Szinte már hitvita folyik arról, hogy (eléggé) biztonságos-e a magyarorszag.hu portálról elérhető Ügyfélkapu beléptetési rendszere. Íme, két vélemény a két pólusról.
Igen!
Nem fordult elő informatikai okokra vissza vezethető biztonsági probléma
Dedinszky Ferenc kormány-főtanácsadó
A kockázattal arányos biztonság garantálásának elvét szem előtt tartva, a jelenleg elérhető szolgáltatások körének esetében – és az azokhoz kialakított eljárásrendeknek köszönhetően – megfelelően biztonságosnak tekinthető. Ezt támasztja alá, hogy az Ügyfélkapu indulása óta végrehajtott több mint 22 millió tranzakció során biztonsági probléma és az adatokkal való olyan visszaélés, ami informatikai okra vezethető vissza, nem fordult elő. Az alkalmazott technikai megoldások a megszerezhető értékhez képest aránytalanul nehézzé teszik az azonosító és a jelszó illetéktelen kezekbe kerülését. Kockázat gondatlanság esetén jelentkezhet: ha a személyes azonosítóját és a jelszavát önként adja át valaki, vagy felírt formában mások számára hozzáférhető módon tárolja. Ez a kockázat azonban bármilyen más azonosító eszköz esetében ugyanígy fennáll. Mint ahogyan a lakásokban a védendő javak értéke határozza meg a védelem erősségét, az elektronikusan elérhető szolgáltatások esetében is a szolgáltatások révén érintett adatok szükséges és megfelelő szintő védelme határozza meg a biztonsági megoldás módját. A szükségesnél magasabb szintő biztonság megkövetelése aránytalan terheket róna mind az államra, mind az igénybe vevő állampolgárokra. Az Ügyfélkapu továbbfejlesztése, a szolgáltatások körének bővítése és a szolgáltatási szint emelése azonban már szükségessé teszi, hogy a „kockázattal arányos biztonság” alapelvét követve az azonosítási eljárás megerősítésére is sor kerüljön. Ez szerepel is a tervekben.
Nem eléggé!
A felhasználói név és jelszó mellett egyidejűleg valaminek a fizikai birtoklása szükséges
Kovács Árpád elektronikusaláírás-szakértő
Az Ügyfélkapunál a regisztrációkor egy nem titkosított e-mailben kapjuk meg az első alkalommal használatos jelszót. Ha ezt más kapja, szerzi meg (sok módja lehet), akkor a felhasználó nevében más léphet be a rendszerbe, ügyeket intézhet (mondjuk, adóbevallást küldhet). A kapcsolat felépítése során már titkosított kommunikáció zajlik. A nagyobb biztonság eléréséhez a felhasználói név és jelszó mellett még egyidejűleg valaminek a fizikai birtoklása szükséges. Ez többféle eszköz lehet (például a jelszógeneráló kulcs, chipkártya), de a legtöbb esetben csak az adott személy által használt mobil vagy laptop is jó. Ekkor, ha más kezébe kerül is a jelszavunk (például mert betört a nem szakszerűen védett otthoni hálózatba), akkor sem tudja azt az adott eszköz nélkül máshol használni. A jelenlegi azonosítás és az ez alapján beküldött dokumentum esetén ha valaki bizonyítani akarja, hogy ténylegesen mely dokumentumot (például adóbevallást) küldte be, akkor a bizonyításhoz szükséges majdnem minden információ az ellenérdekelt félnél (az államnál) van. Ha azonban a kormányportál nemcsak lehetőségként használná az elektronikus aláírást, illetve a hozzá kapcsolódó pki-technológiát, úgy a dokumentum beküldése után azon módosítást (nyom nélkül) nem lehetne végrehajtani, és ez mindkét felet védené. Erre van már számos jó példa az államigazgatáson belül, ezt kellene az Ügyfélkapura is szélesebb körben kiterjeszteni.
