Strony „gov.pl” będą specjalnie zabezpieczone
NASK (Naukowa i Akademicka Sieć Komputerowa) wprowadziła wymóg by strony rządowe były mocniej zabezpieczone. Chodzi głównie o uwierzytelnienie poczty elektronicznej.
Wymóg NAS oznacza, że jeśli zabezpieczenia nie zostaną wprowadzone, to dany podmiot nie będzie mógł korzystać z adresu w domenie gov.pl. NASK przedstawił nowy regulamin dla domen „gov”
W par. 7 ust. 3, któremu nadano nowe brzmienie, wskazano, że każdy abonent korzystający z nazwy w domenie gov.pl dla celów usług poczty elektronicznej zobowiązany jest stosować odpowiednie zabezpieczenia. W szczególności dotyczy to stosowania mechanizmów SPF, DMARC, DKIM oraz uwierzytelniania dwuskładnikowego.
SPF (Sender Policy Framework) sprawia, że cyberprzestępcom znacznie trudniej podszywać się pod kogoś mającego e-mail w danej domenie. DKIM (Domain Keys Identified Mail) pozwala na cyfrowe podpisanie wiadomości e-mail pochodzącej z konkretnej domeny. Serwis odbiorcy może sprawdzić, że wiadomość nie została zmieniona podczas przesyłania.
Uwierzytelnianie dwuskładnikowe
Uwierzytelnianie dwuskładnikowe polega na tym, że podczas logowania do skrzynki e-mail potwierdzamy dodatkowo, że to my korzystamy ze skrzynki. Potwierdzenie dokonywane jest poziomu urządzenia lub aplikacji, do której tylko my mamy dostęp.
Zabezpieczenie domen z oznaczeniem „gov” ważne jest o tyle, że uważane są za bezpieczne. Jeśli więc przestępcy uda się podszyć pod domenę „gov” dość łatwo będzie mu nas oszukać.
Zmiany wprowadzone przez NASK dla wielu polskich urzędów będą rewolucją. Zmiany trzeba jednak wprowadzić.
W lipcu 2021 r. dziennikarze Wirtualnej Polski odkryli krytyczne błędy w pocztach rządu i Sejmu. Dziennikarze zaczęli od prostego testu — znaleźli dwóch byłych pracowników Kancelarii Sejmu i nakłonili ich do próby zalogowania się na swoje sejmowe skrzynki pocztowe. Obaj byli pracownicy — korzystając z dawnych loginów i haseł — bez trudu to uczynili. Okazało się, że użytkownicy ci mają dostęp do listy kontaktów wszystkich pracowników Sejmu. Mogą też logować się na przeprowadzane zdalnie posiedzenia sejmowych komisji i podkomisji — także tych, które nie są transmitowane publicznie.
Przeprowadzono też eksperyment gdy jeden z polityków, przy użyciu VPN zalogował się do sieci sejmowej najpierw z Warszawy, potem z Tajwanu (przez VPN), a potem znów z Warszawy. Przez dwa tygodnie nikt nie zauważył podejrzanej aktywności.
Według danych z lipca 2022 w domenie gov.pl jest 1256 adresów mailowych. NASK ma sprawdzać, który z urzędów nie zastosuje się do wymagań. Jeśli zmian nie wdroży, może utracić możliwość korzystania z domeny „gov.pl”
źródło: WP