Elektroniczna skrzynka podawcza Głównego Urzędu Statystycznego powitała mnie dzisiaj komunikatem, uświadamiającym jak nie należy konfigurować produkcyjnych serwerów ASP.NET.

Komunikat ten pojawił się po kliknięciu na link “Wypełnij formularz” na stronie eREGON urzędu (https://esp.stat.gov.pl/ESP/default.aspx). Proszę zwrócić uwagę na obfitość informacji, jaką uraczył nas serwer - jest tam użytkownik i nazwa bazy, adresy IP i zrzut stosu ASP.NET. Przyczyna pojawienia się błędu to najwyraźniej chwilowo niedziałający serwer MS SQL.

To się oczywiście zdarza, ale pozostawianie włączonych komunikatów debuggingowych ASP.NET na produkcyjnym serwerze nie jest najlepszym pomysłem.

Przy niedawnej próbie złożenia formularza do GIODO natrafiłem na problemy, które spowodowały że cała procedura zajęła prawie tydzień. Dodatkowo zaczynam mieć wątpliwości czy i na jakiej podstawie wystawiane są deklaracje zgodności dla różnych produktów podpisu elektronicznego.

Pierwszy problem pojawił się w momencie wejścia do formularza ESP na stronie GIODO. Aplikacja wymaga Internet Explorera działającego pod Windows z prawami administratora oraz doinstalowania (z prawami administratora) specjalnej aplikacji, która zmienia uprawnienia .NET w systemie. O ile instalację można uznać za rzecz dopuszczalną, o tyle żądanie by przeglądarka działała z prawami administratora jest zwyczajnym błędem projektowym (patrz punkt A.11.2.2 normy PN-ISO/IEC 27001:2007). Z punktu widzenia bezpieczeństwa systemu Windows jest to zwyczajnie śmieszne w kontekście “wysokiego poziomu bezpieczeństwa” jaki rzekomo zapewnia podpis elektroniczny.

Drugi problem pojawił się w momencie złożenia dokumentu z załącznikiem, którym był plik JPG zawierający potwierdzenie przelewu opłaty skarbowej. Po elektronicznym podpisaniu i wysłaniu formularza dostałem email, w którym skrzynka poinformowała mnie o ograniczonej liczbie rozszerzeń plików jakie akceptuje. Nie było wśród nich rozszerzenia JPG - było za to “jpg”. Wniosek? Projektant aplikacji najwyraźniej nie wiedział, że w systemie Windows wielkość liter nie ma znaczenia w nazwach plików.

Trzeci problem - najpoważniejszy ujawnił się po kolejnej próbie wysłania formularza z rozszerzeniem pliku zmienionym na “jpg”. Otrzymałem mailem Urzędowe Poświadczenie Odbioru i spocząłem na laurach. Po paru dniach otrzymałem kolejny email, tym razem od pracownika, który zwracał uwagę, że mój wniosek jest pozbawiony podpisu elektronicznego. Dalsze śledztwo i eksperymenty szybko doprowadziły do wniosku, że problem leżał po mojej stronie - nie miałem w świeżym systemie zainstalowanych certyfikatów NCC i QCA należących do ścieżki mojego certyfikatu kwalifikowanego. Z punktu widzenia Windows certyfikat był więc nieważny (niemożliwy do zweryfikowania), co widać było od razu po jego podejrzeniu. Nasuwa się jednak pytanie, w jakis sposób aplikacja podpisująca skrzynki podawczej (applet ActiveX) mogła złożyć bezpieczny podpis elektroniczny nie weryfikując ważności certyfikatu?

Komentarz na temat deklaracji zgodności

Deklaracja zgodności ma charakter dobrowolny i jak mi się wydaje fikcyjny.

Próba uzyskania deklaracji zgodności dla Programu Płatnika zarówno w ZUS jak i Prokomie, którą podjąłem kilka miesięcy temu skończyła się w obu instytucjach łańcuszkiem spychotechniki (”to nie my, to oni”). Deklaracji nigdy nie otrzymałem. Czy widział ktoś deklarację zgodności dla skrzynki podawczej ZETO Białystok albo systemu e-Deklaracje?

Znam przypadek aplikacji do weryfikacji faktur elektronicznych udostępnianej za darmo przez jedno z kwalifikowanych centrów, która radośnie weryfikowała “bezpieczny podpis” złożony przy pomocy samopodpisanego certyfikatu EFS (Encrypted Filesystem) z Windows czy dowolnego.

Najwyraźniej nikt tego nie sprawdza ani nie kwestionuje. Taka strategia wydaje się być uzasadnione o tyle, że jeden taki precedens może spowodować łańcuszek publikacji kompromitujących dla części rodzimych producentów, którzy wyposażyli urzędy w nikomu niepotrzebne rozwiązania w ramach “przetargowej paniki” w latach 2006-2008.

Dla administracji publicznej oznaczałoby to konieczność wymyślania kabalistycznych interpretacji obecnego rozporządzenia tak, by dowieść że to co utrzymują (i z rzadka używają) jest jednak zgodne z prawem. Prawem, które całościowo rozumie zapewne kilkaset osób w Polsce.

http://ipsec.pl/podpis-elektroniczny/2008/ekscytujaco-prosta-w-uzyciu-sk…

Ja się pytam, gdzie to “bezpieczeństwo” zapewniane rzekomo przed “bezpieczny podpis”, którym tak szermują zwolennicy stosowania podpisu kwalifikowanego wszędzie gdzie się da?

W chwili obecnej Urzędowe poświadczenie odbioru (UPO) jest generowane przez skrzynki podawcze (ESP) różnych dostawców z tym samym zamiłowaniem do chaosu, jakie cechuje formaty podpisu elektronicznego od początków polskiej informatyzacji. W jaki sposób można to uporządkować pozostając w ramach obowiązującego prawa?

czytaj dalej

Cześć druga cyklu "Jak nie implementować elektronicznej skrzynki podawczej?", tym razem na podstawie skrzynki udostępnionej przez powiat mławski.

czytaj dalej

Rozporządzenie w sprawie warunków organizacyjno-technicznych doręczania dokumentów elektronicznych podmiotom publicznym określa sposób w jaki ma być wydawane Urzędowe Poświadczenie Odbioru (UPO), czyli elektroniczny kwitek potwierdzający fakt złożenia dokumentu do urzędu w określonym terminie. Z rozporządzeniem tym wiążą się co najmniej dwie wątpliwości natury techniczno prawnej.

Rozporządzenie definiuje UPO w sposób następujący:

§ 2. Użyte w rozporządzeniu określenia oznaczają: (…)

czytaj dalej

Rozporz??dzenie w sprawie warunk??w organizacyjno-technicznych dor??czania dokument??w elektronicznych podmiotom publicznym okre??la spos??b w jaki ma by?? wydawane Urz??dowe Po??wiadczenie Odbioru (UPO), czyli elektroniczny kwitek potwierdzaj??cy fakt z??o??enia dokumentu do urz??du w okre??lonym terminie. Z rozporz??dzeniem tym wi?????? si?? co najmniej trzy w??tpliwo??ci natury techniczno prawnej.

czytaj dalej