W użytkowaniu przypomina popularny komunikator, wyróżnia go jednak odporność na cyberataki i najwyższy poziom szyfrowania rozmów – nawet administrator serwera nie jest w stanie odczytać ich treści. Politycy i urzędnicy otrzymali właśnie własny rządowy komunikator – mSzyfr.
„Obecnie z komunikatora mSzyfr korzysta ponad 700 jednostek. Ta liczba rośnie z dnia na dzień” – przekazuje „Rzeczpospolitej” resort cyfryzacji. Na zdjęciu minister tego resortu, wicepremier Krzysztof Gawkowski.
Izabela Kacprzak
W tym artykule dowiesz się:
- Czym jest mSzyfr i jakie mechanizmy zapewniają mu ochronę przed atakami hakerskimi.
- Dlaczego Polska stała się jednym z głównych celów cyberataków na europejskie instytucje rządowe.
- Jakie zagrożenia dla bezpieczeństwa państwa niosą popularne komunikatory wykorzystywane przez polityków.
- W jaki sposób nowy komunikator ma chronić kluczowe osoby w państwie przed szpiegostwem i dezinformacją.
Polskie służby, kluczowe przedsiębiorstwa i cała administracja rządowa mają już dostęp do specjalnej aplikacji o nazwie mSzyfr. Jest to pierwsze polskie, bezpłatne narzędzie do bezpiecznej komunikacji, opracowane przez NASK i Ministerstwo Cyfryzacji. Według Adama Haertle, redaktora naczelnego portalu zaufanatrzeciastrona.pl, aplikacja działa w oparciu o protokół szyfrowania znanego komunikatora Matrix. Jej zaletą jest jednak fakt, że mSzyfr został zbudowany i funkcjonuje na serwerach zlokalizowanych w Polsce, stanowiąc sprawdzone narzędzie do szyfrowanej i bezpiecznej komunikacji.
Reklama Reklama
„Obecnie z komunikatora mSzyfr korzysta ponad 700 jednostek. Ta liczba rośnie z dnia na dzień” – odpowiada „Rz” resort cyfryzacji, podkreślając, że aplikacja jest przeznaczona dla administracji publicznej, podmiotów krajowego systemu cyberbezpieczeństwa (zarejestrowanych w wykazie podmiotów kluczowych i ważnych, obejmujących sektory takie jak energetyka, transport, bankowość, finanse i ochrona zdrowia), a także dla innych podmiotów za zgodą ministra cyfryzacji. „Jak dotąd minister cyfryzacji nie wydał żadnemu podmiotowi specjalnego zezwolenia uprawniającego do korzystania z komunikatora mSzyfr” – informuje nas resort.
W użytkowaniu przypomina popularny – także wśród polskich polityków i koalicji rządzącej – komunikator Signal
Aplikacja jest dostępna do pobrania online, a jej ikoną jest grafika przedstawiająca linię papilarną. Nie jest ona jednak ogólnodostępna, ponieważ wymaga posiadania specjalnego kodu QR. Można ją zainstalować na telefonie i komputerze – służy do prowadzenia rozmów telefonicznych oraz wysyłania wiadomości tekstowych, które są w pełni szyfrowane.
Twórcy podkreślają, że w obsłudze przypomina popularny – wykorzystywany również przez polskich polityków i rządzącą koalicję – komunikator Signal. Jest jednak bardziej odporny na cyberataki, co ma kluczowe znaczenie.
Instytucje rządowe w Polsce na celowniku hakerów działających na rzecz wrogich państw
Polska, podobnie jak Włochy i Hiszpania, znajduje się w czołówce europejskiej listy państw najbardziej narażonych na ataki na instytucje rządowe. Według majowego raportu Check Point Research, w ciągu tygodnia cyberprzestępcy podejmują blisko 3000 prób ataków na polski rząd i instytucje publiczne. Liczba ataków na polskie instytucje rządowe jest o 80 proc. wyższa niż na drugi najbardziej zagrożony sektor – finanse, czy sektor energetyki i użyteczności publicznej. Przyczyną jest nie tylko aktywny udział Polski w realizacji europejskiej strategii NATO.
mSzyfr oferuje logowanie dwuskładnikowe – oprócz hasła wymagany jest jednorazowy kod, co gwarantuje, że nawet w przypadku przejęcia hasła nie można zalogować się do systemu.
– Polska, ze względu na swoje położenie geograficzne w Europie Wschodniej oraz szerszy kontekst bezpieczeństwa regionalnego, pozostaje w centrum zainteresowania zaawansowanych grup powiązanych z państwami, odpowiedzialnych za ataki cybernetyczne. Podmioty te prowadzą zarówno działania dezinformacyjne, jak i operacje cybernetyczne z wykorzystaniem złośliwego oprogramowania służącego do pozyskiwania informacji wywiadowczych, a w niektórych przypadkach także do potencjalnego zakłócania działania systemów. Do najbardziej znanych grup powiązanych z tego typu aktywnością należą Sandworm, APT29 oraz APT28 – informuje Sergey Shykevich, jeden z ekspertów Check Point Threat Intelligence Unit. Grupy APT (Advanced Persistent Threat) to zaawansowane grupy cyberprzestępcze, działające zazwyczaj na zlecenie wrogich państw i ich służb (Rosja, Chiny, Korea Północna). Ich celem jest szpiegostwo, sabotaż oraz kradzież strategicznych danych lub technologii.
