Įmonės dėl šių spragų jau yra įspėtos, tačiau iki jų ištaisymo gyventojams rekomenduojama imtis papildomų atsargumo priemonių.
„Elektroniniai parašai laikomi bene patikimiausia dokumentų patvirtinimo priemone, todėl pavojus – itin didelis. Jeigu tikrinimo sistema rodo galiojantį parašą, žmogui gali būti priskirti įsipareigojimai, kurių jis niekada neprisiėmė. Tai kelia grėsmę ir žmonių asmeniniams finansams, ir net nacionaliniam saugumui, pavyzdžiui, suklastojant įgaliojimą valstybinėje institucijoje“, – sako „Critical Security“ vadovas Miroslav Lučinskij.
Dokumentas pakeičiamas, o parašas lieka galioti
Elektroninis parašas susiejamas su konkrečiais dokumento duomenimis. Tačiau PDF formatas leidžia failą papildyti taip, kad anksčiau pasirašyta jo dalis liktų nepakeista. Atidarius tokį failą, ekrane jau gali būti rodomas naujas turinys.
Susiję straipsniai
„Todėl parašo tikrinimo sistemoms svarbu įvertinti ir tai, kas dokumente atsirado po pasirašymo. Vien patvirtinimo, kad originalios dokumento dalies parašas yra autentiškas, gavėjui nepakanka: jis turi aiškiai suprasti, ar pasirašytas ir visas jo matomas turinys, ar tik dalis dokumento. Šiuo metu dalyje sistemų skirtumo nematyti“, – aiškina M. Lučinskij.
Jo teigimu, šios spragos išnaudojimui nereikia didelių techninių žinių, prieigos prie asmens duomenų, mobilaus parašo, PIN kodo ar bet kokio asmens sutikimo – pakanka turėti jau pasirašyto PDF dokumento kopiją.
Sistemos neįspėja vartotojų
Nors daugelis tokių elektroninio pasirašymo ir parašų tikrinimo sistemų šią spragą turi, jose ji veikia kiek skirtingai.
„Dokobit“ detalioje ataskaitoje nurodo, kad parašas apima tik dalį PDF failo, tačiau pagrindinėje suvestinėje dokumentą pažymi kaip galiojantį. „GoSign“ rodo, kad dokumentas tinkamai pasirašytas, nors peržiūroje matomas ir vėliau pridėtas puslapis. Įspėjimo apie nepasirašytą turinį sistema nerodo.
Latvijos „eParakstītājs 3.0“ tirta versija taip pat rodė galiojantį parašą, nors prie dokumento po pasirašymo buvo pridėtas nepasirašytas puslapis. Toks pat klaidinantis rezultatas užfiksuotas Estijos „SiVa“ paslaugoje ir jos patikra besiremiančioje programoje „DigiDoc4“.
M. Lučinskij tikina, kad tai nėra išskirtinai Baltijos šalių problema – panašios problemos nustatytos ir kai kuriose Portugalijos bei kitų šalių sistemose, jų gamintojai taip pat informuoti.
Didžiausia rizika – automatinė patikra
Įmonės ir viešosios įstaigos gali naudoti kai kurias iš pažeidžiamumą turinčių sistemų automatinei dokumentų parašų patikrai. Jei paslauga pakeistą dokumentą pažymėtų kaip tinkamai pasirašytą, jis galėtų būti priimtas niekam papildomai jo nepatikrinus.
„Klaidinantis patikros rezultatas gali turėti labai konkrečių pasekmių. Vartotojui neturėtų reikėti skaityti techninės ataskaitos ir pačiam aiškintis, kuri dokumento dalis pasirašyta. Įspėjimas apie po pasirašymo pakeistą turinį turi būti aiškus ir matomas iš karto“, – pabrėžia M. Lučinskij.
Į pranešimus apie spragas kol kas sureagavo tik latvių „eParakstītājs“ atstovai, todėl specialistas šiuo metu gaunant dokumentus rekomenduoja aktyviai tikrintis, ar po pasirašymo nebuvo pridėta arba pakeista dokumento puslapių ir jų turinio, lyginant puslapių skaičių su originalu.
Gyventojams ir įmonėms taip pat svarbu išsaugoti originalias pasirašytų dokumentų kopijas, o gavus netikėtą priedą ar pasikeitusias sąlygas – jas patvirtinti tiesiogiai su pasirašiusiu asmeniu.