Revision 623236373361 () - Diff

Link to this snippet: https://friendpaste.com/4fAdOZCRORvLPNCprtkXhD
Embed:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
Quo vadis, Slovakia(Cyber(Security))?

( Originálna verzia publikovaná na https://pastebin.com/3p8iAG2b )

{ O Slovensku. O informačných systémoch. O verejných zákazkách. O bezpečnosti. }
{ O vlastníctve. O .sk doméne. O SK-NICu.                                      }


--------------------------------------------------------------------------------
(Dovolil som si skopírovať na úvod tri odstavce, ktoré podľa mňa prinášajú
zaujímavé/nové informácie a bola by škoda, keby zanikli medzi zvyškom textu.
Taktiež som do nich doplnil niekoľko zdrojov.
Celý pôvodný text s doplnenou diakritikou nasleduje nižšie.)

  A čo nedávny prípad (ktorý sa mimochodom dostal aj do médii) elektronických
schránok na slovensko.sk? "Používatelia si mohli prečítať predmety cudzích správ
a niekedy aj celý obsah."[1] Keď je toto tá sľubovaná bezpečnosť štátnych schránok,
aká je potom bezpečnosť elektronických občianskych preukazov? Zaujímali ste sa
niekedy o to, či sú tie eID kartičky a celý systém postavený na nich bezpečný?
Či boli navrhnuté dobre, či boli dobre naprogramované, či ich niekto naozaj
poriadne otestoval a prípadné zistené nedostatky boli odstránené?
Spýtajte sa. A nedajte sa odbiť, máte právo poznať odpovede, keď do toho štát
investoval viac peňazí, než mnohí z vás zarobia za celý život.[2] Dokonca viac, ako
by priemerne zarábajúci človek zarobil za 50 životov.[3]

  Pripravoval sa Zákon o kybernetickej bezpečnosti (ten sa síce pripravoval už
dlho, ale práve preto by bolo očakávateľné, že bude kvalitný). Namiesto kedysi
pripravovaného Zákona o informačnej bezpečnosti. Keď sa však už otvárala aj téma
kyberpriestoru a bezpečnosti, mohlo sa už niečo spraviť aj so situáciou okolo
.sk domény. Nestalo sa tak. Na prelome mája a júna bol zákon v pripomienkovom
konaní. Zákon je inak dosť zle napísaný (ale to by bolo na samostatnú tému),
dostalo sa mu obrovské množstvo pripomienok (aktuálne 706)[4], väčšina z nich
však bola dosť mierna, ba až opatrná (pripomienkujúci na to majú určité dôvody).
Pozorný čitateľ znalý situácie však mohol mať o to väčšie prekvapenie, keď sa
zrazu medzi pripomienkami objavila aj vyše stovka pripomienok od SK-NICu.
A navyše veľmi kvalitných pripomienok, ktoré priamo ukázali na problematické
časti zákona. Pozorný čitateľ však mohol zažiť aj ďalšie prekvapenie, keď
pripomienky SK-NICu zrazu začali ubúdať, až úplne zmizli. Mohlo by to znamenať,
že v SK-NICu sú aj ľudia, ktorí to myslia so Slovenskom a kyberzáležitosťami
dobre, sú však donútení správať sa podľa pokynov zamestnávateľa/majiteľa a jeho
záujmovej skupiny. Je ale zaujímavé, že o tomto sa doteraz nikde nepísalo,
drží sa to pod pokrievkou a dúfa sa, že sa na to zabudne.

...Takýchto úvah môže byť viac. Nielen odo mňa. Aj od ďalších, informovanejších
ľudí. Pokojne začnite písať anonymne. Ale hlavne píšte. Viem, že je vo verejnej 
správe aj v komerčných firmách mnoho ľudí, ktorí sú nespokojní s pomermi. Nielen
v IT, aj v iných oblastiach. Je načase pripraviť ľudí na pravdu a povedať im ju.
Ale tak, aby ju pochopili. 

