9 - Ασφάλεια Ηλεκτρονικών Συναλλαγών ΕΘΝΙΚΗ ΣΧΟΛΗ ΔΗΜΟΣΙΑΣ ΔΙΟΙΚΗΣΗΣ & ΑΥΤΟΔΙΟΙΚΗΣΗΣ

9 - Ασφάλεια Ηλεκτρονικών Συναλλαγών ΕΘΝΙΚΗ ΣΧΟΛΗ ΔΗΜΟΣΙΑΣ ΔΙΟΙΚΗΣΗΣ & ΑΥΤΟΔΙΟΙΚΗΣΗΣ

Ενότητες Πυλώνες εμπιστοσύνης ηλεκτρονικών συναλλαγών Κρυπτογράφηση Δημόσιο και ιδιωτικό κλειδί Ψηφιακή υπογραφή Ψηφιακά πιστοποιητικά Αρχές πιστοποίησης Χρονοσήμανση Ηλεκτρονική διαχείριση εγγράφων Κύρος και αποδεικτική ισχύ ηλεκτρονικών εγγράφων Χαρακτηριστικά και τύποι αυθεντικοποίησης Πλαίσιο Ψηφιακής Αυθεντικοποίησης STORK Πρακτική άσκηση 2

Άξονες ή πυλώνες εμπιστοσύνης ηλεκτρονικών συναλλαγών Αυθεντικότητα (authentication): Ο παραλήπτης πρέπει να είναι βέβαιος για την ταυτότητα του αποστολέα Εμπιστευτικότητα (confidentiality): Στα δεδομένα του αποστολέα να έχουν πρόσβαση μόνο εξουσιοδοτημένα άτομα Μη αποποίηση ευθύνης (non repudiation): Οι συναλλασσόμενοι δεν πρέπει να μπορούν να αρνηθούν εκ των υστέρων την συμμετοχή τους Ακεραιότητα (integrity): Τα δεδομένα δεν επιτρέπεται να αλλοιωθούν 3

Ασύμετρη Κρυπτογράφηση Ασύμμετρη Κρυπτογράφηση Ιδιωτικά και Δημόσια κλειδιά Ότι κρυπτογραφεί το ένα, αποκρυπτογραφεί το άλλο Εμπιστευτικότητα Αυθεντικότητα Ακεραιότητα Μη αποποίηση ευθύνης 4

Δημόσιο Κλειδί Δημόσιο κλειδί (Public Key Infrastructure) Ολοκληρωμένο σύστημα από πολιτικές + διαδικασίες + τεχνολογίες, που παρέχει τη δυνατότητα στους χρήστες του Διαδικτύου να ανταλλάσουν πληροφορίες με ασφάλεια και μυστικότητα 5

Εμπιστευτικότητα 6

Ψηφιακή Υπογραφή 7

Ψηφιακή Υπογραφή ΜΗΝΥΜΑ Υπογεγραμμένο μήνυμα Αλγόριθμος Σύνοψης ΜΗΝΥΜΑ ΣΥΝΟΨΗ ΜΗΝΥΜΑΤΟΣ Ιδιωτικό κλειδί Κρυπτογράφηση της Σύνοψης με το Ιδιωτικό κλειδί του υπογράφοντος ΗΛΕΚΤΡΟΝΙΚΗ ΥΠΟΓΡΑΦΗ 8

Ψηφιακή Υπογραφή Παραλαβή υπογεγραμμένου μηνύματος ΜΗΝΥΜΑ Αλγόριθμος Σύνοψης ΣΥΝΟΨΗ ΜΗΝΥΜΑΤΟΣ ΗΛΕΚΤΡΟΝΙΚΗ ΥΠΟΓΡΑΦΗ Δημόσιο κλειδί υπογράφοντος Αποκρυπτογράφηση με το Δημόσιο κλειδί του υπογράφοντος ΙΔΙΑ; ΣΥΝΟΨΗ ΜΗΝΥΜΑΤΟΣ 9

Προηγμένη Ψηφιακή Υπογραφή Συνδέεται μονοσήμαντα με τον υπογράφοντα Είναι ικανή να προσδιορίσει ειδικά και αποκλειστικά την ταυτότητα του υπογράφοντος Δημιουργείται με μέσα τα οποία ο υπογράφων μπορεί να διατηρήσει υπό τον αποκλειστικό έλεγχο Συνδέεται με τα δεδομένα, ώστε να μπορεί να εντοπισθεί οποιαδήποτε μεταγενέστερη αλλοίωση 10

