Zfalšované očkovací certifikáty ukazují na věčný problém digitální infrastruktury – je potřeba hlídat privátní klíče, a to se nikdy nezdaří úplně dokonale.
QR kód na certifikátu hovoří jasně: Adolf Hitler, narozený 1.1.1900 (což neodpovídá skutečnosti a je to dáno omezením formátu, který neumožňuje zadávat starší data), má za sebou kompletní očkování proti covidu-19.
Er ist wieder da! Ne, není. Buďte bez obav, ani špičková medicínská věda nedokáže bývalého Führera přivést zpátky k životu. Co ovšem dokáže věda počítačová, je vyrobit mu platný očkovací pas. A abychom nevzpomínali jen na nejtemnější postavy dějin, své potvrzení dostal i Mickey Mouse:
Co se stalo? Někdo zneužil tajné klíče sloužící k podepisování certifikátů. Vyšetřování se aktuálně soustřeďuje na Francii a Polsko, ale v podezření jsou i další státy. Na černém trhu se totiž nabídek na prodej falešných certifikátů vyskytuje povícero.
Tyto tajné klíče, na kterých záleží bezpečnost celého schématu, by správně měly být přístupné jen několika málo důvěryhodným osobám. Ale zdá se, že mezi nimi se vyskytuje někdo bezskrupulózní, kdo je ochoten vystavovat falešné pasy, buď “pro srandu králíkům” nebo za peníze, případně oboje. Typickou slabinou počítačových systémů bývá člověk.
Zjevně neplatné certifikáty jako ten Hitlerův teď poputují na černou listinu a jejich ověřování tím pádem do budoucna nebude fungovat. Co ale certifikáty podvodně vystavené skutečným lidem?
To už tak jednoduché nebude. Správně by teď postižené země měly zneplatnit všechny certifikáty podepsané zpochybněnými klíči, vytvořit si nové klíče a převystavit potrefeným lidem jejich covid-pasy znovu. Jenže to by byla logistická noční můra, protože ty počty potrefených lidí můžou jít do statisíců i milionů, podle toho, kolik klíčů si daná země vytvořila a jakým způsobem je používala v praxi.
Hitlerovo očkovací potvrzení je krásným, i pro laika snadno uchopitelným příkladem toho, jak citlivá je moderní digitální infrastruktura na úniky tzv. tajných klíčů (private keys). Na tajnosti těchto klíčů jsou založeny důležité šifry jako RSA a různé protokoly pro digitální podepisování.
Jenže čím důležitější dokumenty se takto podepisují, tím větší zájem “protihráčů” – což je množina lidí zahrnujících kdekoho, od -náctiletých hackerů přes profesionální padělatele až po tajné služby cizích mocností – se k těm klíčům nějak dostat. A utečou-li jednou, prásk! Takovým únikem se zneplatní, nebo minimálně uvede do pochyb, obrovské množství dokumentů naráz.
Vzpomeňte si na tuto událost nejpozději v momentě, až někdo začne tlačit “elektronické volby z pohodlí domova”. Digitální hlasování spoléhá na stejnou algoritmickou infrastrukturu jako covid pasy, ono totiž těch základních asymetrických šifer zas tak moc neexistuje; naše matematika je v tomto směru omezená. A uteče-li ten správný klíč, může se stát, že nám jednoho dne vyhraje volby Mickey Mouse.
V tom lepším případě.
P.S.: Méně šťavnatý, ale o to rozsáhlejší incident: před čtrnácti dny se ukázalo, že hackeři prolomili databázi argentinské vlády a získali kompletní sadu občanských průkazů celého obyvatelstva. Není úplně jisté, zda šlo o čistě vnější útok, nebo zda tam zapracoval nějaký “insider“, který s únikem pomohl. Zatím nejhorší, co se jednomu z pachatelů stalo, bylo, že mu Twitter obstavil účet.
Na tomto místě si hodně lidí odfrkne, že od nějakých Jihoameričanů se to dalo čekat, ale upřímně bych ČR považoval za zhruba stejně zranitelnou.
Diskusní fórum k článku najdete zde.
Hudební epilog
Chvíli jsem přemýšlel, jak zkombinovat Mickeyho Mouse a Adolfa Hitlera. Nakonec se ukázalo, že to ani není tak obtížné. Pěkný řízný pochod a máme tam oboje.
