Denně dochází k mnoha pokusům o útoky na servery a počítače připojené k síti Internet a jen naivní člověk by si mohl myslet, že si hackeři nechají ujít příležitost zkusit změřit své síly s novinkou v elektronické komunikaci – systémem datových schránek.

Od 1. listopadu 2009 všechny české firmy a organizace přijímají korespondenci od orgánů veřejné moci výhradně elektronicky prostřednictvím datových schránek. V praxi to znamená, že přes Internet dostanou například vyměřený nedoplatek daní z finančního úřadu, oznámení o zahájení konkursu od soudu či například rozhodnutí o vítězství ve veřejné soutěži o lukrativní zakázku. Jde tedy o závažné dokumenty, jejichž odcizení, změna či zničení může firmám způsobit milionové škody, ať už přímé, nebo na pověsti firem, což je například u právníků, notářů či auditorů klíčové.

Na uživatele datových schránek lze relativně snadno útočit známými typy útoků. Běžné firewally, kterými jsou většinou firmy chráněny, přitom v takovém případě před útoky uživatele neochrání. „Ani přihlašovací jméno a heslo a dokonce ani přihlašování certifikátem nezaručuje ochranu před nabouráním či zneužitím schránky,“ vysvětluje soudní znalec v oboru bezpečnosti počítačových systémů a ředitel společnosti TNS Roman Pavlík.

Mezi typy útoků na uživatele datových schránek patří například phishing, odcizení hesla škodlivým programem při jeho zadávání na klávesnici počítače, využití přihlašovacích údajů z ukradeného notebooku, odcizení cookies či útok na DNS server, který vede k přesměrování na falešné webové stránky útočníka. Ve všech těchto případech se útočník dostane k přihlašovacím údajům nebo zneužije připojení ke schránce a může způsobit nenávratné škody.

Je tedy možné se nějak proti těmto útokům chránit? S řešením přichází česká firma TNS, která vyvinula speciální řešení pro ochranu datových schránek Kernun Bezpečná schránka. To využívá kromě standardních metod šifrovacích klíčů či ověřování identity také vlastní unikátní technologii pro ochranu hesel a relací a získávání autoritativních DNS záznamů. Umí tak zajistit naprosto bezpečné připojení k datové schránce.

Reálný útok na uživatele datových schránek

Pro ilustraci potenciálu útočníků jsme se zaměřili na webové prohlížeče a jejich schopnost rozšiřování o různé moduly. Jedno z užitečných rozšíření webového prohlížeče jsme „vylepšili“ o možnost odcizení otevřených relací. Samotné škodlivé chování je přitom před zrakem uživatele ukryto.

Při našem útoku jsme postupovali následovně:

1. Z veřejné webové stránky jsme si stáhli volně dostupné rozšíření webového prohlížeče a přidali k němu velmi jednoduchou úpravou funkci, která zaznamenává a odesílá cookies.
2. Upravené rozšíření prohlížeče jsme umístili na webových stránkách, odkud si uživatelé bezplatně stahují software, a počkali, až si ho uživatel nainstaluje.
3. V okamžiku, kdy se napadený uživatel přihlásí k datové schránce, odešle nám tím své cookies.
4. Získané cookies vložíme do svého webového prohlížeče, a tím se dostaneme do otevřené datové schránky.

Typy možných útoků na uživatele datových schránek

Vybrané útoky z kategorie útoků na chování uživatelů

Phishingový útok

Phishing je druh internetového podvodu, kterým se podvodníci snaží z uživatelů datových schránek vylákat jejich přístupové údaje. K získání těchto důvěrných informací mohou využít například podvodné e-maily, které na první pohled vypadají, že jsou odeslány přímo z informačního systému datových schránek, a snaží se přesvědčit uživatele, aby kliknul na podvržený odkaz. Jestliže to neopatrný uživatel udělá, dostane se na podvodné stránky napodobující skutečné datové schránky, kde jsou po něm požadovány přístupové údaje. Pokud je uživatel naivně vyplní, získají tato data útočníci.

Kernun Bezpečná schránka pomocí automatizované kontroly digitálních certifikátů ověřuje pravost zobrazené stránky a nedovolí se na podvodnou stránku vůbec připojit. Zařízení navíc ověřuje, zda jsou maily skutečně zaslány z informačního systému datových schránek.

Odcizení hesla z klávesnice

Podvodný software, tzv. keylogger, se dostane do počítače pomoci viru, při instalaci ilegálního software nebo chybou internetového prohlížeče a slouží k zachytávání stisků jednotlivých kláves, převážně hesel, pro útočníka.

V případě použití produktu Kernun Bezpečná schránka uživatel nezadává přímo své originální údaje, ale nové přihlašovací údaje nastavené při prvním přihlášení k datové schránce. Ty jsou potenciálnímu útočníkovi k ničemu, neboť se jimi nelze připojit k datové schránce mimo počítač uživatele.

Krádež relace

Pokud někdo ztratí notebook či PDA, s velkou pravděpodobností v něm má uloženy tzv. cookies, tedy záznamy, které slouží k vytvoření připojení k datové schránce. To stačí útočníkovi, aby odcizil identitu majitele a mohl se za něj vydávat. Stejně tak snadno může útočník díky chybám v internetových prohlížečích odposlechnout síťový provoz mezi uživatelem a serverem, na kterém je datová schránka, a potom se vydávat za uživatele, aniž by znal heslo. Převezme tak obsluhu schránky oběti během jejího přihlášení k webu.

Kernun Bezpečná schránka toto řeší tím, že do síťového provozu pouští jen část relace, která je útočníkovi bez znalosti druhé části k ničemu.

Napadení služby DNS (DNS poisoning)

Aby se útočník dostal mezi uživatele a datovou schránku, může využít napadení služby DNS. DNS slouží k překladu doménových jmen na IP adresu. Ve světě Internetu má každý počítač svou IP adresu vyjádřenou čísly (např. 78.24.9.125). Protože pro člověka není zrovna nejjednodušší zapamatovat si adresy jednotlivých počítačů, vymyslel si náhražku IP adresy a tou je doménové jméno (např. www.kernun.cz). Počítače však k adresaci vyžadují právě IP adresu, a tak vznikla služba DNS, která převod doménového jména na IP adresu zprostředkuje. V praxi to pak vypadá tak, že když do prohlížeče zadáme www.kernun.cz, vyšle náš počítač dotaz službě DNS a ta mu vrátí IP adresu 78.24.9.125, ke které se prohlížeč následně připojí.

Nyní si představme situaci, kdy útočník ovládne server poskytovatele Internetu, a může tudíž komunikaci počítače se službou DNS zachytávat a měnit. Může pak například zmást uživatele, který se bude chtít dostat na www.datoveschranky.cz, a podstrčí mu IP adresu třeba nějakého erotického serveru. Využít se toho ovšem dá i jinak. Útočník může vytvořit věrnou kopii přihlašovací www stránky a uživatele nechat zadat jeho přihlašovací údaje.

Kernun Bezpečná schránky tomu dokáže zabránit tím, že se připojuje přímo na autorizované kořenové DNS servery a nedovolí se na podvodnou stránku vůbec připojit a přidá hlášení o útoku.