Ψηφιακή Υπογραφή Σύμφωνα με μελέτη του ΙΟΒΕ ( Υιοθέτηση των ΤΠΕ και ψηφιακή ανάπτυξη στην Ελλάδα, 12/2014), η υιοθέτηση της λύσης της ψηφιακής υπογραφής στην ελληνική ΔΔ μπορεί να οδηγήσει στην εξοικονόμηση έως 380 εκ ευρώ ετησίως 11

Ψηφιακό Πιστοποιητικό Ψηφιακό πιστοποιητικό (digital certificate) = ψηφιακό έγγραφο που πιστοποιεί ότι ένα συγκεκριμένο δημόσιο κλειδί ανήκει σε συγκεκριμένο χρήστη. Ημερομηνία λήξης 12

Ψηφιακό Πιστοποιητικό Τμήμα δεδομένων: Όνομα της οντότητας Δημόσιο κλειδί της οντότητας Επιπρόσθετες πληροφορίες: Περίοδος ισχύος του δημοσίου κλειδιού (ημερομηνία έναρξης και λήξης) Σειριακός αριθμός (χαρακτηρίζει μοναδικά το πιστοποιητικό) Πληροφορίες για την οντότητα (π.χ., διεύθυνση), το κλειδί (π.χ., αλγόριθμος και σκοπός χρήσης), για την υπογραφή στο πιστοποιητικό (αλγόριθμος, όνομα αρχής) Τμήμα υπογραφής Η ψηφιακή υπογραφή ενός παρόχου στο τμήμα δεδομένων 13

Ψηφιακά Πιστοποιητικά Ψηφιακά πιστοποιητικά Ψηφιακής υπογραφής / Αυθεντικοποίησης Κρυπτογράφησης Τομεακό πιστοποιητικό αυθεντικοποίησης (περιλαμβάνει τομεακά αναγνωριστικά π.χ., ΑΦΜ, ΑΜΚΑ, ΑΜ ΙΚΑ, ) 14

Η Διαδικασία Έκδοσης Ψηφιακών Πιστοποιητικών 15

Ενδεικτικές Χρήσεις Πιστοποιητικών Ασφαλής επικοινωνία μέσω ηλεκτρονικού ταχυδρομείου / ανταλλαγής μηνυμάτων (υπογραφή και κρυπτογράφηση) Υπογραφή και κρυπτογράφηση ηλεκτρονικών αρχείων (π.χ. μορφότυπου pdf, doc) Ασφαλής προσδιορισμός ηλεκτρονικής ταυτότητας Έλεγχος πρόσβασης σε κατάλληλες εφαρμογές 16

Αρχή Πιστοποίησης Η αρχή πιστοποίησης (Certificate Authority) ή πάροχος υπηρεσιών πιστοποίησης είναι φυσικό ή νομικό πρόσωπο, που εκδίδει και δημοσιεύει πιστοποιητικά, που συνδέουν το δημόσιο κλειδί του χρήστη με τα στοιχεία ταυτότητας του Εκδίδει το ψηφιακό πιστοποιητικό και το υπογράφει κάνοντας χρήση του ιδιωτικού κλειδιού της Παρακολουθεί ποιος αντιστοιχεί σε κάθε πιστοποιητικό Παρακολουθεί ποια πιστοποιητικά λήγουν ή ανακαλούνται 17

Αρχή Πιστοποίησης Η αρχή πιστοποίησης είναι συνήθως εμπορικός οργανισμός. Βλέπουμε τα στοιχεία της με τους web browsers Αρμόδια αρχή για πιστοποίηση και έλεγχο των παρόχων πιστοποίησης είναι η ΕΕΤΤ Η καθιέρωση της ψηφιακής υπογραφής προβλέφθηκε στο πλαίσιο του Ε.Π. Ψηφιακή Σύγκλιση 2006 2013 18

Αρχή Πιστοποίησης ΑΠΕΔ ΑΠ ΕΡΜΗ ΑΠ ΥΠ.ΕΣ. 19 Πολίτης Πολίτης Δημόσιος Υπάλληλος Δημόσιος Υπάλληλος