(nasleduje pôvodný text s doplnenou diakritikou. Inak som do článku nezasahoval,
akurát úplne na koniec som pridal pár odkazov.)
--------------------------------------------------------------------------------

  V posledných mesiacoch sa viackrát v médiach objavili zmienky o informatizácii
na Slovensku, aj o kyberpriestore tejto krajiny a občas sa spomenula aj jeho
bezpečnosť. Média sa však tejto téme venujú iba veľmi povrchne, ba priam niekedy
až opatrne. Možno však nie je nutné v tom hľadať žiadny zlý úmysel, média možno 
iba jednoducho servírujú slovenským občanom jednotlivé témy v takom rozsahu,
v akom ich dokáže bežná verejnosť vstrebať.

  Tento text však má v pláne zájsť ďalej a spomenúť aj záležitosti, ktorým sa
zatiaľ na Slovensku nevenovala taká pozornosť, akú by si zaslúžili. Pretože
či chceme alebo nie, informačné technológie sú už neoddeliteľnou súčasťou
života každého občana Slovenskej republiky. Každý jeden človek používa počítače
a mobilné zariadenia či už priamo alebo nepriamo. V informačných systémoch štátu
aj súkromných spoločností sa uchovávajú informácie (takmer) o každom jednom
občanovi SR. A tieto informácie majú častokrát citlivú povahu, dokonca až tak,
že dnešným zločincom by stačilo nahromadiť niekoľko informácii o svojej obeti 
a mohli by jej spôsobiť ďaleko väčšiu škodu, ako keby ju "iba" okradli na ulici.
Áno, s pár informáciami a vhodným postupom môže útočník "ukradnúť identitu".
Hocikomu. Virtuálnu, aj reálnu. So všetkými možnými dôsledkami.

  Použitím informácií, ktoré sú v informačných systémoch, v počítačoch, môže
útočník nielen písať vo vašom mene komentáre na Facebooku, ale môže aj ukradnúť
peniaze z vášho účtu, môže predať vaše auto, váš dom. Ale je to naozaj stále
vaše vlastníctvo? Keď si nedávate pozor na citlivé informácie, keď nedávate
pozor na zariadenia a systémy, v ktorých sú tieto informácie uložené, ako môžete
vedieť, že ešte stále sú vaše veci vaše? Je vaša identita ešte stále vaša?

  Na Slovensku sa povinne čoraz viac rozširujú elektronické schránky a skrz ne
je mnoho ľudí donútených používať elektronické občianske preukazy (eID). eID je
vaša elektronická identita. Keď útočník získa prístup ku nej, môže napr. predať
váš majetok. Alebo spáchať vo vašom mene zločin a vás budú čakať dlhoročné
opletačky s naším súdnictvom.
Myslíte si, že to predsa musí byť dobre zabezpečené. Prečo si to myslíte? Budete
veriť tvrdeniam niektorých štátnych inštitúcií a médiám, ktoré ich citujú?

  A čo nedávny prípad (ktorý sa mimochodom dostal aj do médii) elektronických
schránok na slovensko.sk? "Používatelia si mohli prečítať predmety cudzích správ
a niekedy aj celý obsah." Keď je toto tá sľubovaná bezpečnosť štátnych schránok,
aká je potom bezpečnosť elektronických občianskych preukazov? Zaujímali ste sa
niekedy o to, či sú tie eID kartičky a celý systém postavený na nich bezpečný?
Či boli navrhnuté dobre, či boli dobre naprogramované, či ich niekto naozaj
poriadne otestoval a prípadné zistené nedostatky boli odstránené?
Spýtajte sa. A nedajte sa odbiť, máte právo poznať odpovede, keď do toho štát
investoval viac peňazí, než mnohí z vás zarobia za celý život. Dokonca viac, ako
by priemerne zarábajúci človek zarobil za 50 životov.

  Podobne by sa dalo písať o ľubovoľnej oblasti, všade sa už elektronizuje a
vaše údaje sú spracovávané počítačmi. Kritickú infraštruktúru pre chod štátu
nevynímajúc. Na Slovensku išli na informatizáciu obrovské sumy peňazí, ďaleko
väčšie, ako si bežní ľudia dokážu predstaviť. Dokonca ďaleko väčšie, ako si
dokážu predstaviť aj programátori a informatici, ktorí tieto informačné systémy
vytvárali. Môžete sa spýtať programátorov alebo IT firiem, ktoré zatiaľ neboli
poznamenané štátnymi zákazkami, za koľko by vedeli štátne IT systémy vytvoriť.
Dostanete veľmi odlišné sumy. A potom sa opýtajte, kde skončil ten rozdiel.

