutogatás nélkül.
|
2. típusú találkozások
Hasonló történik, amikor egy biztonságosnak nevezett oldalt látogatunk meg. Az, hogy biztonságos oldalon vagyunk legtöbbször csak onnan észlelhető (vagy pontosabban fogalmazva onnan sem észlelhető), hogy a böngésző Locationnek, más esetben Addressnek nevezett mezőjében az URL https-el kezdődik a megszokott http helyett, s az ablak alsó sarkában ott terem, illetve bezárul egy sárgás apró lakat. Ez nem azt jelenti, hogy foglyok lettünk, hanem azt, hogy biztonságban vagyunk. A meglátogatott oldal biztonságosnak tekinthető, legalábbis abban az értelemben, hogy a megjelenő tartalom létrehozójában és az olvasott anyag eredetiségében, sértetlenségében biztosak lehetünk.
(Remélhetőleg nem most kapnak szívükhöz, rémülten visszakérdezve, hogy: "Eddig nem lehettünk?", mert jelenleg, eredeti témánk szorításában, minden bővebb magyarázkodást mellőzve, csak egy kategorikus "Nem"-re futja.) Gondolták volna, hogy a háttérben lezajló bonyolult kriptográfiai hókuszpókuszok mögött megint csak egy életerős, kőkemény tanúsítvány áll, az tartja Atlaszként vállán biztonságunk? Ha a lakatra bökdösünk, mindjárt meg is mutatkozik igazi valójában, amilyennek őt a Hitelesítő Szolgáltatója megteremtette.
|
Az apró betűs részek
De mielőtt megkönnyebbülten felsóhajtva, gondolkodás és elmélkedés nélkül OK-t mondanánk egerünkkel, feltétlen olvassuk el az ablakban megjelenő adatokat, azok közül is legfőképp a tanúsítványtulajdonos nevét. Akkurátusabb egyének ilyenkor nem árt, ha egyéb információkról is meggyőződnek, úgy például, mint a tanúsítvány kibocsátójának neve, a tanúsítvány érvényessége, s az, hogy milyen célra lett kibocsátva a tanúsítvány. (Ez esetben egy szerver-tanúsítvánnyal akadt dolgunk.) Üldözési mániásoknak, mazochistáknak pedig kihagyhatatlan program a tanúsítvány kibocsátását és kezelését taglaló Szolgálati és Hitelesítési Szabályzatok (Certificate Policy, Certification Practice Statement) elolvasása. Ezek a dokumentumok a biztosítási szerződések helyi megfelelői, sőt bármennyire hihetetlen, mind terjedelemre, mind emészthetetlenségre messze felülszárnyalják azokat, még akkor is, ha az (ékes angol vagy német) nyelvi vonatkozásoktól eltekintünk. A sokszor több száz oldalnyi, technikai, jogi, szabályzati és eljárásrendi fejtegetés között olyan információk "bújnak meg", mint hogy milyen anyagi felelősséget vállal a tanúsítvány kibocsátója abban az esetben, ha mondjuk a kibocsátott tanúsítvány mégsem annak lett volna kiadva, aki fel van benne tüntetve tulajdonosként (s hogy mindez nem csak elvi lehetőség, azt nagyon jól mutatja egy közelmúltban bekövetkezett randa tévedés).
|
Balázs Pali, Daewo Matiz és az "A" osztályú tanúsítvány
És ha már itt tartunk, van valami, ami annyira fontos, hogy nem is várhatok tovább vele: tanúsítvány és tanúsítvány között akkora különbségek vannak, mint mondjuk Balázs Pali és Gerendás Péter zenéje között, vagy zeneileg tájékozatlanabbak számára: egy Daewo Matiz és egy V8-as motorral felszerelt Jaguár között. Míg vannak tanúsítványok, amelyek gyakorlatilag semmit sem érnek, mert mondjuk a kibocsátó egyáltalán nem kezeskedik azért, hogy a tulajdonos valóban az, aki fel van benne tüntetve; vannak olyanok is, amelyekhez nagyon komoly garanciák kapcsolódnak. A probléma ott van, hogy míg belehallgatva Balázs Pali zenéjébe, vagy rápillantva a Matizra, rögtön tudjuk mivel is van dolgunk, addig a tanúsítványon semmi sem látszódik. Netscape-ünk vagy Explorerünk ugyanúgy jeleníti meg őket, a kibocsátó neve, és szinte valamennyi egyéb mező is teljesen megegyezik, s ha nem fogunk gyanút egy esetlegesen felbukkanó "Class" szó láttán, jaj lehet nekünk. A tanúsítványok ugyanis még ugyanazon szolgáltatón belül is különböző osztályokba szerveződnek, mely osztályokat általában betűjelek (A, B, C), vagy számok (1, 2, 3) különböztetik meg. (Ha az autós hasonlatoknál maradunk, ugyanúgy, mint a Mercedes és a BMW esetében.) Az egyes osztályok közötti különbségek, mint ég és föld, de arra, hogy melyik jel jelöli a magasabb értékű tanúsítványt nincs semmilyen általánosan elfogadott szabvány vagy megállapodás, még kevésbé arra, hogy a különböző osztályokhoz milyen biztonsági eljárásoknak és garanciáknak kell kapcsolódni. Így az egyes hitelesítési szolgáltatók azonos, vagy hasonló elnevezésű tanúsítvány osztályai véletlenül sem feleltethetők meg egymásnak a jelölés alapján. Az egyetlen dolog, amit tehetünk ha valóban meg akarunk bizonyosodni arról, hogy a kezeink közé került tanúsítvány milyen biztonsági szintet testesít meg, az bizony, az említett szabályzatok fellapozása. A feladat azonban egy átlagos felhasználó számára több mint kétségbeejtő, így nem véletlen, hogy a magyar elektronikus aláírási törvény részletesen foglalkozott a tanúsítványok minőségének kérdéskörével.
3. típusú találkozások
De mielőtt ebbe is idő előtt belemerülnénk, visszatérek a tanúsítványokkal való találkozások egy harmadik típusára. Az előbbi webes böngészések mellett mindenképp megemlítendő az e-mail-alapú felbukkanás lehetősége. Megtörténhet bármelyikünkkel, és előbb-utóbb meg is fog történni mindannyiunkkal, hogy egyszer csak kapunk egy elektronikus levelet, ami elektronikus aláírással van ellátva. Ez még akkor is megtörténhet, ha saját levelező alkalmazásunk nem alkalmas elektronikus aláírások kezelésére. Ebben az esetben természetesen az aláírásból vagy nem látszódik semmi, vagy ami látszódik nem lesz több, mint egy értelmetlen csatolmány. De micsoda élmény, ha levelező programunk képes elektronikus aláírások elhelyezésére és értelmezésére, mint például az Outlook Express, vagy mondjuk a DrótPostaGalamb. Ekkor ugyanis - a program funkcionalitásától függően - hasonló tapasztalásban lehet részünk, mint amit a szervertanúsítványoknál bemutattam. Az aláírás ellenőrzésére szolgáló, a levélhez csatolt, vagy a tanúsítványtárból letöltött certificate megtekintésekor, azonban nem a szerver webcímét kell összehasonlítani a ténylegessel, hanem az üzenet küldőjének és a tanúsítvány tulajdonosának e-mail címét.
Forrás:PriceWaterhouseCoopers Magyarország
Kövesse az Indexet Facebookon is!
Követem!