Χρονοσήμανση Χρονοσήμανση: Στοιχεία που δηλώνουν με ασφάλεια την ακριβή ημερομηνία και ώρα που έχει λάβει χώρα μια ενέργεια ή πράξη Εκδίδεται από ένα Πάροχο Υπηρεσιών Χρονοσήμανσης (ΠΥΧ) Στην Ελλάδα ένας ΠΥΧ υπακούει στο θεσμικό πλαίσιο διαπίστευσης της ΕΕΤΤ και συμπεριλαμβάνεται στον κατάλογο εμπίστευσης της ΕΕΤΤ Οι ΠΥΧ Είναι συγχρονισμένοι με την εθνική ώρα Ελλάδος Ακολουθούν συγκεκριμένες προδιαγραφές και πρότυπα 20

Χρονοσήμανση Η χρονοσήμανση γίνεται με δύο τρόπους: Χρονοσημαίνεται το ίδιο το έγγραφο Παράγεται διαφορετικό αρχείο (.tst) Ένας ΠΥΧ είναι η εθνική Πύλη Ερμής, που υποστηρίζει: Τη λήψη και τον έλεγχο της εγκυρότητας της αίτησης χρονοσήμανσης Την ανάκτηση ακριβούς και ασφαλούς χρόνου Την παραγωγή και επαλήθευση χρονοσφραγίδων 21

Ηλεκτρονική Διαχείριση Εγγράφων Σύγχρονη λύση για αυτόματη δρομολόγηση εγγράφων σε όλες τις υπηρεσίες ενός οργανισμού Αύξηση παραγωγικότητας Ταχύτητα Ποιοτική εξυπηρέτηση Οργάνωση εγγράφων Ασφαλής έλεγχος Εξοικονόμηση αποθηκευτικού χώρου 22

Κύρος και αποδεικτική ισχύς ηλεκτρονικών εγγράφων Τα ηλεκτρονικά έγγραφα που συντάσσονται από όργανο φορέα του δημόσιου τομέα και φέρουν προηγμένη ηλεκτρονική υπογραφή του εξουσιοδοτημένου οργάνου που βασίζεται σε αναγνωρισμένο πιστοποιητικό και δημιουργείται από ασφαλή διάταξη δημιουργίας υπογραφής έχουν την ίδια νομική και αποδεικτική ισχύ με τα έγγραφα που φέρουν ιδιόχειρη υπογραφή (ΠΔ 150/2001, άρ. 3, παρ. 1) Τα ηλεκτρονικά διοικητικά έγγραφα φέρουν υποχρεωτικά ασφαλή χρονοσήμανση (ν.3979/2011, άρθρο 13, παρ. 2) Αν απαιτείται η υπογραφή ενός εγγράφου ή πράξης ή σχεδίου εγγράφου από περισσότερα πρόσωπα, αυτό αποστέλλεται με τη χρήση ΤΠΕ στους εμπλεκόμενους και υπογράφεται διαδοχικά Τα ηλεκτρονικά αντίγραφα που παράγονται με τη χρήση ΤΠΕ έχουν ισχύ ακριβούς αντιγράφου (ν.3979/2011, άρθρο 14, παρ. 1) 23

Κύρος και αποδεικτική ισχύς ηλεκτρονικών εγγράφων Για τα ηλεκτρονικά έγγραφα που φέρουν ηλεκτρονικές υπογραφές επιβεβαιώνεται το κύρος της υπογραφής τους με βάση τα προβλεπόμενα στις αποφάσεις 2009/767/ΕΚ και 2010/425/ΕΕ και επέχουν θέση πρωτότυπου ή ακριβούς αντιγράφου ανάλογα με το σχετικό μεταδεδομένο που συνοδεύει το έγγραφο Η μελέτη των δημοσίων εγγράφων γίνεται είτε με πρόσβαση στους διαδικτυακούς τόπους των δημόσιων φορέων εξασφαλίζοντας την ασφαλή επικοινωνία μεταξύ ενδιαφερομένων και διαδικτυακών τόπων (ΦΕΚ 1301/Β'/12.04.2012, παράρτ. Ι, Πλαισίου Παροχής Υπηρεσιών Ηλεκτρονικής Διακυβέρνησης) είτε με χορήγηση αντιγράφου που αποθηκεύεται στην ηλεκτρονική θυρίδα του ενδιαφερόμενου. Η αποστολή αντιγράφου πέραν της χρήσης της θυρίδας μπορεί να γίνει μέσω ηλ-ταχυδρομείου εφόσον εξασφαλίζεται η λήψη από εξουσιοδοτημένο παραλήπτη και λαμβάνεται αποδεικτικό παραλαβής 24