  O bezpečnosti sme si už niečo napísali. Vráťme sa ale opäť k tomu, čo je ešte 
stále vaše. Čo je ešte stále slovenské. Je napríklad slovenský kyberpriestor
ešte stále slovenský? Odmyslime si teraz to, že to môže byť eldorádo útočníkov
(aj zahraničných). Pozrime sa na jednu jeho súčasť z pohľadu vlastníctva.

  Slovenská národná doména ".sk". Stretol sa s nou už snáď každý. V podstate
hocikto (spĺňajúci určité podmienky) môže byť držiteľom nejakej domény končiacej
".sk". Nie je to síce úplne vlastníctvo v pravom slova zmysle, držiteľ domény
by však mal mať právo rozhodovať o tom, ku ktorým IP adresám bude táto doména
priradená. Veľmi zjednodušene povedané, držiteľ domény by mal mať právo určovať
obsah, ktorý uvidia ostatní, keď do prehliadača naťukajú túto doménu.

  V rámci medzinárodných databáz a systémov, ktoré uchovávajú údaje o doménach
a ich previazaní s IP adresami, je jedna úloha mimoriadne dôležitá. Je to úloha
správcu národnej domény. Tento správca je poverený administráciou záznamov
o doménach v ich centrálnom registri, vrátane informácii o držiteľoch domén.

  Správou národnej domény .sk je v súčasnosti poverená spoločnosť SK-NIC a.s.
O tom, ako sa táto spoločnosť dostala ku správe národnej domény .sk, sa najmä
v posledných mesiacoch popísalo dosť. Nielen na Slovensku, aj v zahraničí.
Je to zaujímavé čítanie, tento "Příběh domény .SK, aneb krádež za bílého dne".
Vznikla aj iniciatíva nasadomena.sk, ktorá chcela súčasný stav zmeniť.

  A o čo vlastne ide? V krátkosti, národnú doménu spravuje súkromná spoločnosť,
ktorá sa ku tejto úlohe dostala za podivných okolností. A zmluva so štátom je
naformulovaná tak (ne)šťastne, aby sa nedala vypovedať. Táto súkromná spoločnosť
vyberá peniaze od držiteľov domén. Približne 10 eur za úpravu záznamu o doméne,
za úkon, ktorý nezaberie veľa času a navyše sa dá automatizovať. Drvivá väčšina
týchto peňazí vybratých za národnú doménu .sk končí vo vrecku súkromníka.
Súkromníka, ktorý navyše veľmi nepodporuje rozvoj .sk domény a IT komunity.
Môžete si to porovnať s neďalekým Českom, kde CZ.NIC, správca domény .cz, patrí
medzi svetovú špičku a robí množstvo aktivít na rozvoj a podporu komunity.
A Slovensko nemá ani len DNSSEC...

  Bolo viacero príležitostí, kedy sa tento nelichotivý stav mohol zmeniť. No
nezmenil sa. Alebo sa zmenil k horšiemu. Spomeniem pár príležitostí, ktoré sa
udiali počas tohto roka.

  Pripravoval sa Zákon o kybernetickej bezpečnosti (ten sa síce pripravoval už
dlho, ale práve preto by bolo očakávateľné, že bude kvalitný). Namiesto kedysi
pripravovaného Zákona o informačnej bezpečnosti. Keď sa však už otvárala aj téma
kyberpriestoru a bezpečnosti, mohlo sa už niečo spraviť aj so situáciou okolo
.sk domény. Nestalo sa tak. Na prelome mája a júna bol zákon v pripomienkovom
konaní. Zákon je inak dosť zle napísaný (ale to by bolo na samostatnú tému),
dostalo sa mu obrovské množstvo pripomienok (aktuálne 706), väčšina z nich
však bola dosť mierna, ba až opatrná (pripomienkujúci na to majú určité dôvody).
Pozorný čitateľ znalý situácie však mohol mať o to väčšie prekvapenie, keď sa
zrazu medzi pripomienkami objavila aj vyše stovka pripomienok od SK-NICu.
A navyše veľmi kvalitných pripomienok, ktoré priamo ukázali na problematické
časti zákona. Pozorný čitateľ však mohol zažiť aj ďalšie prekvapenie, keď
pripomienky SK-NICu zrazu začali ubúdať, až úplne zmizli. Mohlo by to znamenať,
že v SK-NICu sú aj ľudia, ktorí to myslia so Slovenskom a kyberzáležitosťami
dobre, sú však donútení správať sa podľa pokynov zamestnávateľa/majiteľa a jeho
záujmovej skupiny. Je ale zaujímavé, že o tomto sa doteraz nikde nepísalo,
drží sa to pod pokrievkou a dúfa sa, že sa na to zabudne.

