Aplikacja mSzyfr po pierwszych testach. Polscy urzędnicy mają zrezygnować z WhatsAppa i Signala

– Pierwsza faza testów nowego rządowego komunikatora mSzyfr już się zakończyła. Praktyczne użytkowanie programu w warunkach testowych pozwoliło na zidentyfikowanie nowych potrzeb funkcjonalnych. Obecnie trwają prace nad wdrażaniem nowych wymagań funkcjonalnych oraz optymalizacją dotychczasowych, kluczowych funkcji komunikatora – mówi Jowita Bieda z biura komunikacji w Ministerstwie Cyfryzacji.

To oznacza, że już niedługo, po zakończeniu tych prac programistycznych, aplikacja ma przejść w fazę pełnego, ogólnokrajowego wdrożenia.

Przypomnijmy, że mSzyfr to komunikator opracowany przez Ministerstwo Cyfryzacji i Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy (NASK – PIB). Ponad miesiąc temu zaczęły się testy w wybranej grupie urzędników. Trafi do pracowników administracji publicznej, podmiotów krajowego systemu cyberbezpieczeństwa i innych organizacji wyselekcjonowanych przez resort cyfryzacji. 

Polska ma cyberwrogów

Dlaczego to ważne? Bo polskie urzędy są na celowniku obcych służb, a liczba ataków rośnie. Kilka dni temu ministerstwo opublikowało rekomendację, aby pracownicy podmiotów z krajowego systemu cyberbezpieczeństwa ograniczyli ryzyka związane z korzystaniem z komunikatora Signal. Powodem publikacji jest wzmożenie aktywności grup hakerskich, które chcą przejąć konta w tym komunikatorze. W krajowym systemie cyberbezpieczeństwa są m.in. kluczowe instytucje i przedsiębiorstwa z takich sektorów jak energetyka, ochrona zdrowia, czy bankowość. 

Przeczytaj: Bezpieczna łączność w martwym punkcie? Państwo traci kontrolę nad krytycznym zasobem

„Zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) poziomu krajowego zidentyfikowały kampanie phishingowe prowadzone przez grupy APT powiązane ze służbami wrogich państw. Ataki wymierzone są m.in. w osoby zajmujące eksponowane stanowiska publiczne oraz pracowników instytucji państwowych” – czytamy w rekomendacji pełnomocnika rządu ds. cyberbezpieczeństwa. 

Europa chce być niezależna od USA

Zaleca on korzystanie z aplikacji mSzyfr i systemu łączności niejawnej SKR-Z (System Komunikacji Rządowej – Zastrzeżone). Polska nie jest jedynym krajem, który rozpaczliwie łata dziury w swoich systemach komunikacyjnych. W zeszłym miesiącu serwis Politico podał, że rządy europejskich krajów wycofują aplikacje WhatsApp i Signal ze swoich systemów. Portal wymienił Francję, Niemcy, Holandię, Luksemburg, Belgię i Polskę na liście państw, które wdrażają wewnętrzne usługi komunikacyjne, żeby powstrzymać urzędników przed przesyłaniem poufnych informacji poprzez popularne, komercyjne aplikacje. 

– Uważam, że to dobre rozwiązanie. Komunikatory, które są powszechnie dostępne na rynku, potrafią zapewnić szyfrowanie danych, co chroni korespondencję. Jednak są też inne zagrożenia. Analiza historii rozmów, danych logowania, wysłanie wiadomości do złej osoby czy dodanie niewłaściwego użytkownika do grupy to potencjalne działania, które mogą negatywnie wpłynąć na bezpieczeństwo użytkowników komunikatorów przez np. wyciek poufnych informacji. Dedykowany komunikator, służący wyłącznie do obsługi komunikacji rządowej pozwoli uniknąć tego typu niebezpieczeństw – mówi prof. Jerzy Domżał, dyrektor Instytutu Telekomunikacji i Cyberbezpieczeństwa w Akademii Górniczo-Hutniczej w Krakowie.  

Urzędnicy lubią wysyłać SMS-y

Ekspert przyznaje, że w Polsce służby, rząd i administracja korzystają głównie z powszechnie dostępnych komunikatorów, ale też z e-maili i SMS-ów. Zaletą tych rozwiązań jest łatwa dostępność. Ludzie postrzegają je jako bezpieczne, szczególnie te, które szyfrują transmisję, jak np. Signal. Eksperci wymieniają go jako alternatywę dla komunikatorów opracowywanych przez big techy. Signal rozwijany jest przez organizację non-profit. 

Przeczytaj: Cyberzagrożenia nie znikają. 10 sposobów, by je wyeliminować

– W Polsce aplikacja mSzyfr ma pozwolić na w pełni zaszyfrowaną transmisję, ale jest jeszcze w fazie wdrażania. W innych krajach takie dedykowane rozwiązania już istnieją. Instytucje skupione wokół Komisji Europejskiej zalecają stosowanie komunikatora Element. We Francji stosowany jest Tchap, a w Niemczech BwMessenger – wymienia prof. Jerzy Domżał. 