Κύρος και αποδεικτική ισχύς ηλεκτρονικών εγγράφων Πάροχος Υπηρεσιών Πιστοποίησης Ενημέρωση ΒΑΣΗ ΔΕΔΟΜΕΝΩΝ Επαληθεύων Δημόσιο κλειδί Υπογράφοντος Επαλήθευση 25

Χαρακτηριστικά και Τύποι Αυθεντικοποίησης Χαρακτηριστικά αυθεντικοποίησης: Κάτι που γνωρίζει ο χρήστης, π.χ., ένα συνθηματικό Κάτι που κατέχει ο χρήστης, π.χ., μία έξυπνη κάρτα Κάποιο χαρακτηριστικό γνώρισμα, π.χ., βιομετρικές μέθοδοι Συνδυασμός κάποιων από τα ανωτέρω Τύποι κλειδιών αυθεντικοποίησης: Μυστικά κλειδιά. Συμπεριλαμβάνουν συνθηματικά και κωδικούς Ασύμμετρα κλειδιά. Συμπεριλαμβάνουν ζεύγη κλειδιών, από τα οποία το ένα είναι δημόσιο (δημόσιο κλειδί), ενώ το άλλο παραμένει μυστικό (ιδιωτικό κλειδί) 26

Χαρακτηριστικά και Τύποι Αυθεντικοποίησης Συνδυασμός χαρακτηριστικών και κλειδιών, ανάλογα με το επιθυμητό επίπεδο ασφάλειας: Συνθηματικά Συνθηματικά μιας χρήσης (one time password tokens) Δίνονται από το υλικό ή την εφαρμογή της συναλλαγής Διακριτικά χαλαρής αποθήκευσης (soft tokens). Σκληροί δίσκοι, CDs, USB Διακριτικά σκληρής αποθήκευσης (hard tokens) Συσκευές που αποθηκεύουν τα μυστικά κλειδιά και παρέχουν απαραβίαστη προστασία (tamper proof). Για την ενεργοποίησή τους συνηθίζεται η χρήση συνθηματικού 27

Κανονισμός Πιστοποίησης Ο Κανονισμός Πιστοποίησης (ΦΕΚ 799-09/06/2010) ορίζει επτά πολιτικές πιστοποίησης ΠΠ1: Τα πιστοποιητικά χρησιμοποιούνται για ψηφιακή υπογραφή ηλεκτρονικών μηνυμάτων ή εγγράφων. Αποθηκεύονται σε ασφαλή διάταξη δημιουργίας υπογραφής (έξυπνες κάρτες, usb tokens) ΠΠ2: Τα πιστοποιητικά χρησιμοποιούνται για κρυπτογράφηση ηλεκτρονικών μηνυμάτων ή εγγράφων ΠΠ3: Αφορά σε προηγμένη ηλεκτρονική υπογραφή και αυθεντικοποίηση τελικών χρηστών χωρίς Ασφαλή Διάταξη Δημιουργίας υπογραφής. Η πολιτική αυτή αφορά κυρίως πολίτες ΠΠ4: Αναφέρεται σε πιστοποιητικά που αφορούν την αυθεντικοποίηση χρηστών από πληροφορικά συστήματα που απαιτούν τομεακά αναγνωριστικά ΠΠ5/6: ότι και ΠΠ1 και ΠΠ2 αλλά για εκπρόσωπο νομικών προσώπων ΠΠ7: Ότι η ΠΠ3 αλλά για συστήματα φορέων 28

Πλαι σιο Ψηφιακη ς Αυθεντικοποι ησης Αποσκοπεί στην υποστήριξη των φορέων της ΔΔ που προσφέρουν υπηρεσίες ηλεκτρονικής διακυβέρνησης, στην επιλογη των κατάλληλων μηχανισμών αυθεντικοποίησης και στον καθορισμο των διαδικασιών εγγραφής και ταυτοποίησης των χρηστών 29