  Ďalšia príležitosť bola príprava nového dodatku k zmluve o doméne .sk, ktorý
pripravoval Pellegriniho úrad tváriac sa, že bude pri tom spolupracovať aj 
s komunitou a rôznymi iniciatívami, ktoré v súvislosti so slovenským IT vznikli.
No dopadlo to tak, že "Pellegrini tajne podpísal dodatok k zmluve so správcom
domény .sk.", pričom "Zmluva medzi štátom a správcom národnej domény .sk je
nevýhodná". Pre štát.

  A cela verejná diskusia ohľadom SK-NICu a budúcnosti .sk domény dostala ďalšiu
facku v podobe odpredaja spoločnosti SK-NIC. Jej majitelia (DanubiaTel/Swan) ju
odpredali britskej spoločnosti CentralNic za 26 miliónov. Poslednú vetu si
prečítajte ešte raz a pomaly predýchajte takmer každé jedno slovo v nej. Či už
je to Swan, britský CentralNic, 26 miliónov alebo odpredaj. Áno, Swan predáva
zahraničnej firme niečo kedysi štátne a zinkasuje za to opäť niekoľko desiatok
celoživotných príjmov bežného slovenského občana. Dobre, aby som bol férový,
tak Swan za predaj priamo zinkasuje niečo vyše 21 mil, zvyšných takmer 5 mil
CentralNic zaplatí až neskôr, pravdepodobne keď budú traktory z neba padať.

  Na tomto predaji je zaujímavých niekoľko faktov. Jednak časové následnosti
s ohľadom na Zákon o kybernetickej bezpečnosti, dodatok zmluvy o doméne .sk. Ale
aj fakt, že v týchto dňoch SK-NIC prechádza na nový technický systém, práve od
CentralNicu. Tento prechod sa pripravoval minimálne rok, no len pred pár dňami
predaj (resp. kúpu) spoločnosť CentralNic oficiálne potvrdila. S tým, že po
právnej stránke bude transakcia dokončená začiatkom septembra. Teda najprv
SK-NIC prechádza na nový systém, a až potom bude jeho predaj dokončený.
Divné, nemyslíte?

  Ďalšie zaujímavé fakty sa týkajú samotnej spoločnosti CentralNic. Ta už má pod
palcom niektoré menej významné národne domény. Konkrétne Laosu (.la) a Palau
(.pw). Prvú doménu marketingovo využíva ako doménu pre Los Angeles. Druhú ako
doménu pre Profesionálny Web. Môžeme iba hádať, ako bude využívaná slovenská
doména .sk. Možno Saskatchewan (kanadská provincia). Alebo South Korea. Alebo
Software Kit. Prípadne celkom výstižné by mohlo byť aj Script Kiddie, nech
táto kategória útočníkov má priestor, kde sa bude môcť pochváliť svojimi útokmi.
Spomínaný dodatok síce zakazuje SK-NICu propagáciu domény .sk v rozpore so
záujmami SR, ale pri vhodnom marketingu môže aj doména pre Script Kiddie
zviditeľniť SR.

  Nemenej zaujímavý je aj fakt, že o kúpu SK-NICu mal záujem aj CZ.NIC. Lenže
ponúkol iba sumu okolo 20 mil. Teda o nejaký ten milión menej, ako teraz zaplatí
CentralNic. Lenže peniaze by nemali byť jediné kritérium. Swan mohol urobiť
veľkú vec pre slovenské IT, mohol SK-NIC predať CZ.NICu. Ten je v tomto smere
svetová špička a veľmi výrazne by pomohol zlepšiť situáciu okolo .sk domény. Len
CZ.NIC asi zabudol na províziu...