– Sama idea uniezależnienia się od popularnych komunikatorów, jak WhatsApp czy Signal przez polską administrację publiczną jest słuszna. Dzięki temu zwiększamy naszą niezależność technologiczną i potencjalnie cyberbezpieczeństwo. Z drugiej strony wielu obywateli, w tym urzędników, nie chciałoby powierzyć swojej komunikacji „aplikacji dostarczanej przez rząd”. Wydaje się, że twórcy mSzyfru nie wychodzą naprzeciw tym wątpliwościom. Przykładowym działaniem tonującym zastrzeżenia byłoby opublikowanie kodów źródłowych rozwiązania, wykonanie audytu bezpieczeństwa, a także udostępnienie publiczne raportu poaudytowego. Z tego, co wiem, żadna z tych rzeczy się nie wydarzyła – mówi Michał Sajdak, założyciel firmy szkoleniowej Securitum i twórca portalu o cyberbezpieczeństwie Sekurak.pl.

Cyberbezpieczeństwo polskiego urzędnika

Ministerstwo Cyfryzacji zapewnia, że serwery obsługujące komunikator mSzyfr znajdują się na terenie Polski i są administrowane przez pracowników mających poświadczenia bezpieczeństwa. Ma to być narzędzie ze zintegrowanym szyfrowaniem end-to-end z zaawansowaną kryptografią. Aplikacja oparta jest na otwartym standardzie komunikacji Matrix. Co ciekawe, mSzyfr nie jest pierwszą aplikacją opracowaną przez polską administrację, która bazuje na protokole Matrix. Kilka lat temu wojsko stworzyło narzędzie DSI Merkury 2.0, które z założenia służy do wymiany informacji jawnych. 

Zdaniem eksperta

Liczy się to, kto ma kontrolę

To właściwy i nieunikniony kierunek. W administracji publicznej problemem nie jest już wyłącznie pytanie, czy komunikator ma szyfrowanie end-to-end. To oczywiście nadal ważne, ale dziś nie wystarcza. Kluczowe staje się to, kto kontroluje całe środowisko komunikacji: infrastrukturę, metadane, aktualizacje, urządzenia końcowe, polityki bezpieczeństwa i jurysdykcję dostawcy.

Z tej perspektywy odejście od popularnych komunikatorów konsumenckich w stronę rozwiązań kontrolowanych przez administrację nie jest gestem symbolicznym, ale elementem budowy cyfrowej suwerenności państwa.

Dobre praktyki powinny obejmować nie tylko wybór „bezpiecznej aplikacji”, ale także zarządzanie urządzeniami, segmentację środowisk, kontrolę retencji danych, audytowalność, minimalizację metadanych oraz ograniczanie zależności od pojedynczych globalnych dostawców technologii. Signal czy WhatsApp mogą być dobrymi narzędziami dla użytkownika indywidualnego, ale potrzeby państwa i administracji są szersze: chodzi o kontrolę całego ekosystemu, a nie tylko samej wiadomości.

Współczesnym problemem nie jest już wyłącznie to, kto może przeczytać wiadomość. Problemem staje się to, kto kontroluje całą infrastrukturę komunikacyjną, metadane i technologiczne zależności państwa.

Wojciech Górecki

konsultant IT i specjalista ds. badań w Centrum Cyberbezpieczeństwa AGH

Do tej pory resort cyfryzacji rekomendował urzędnikom korzystanie z aplikacji Threema. To rozwiązanie szwajcarskie, ale narzędzie bazowało na serwerach Operatora Chmury Krajowej. W samouczku dla urzędników dot. mSzyfra NASK tłumaczy, że niemożliwe będzie przeniesienie danych i grup z Threemy.

Cyberbezpieczeństwo: każdy po swojemu

Systemy szyfrowanej komunikacji rządowej i administracyjnej są mocno rozproszone, a mSzyfr ma to uporządkować. XYZ zapytał agencje i służby, z czego korzystają. 

„Informujemy, że CBŚP nie jest administratorem aplikacji typu »komunikator wewnętrzny« i nie utrzymuje takiego systemu. Systemami teleinformatycznymi w policji zajmuje się Biuro Łączności i Informatyki Komendy Głównej Policji” – odpisało Centralne Biuro Śledcze Policji. 

Agencja Bezpieczeństwa Wewnętrznego poinformowała, że „rekomenduje najważniejszym osobom w państwie wykorzystywanie akredytowanego systemu teleinformatycznego CATEL do wymiany informacji wrażliwych w ramach prowadzonej korespondencji służbowej”.

Główne wnioski

1. Polska opracowała własny komunikator dla administracji publicznej (mSzyfr) w odpowiedzi na rosnące cyberzagrożenia. Zakończyła się pierwsza faza testów aplikacji. Wprowadzenie takich narzędzi jest konieczne, bo hakerzy z wrogich państw prowadzą kampanie phishingowe, które biorą na cel polskie urzędy i próbują przejmować konta na dotychczas używanych platformach.
2. Odwrót od komercyjnych komunikatorów to ogólnoeuropejski trend dążenia do suwerenności technologicznej. Polska nie jest odosobniona w swoich działaniach – rządy innych krajów europejskich (m.in. Francji, Niemiec czy Holandii) również wycofują WhatsAppa i Signala z administracji publicznej, zastępując je własnymi rozwiązaniami (np. Tchap we Francji czy BwMessenger w Niemczech).
3. Serwery obsługujące komunikator mSzyfr znajdują się na terenie Polski. Administratorami są pracownicy mający poświadczenia bezpieczeństwa. To narzędzie ze zintegrowanym szyfrowaniem end-to-end z zaawansowaną kryptografią. Aplikacja oparta jest na otwartym standardzie komunikacji Matrix.