Πλαίσιο Ψηφιακής Αυθεντικοποίησης Ορίζει τους μηχανισμούς αυθεντικοποίησης και εγγραφής των χρηστών Κατηγοριοποίηση των δεδομένων που επεξεργάζονται οι ηλεκτρονικές υπηρεσίες με βάση την προστασία της ιδιωτικότητας Καθορισμός επιπέδων εμπιστοσύνης για τις ηλεκτρονικές υπηρεσίες, με βάση την κατηγορία των δεδομένων και τις πιθανές επιπτώσεις σε περίπτωση μη ορθής λειτουργίας της υπηρεσίας Συσχέτιση κάθε επιπέδου εμπιστοσύνης με κατάλληλα επίπεδα αυθεντικοποίησης Συσχέτιση κάθε επιπέδου εμπιστοσύνης με τις κατάλληλες διαδικασίες εγγραφής χρηστών 30

Πλαίσιο Ψηφιακής Αυθεντικοποίησης 1. Απλή πληροφόρηση 2. Ηλεκτρονικές Φόρμες 3. Ηλεκτρονική Αίτηση 4. Πλήρης συναλλαγή Επίπεδα Ολοκλήρωσης Υπηρεσιών ΗΔ (4) Επίπεδα Ιδιωτικότητας Πληροφοριών (3) 0. Δημόσια Διαθέσιμα Δεδομένα 1. Προσωπικά Δεδομένα 2. Ευαίσθητα Δεδομένα 0. Καμία αυθεντικοποίηση 1. Συνθηματικά χρηστών. Ψηφιακά Πιστοποιητικά Επίπεδα Αυθεντικοποίησης (3) Επίπεδα Εμπιστοσύνης (4) 1.Προσπέλαση Δημόσιων Δεδομένων 2.Δεδομένα μικρής κρισιμότητας 3. Προσωπικά Δεδομένα 4. Ευαίσθητα Δεδομένα 1. Ανά Υπηρεσία 2. Μέσω Ερμή, χωρίς αποθήκευση 3. Ερμής, με αποθήκευση Μηχανισμοί Ταυτοποίησης Χρηστών (3) Μηχανισμοί Εγγραφής Οντοτήτων (3) 1. Φυσικά Πρόσωπα (3 επίπεδα) 2. ΝΠΔΔ 3. ΝΠΙΔ 31

STORK 2 STORK (Secure identity across borders linked) Διαλειτουργικότητα διαφορετικών προσεγγίσεων σε εθνικό και κοινοτικό επίπεδο eid για φυσικά και νομικά πρόσωπα Δυνατότητα ανάθεσης STORK 2.0 Υλοποίηση ενιαίας ευρωπαϊκής περιοχής ηλεκτρονικής αναγνώρισης και ελέγχου ταυτότητας 32

STORK 2 Βρετανικό portal PEPS Ποιος είσαι; Εγώ είμαι Αίτηση για πρόσβαση στην υπηρεσία Απάντηση υπηρεσίας Βέλγικο portal Εγώ είμαι Ποιος είσαι; Ποιος είσαι; Ποιος είσαι Εγώ είμαι Εγώ είμαι Διαμεσολαβιτής Διαμεσολαβητής 33 Stork is an EU co-funded project INFSO-ICT-PSP-224993

STORK 2 34

Ασφάλεια Επικοινωνιών Ενσύρματες επικοινωνίες Ασύρματες επικοινωνίες Βασικές κατηγορίες απειλών Παθητικού και ενεργητικού τύπου επιθέσεις Επιθέσεις ενδιάμεσου και επιθέσεις μεταβολής πληροφοριών Επιθέσεις παρεμβολών ή παρακώλυσης επικοινωνιών Βασικές αρχές ασφάλειας Αρχιτεκτονικές ασφάλειας 35

Πρακτική Άσκηση Από ένα ψηφιακά υπογεγραμμένο έγγραφο μορφότυπου doc που θα σας δοθεί, βρείτε την ταυτότητα του υπογράφοντος Έχει το έγγραφο ίδια ισχύ νομική ισχύ με ένα έγγραφο χειρόγραφα υπογεγραμμένο και γιατί; Προσπαθήστε να αλλάξετε κάτι στο περιεχόμενο του εγγράφου. Τι παρατηρείτε; 36

37