  Čo bude nasledovať, ukáže čas. Zatiaľ si môžete domýšľať. Pre inšpiráciu dám
jeden scenár, ktorý by noví majitelia teoreticky mohli zneužiť. Všetky slovenske
stránky, ktoré využíva verejná správa pre elektronické služby štátu a pre
komunikáciu s občanmi, máju domény tvaru ".sk", prípadne ".gov.sk". Majitelia
môžu prostredníctvom SK-NICu urobiť zmenu v centrálnom registri. Prípadne môžu
SK-NIC prinútiť, aby si odpílil pod sebou konár a zmenil technický kontakt.
Následne môžu presmerovať ľubovoľnú .sk doménu na obsah, ktorý budú chcieť.
Potom by sa mohlo stať, že slovensko.sk by bolo nasmerované na pornostránku. Je
len otázne, či by na nej boli proslovenské alebo protislovenské prostitútky.
Alebo by mohli presmerovať nbusr.sk a nbu.gov.sk na stránku zobrazujúcu večné
memento slovenskej kyberbezpečnosti: NBUSR123. Alebo by tým iba mohli pohroziť
a prinútiť slovenskú vládu splniť ľubovoľné ich požiadavky. Technická zmena
v centrálnom registri je totiž oveľa rýchlejšia než právny spor ohľadom zmluvy.



  Táto úvaha bola dlhšia, ako som pôvodne plánoval. Ďakujem tým, ktorí sa
dočítali až sem. Miestami je viacero technických vecí veľmi zjednodušených.
Viem. To preto, aby mohli pochopiť aj bežní ľudia. Aj politici.
Takýchto úvah môže byť viac. Nielen odo mňa. Aj od ďalších, informovanejších
ľudí. Pokojne začnite písať anonymne. Ale hlavne píšte. Viem, že je vo verejnej 
správe aj v komerčných firmách mnoho ľudí, ktorí sú nespokojní s pomermi. Nielen
v IT, aj v iných oblastiach. Je načase pripraviť ľudí na pravdu a povedať im ju.
Ale tak, aby ju pochopili. 


								V. ako Vendelin

PS: všetky faktografické údaje v tejto úvahe sa dajú dohľadať na Internete,
alebo vypočítať z dohľadateľných údajov. Alebo o tom sú záznamy (pripomienky
SK-NICu k Zákonu o kybernetickej bezpečnosti).

--------------------------------------------------------------------------------
(Odkazy na online zdroje, citácie a výpočty, ktoré aspoň čiastočne podkladajú
tvrdenia v predchádzajúcej úvahe.)

[1] https://ekonomika.sme.sk/c/20624819/slovensko-sk-sa-znovu-predviedlo-dali-sa-citat-cudzie-spravy.html
[2] https://ekonomika.sme.sk/c/7021016/kalinak-elektronicke-obcianske-preukazy-zacal-aj-dokoncil.html
[3] http://www.minimalnamzda.sk/priemerna-mzda.php
	podľa [2] šlo o 33 mil Eur, podľa [3] je odhadovaná priemerná mzda na r.
2017 rovná 945 Eurám. Takže ak by niekto zarábal túto mzdu po dobu 50 rokov, za 
50 životov zarobí 28,35 mil Eur (samozrejme, v hrubom, a tento výpočet
nezohľadňuje infláciu)
[4] https://www.slov-lex.sk/legislativne-procesy/SK/LP/2017/407/pripomienky/zobraz

(pár odkazov na záležitosti okolo .sk domény a CentralNicu)
https://www.nic.cz/files/nic/IT_17/Prezentace/Platon_nasa_domena.pdf
https://www.root.cz/clanky/pribeh-domeny-sk-aneb-kradez-za-bileho-dne/
https://www.tyzden.sk/politika/41587/pellegrini-pripravil-slovensko-o-miliony-eur/
https://ekonomika.sme.sk/c/20622070/zmluva-medzi-statom-a-spravcom-narodnej-domeny-sk-je-nevyhodna.html
http://dsl.sk/article.php?article=20144
https://www.centralnic.com/portfolio/cctlds