Polityka Marcin Siedlarz: Mińsk atakuje Zachód
Grupa cyberszpiegów UNC1151 jest powiązana z rządem Białorusi i prawdopodobnie z białoruską armią – mówi Marcin Siedlarz z Mandiant Advanced Practice…
Sam Signal od kilku miesięcy jest również ich celem. Resort cyfryzacji ostrzega, że zmasowane kampanie phishingowe prowadzone przez grupy APT na Signalu są wymierzone m.in. w osoby zajmujące eksponowane stanowiska publiczne oraz pracowników instytucji państwowych. APT28 (znana również jako Fancy Bear czy Pawn Storm) jest powiązana z rosyjskim wywiadem wojskowym GRU. Sprawa jest poważna. „Sprawcy wykorzystują techniki socjotechniczne, podszywając się pod obsługę techniczną aplikacji Signal. Ofiary otrzymują komunikaty o rzekomej blokadzie konta, co ma skłonić je do kliknięcia w złośliwe linki. Celem jest przejęcie kontroli nad komunikacją, co stanowi bezpośrednie zagrożenie dla bezpieczeństwa państwa i poufności informacji” – ostrzega Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa. Właśnie na Signalu komunikują się liderzy partii rządzącej koalicji.
Wyjątkowe zabezpieczenia mSzyfr. „Nawet administrator serwera mSzyfr nie może odczytać treści konwersacji”
Jak zapewnia „Rz” resort cyfryzacji, mSzyfr wyposażony jest w kilka mechanizmów zwiększających jego odporność na różnego rodzaju ataki. Są to szyfrowanie end-to-end – wiadomości są szyfrowane na urządzeniu nadawcy i odszyfrowywane dopiero na urządzeniu odbiorcy. „Nawet administrator serwera mSzyfr nie jest w stanie odczytać treści konwersacji” – podkreśla ministerstwo cyfryzacji.
mSzyfr posiada logowanie dwuskładnikowe – oprócz hasła niezbędny jest jednorazowy kod, co gwarantuje, że nawet po przejęciu hasła nie można zalogować się do systemu. System posiada również ochronę przed atakami Man-in-the-Middle – podłączenie dodatkowych urządzeń oraz sesje na etapie inicjalizacji wymagają weryfikacji. „W przypadku zalogowania z nowego urządzenia lub nowej sesji powiązani użytkownicy mają możliwość weryfikacji nowego urządzenia/sesji” – wyjaśnia resort.
Użytkownik może zarządzać zaufanymi urządzeniami – w aplikacji wprowadzono możliwość wycofania zaufania lub wylogowania utraconego urządzenia lub sesji, co minimalizuje ryzyko dalszego dostępu do danych przez nieuprawnioną osobę. Kluczowe dla użytkowników jest również bezpieczeństwo archiwalnych konwersacji – jedynie posiadacz klucza odzyskiwania może odczytać wcześniej wysłane wiadomości oraz archiwalną korespondencję. Urzędy administracji publicznej dysponują ponadto dedykowanym systemem do łączności niejawnej (dla klauzuli „zastrzeżone”) o nazwie SKR-Z.
To bardzo dobre narzędzie pod względem technicznym i dobrze, że Polska skorzystała z rozwiązania, które jest sprawdzone, ale działa w naszym kraju i mamy nad tym kontrolę.
– Własny, bezpieczny komunikator jest bardzo potrzebny i dobrze, że powstał. Szyfrowanie end-to-end zapewnia bezpieczeństwo komunikacji, ale jego rzeczywiste działanie poznamy podczas praktycznego wdrożenia – mówi Przemysław Krejza, dyrektor ds. bezpieczeństwa Mediarecovery, lidera w dziedzinie informatyki śledczej.
Adam Haertle, redaktor naczelny portalu zaufanatrzeciastrona.pl przypomina, że kilka lat temu polski rząd (za kadencji PiS) zakupił licencję na podobne narzędzie od szwajcarskiej firmy Threema. – Nie cieszyło się ono popularnością, licencja wygasła. Teraz zdecydowano się wykorzystać rozwiązania Matrix. Jest to bardzo dobre narzędzie pod względem technicznym i dobrze, że Polska skorzystała z rozwiązania, które jest sprawdzone, ale działa w naszym kraju i mamy nad tym kontrolę. W tym sensie jest to komunikator tysiąc razy lepszy niż Signal czy WhatsApp – podkreśla Adam Haertle.
Afera Dworczyka i niechęć polityków do bezpiecznej komunikacji
Konsekwencje lekceważenia zasad bezpiecznej komunikacji służbowej unaocznia głośna afera mailowa Michała Dworczyka z 2021 r., ówczesnego szefa Kancelarii Premiera Mateusza Morawieckiego. Dworczyk przekazywał dokumenty służbowe z KPRM na prywatną skrzynkę mailową, która została przejęta przez hakerów (do dziś nieustalonych). Część wykradzionych stamtąd dokumentów i maili, w tym zawierające informacje niejawne, dotyczące obronności i bezpieczeństwa państwa, a także te związane ze służbami specjalnymi, opublikowano na Telegramie.
W marcu tego roku wobec Dworczyka, obecnie europosła, skierowano akt oskarżenia do sądu. Został on również oskarżony o utrudnianie śledztwa – Dworczyk usunął ze skrzynki mailowej przychodzące wiadomości i dane, czym według prokuratury „zatarł ślady pozwalające na ustalenie sprawcy wyżej wymienionego przestępstwa”. Poseł tłumaczył, że chodziło jedynie o odzyskanie kontroli nad pocztą.
Polityka Co służby specjalne wiedziały o atakach hakerskich?
Szefowie służb mają wyjaśnić posłom kwestię ataków hakerskich na osoby pełniące funkcje publiczne.
– Politycy od zawsze wykazywali nieufność do systemów korespondencji nadzorowanych przez ABW, obawiając się, że mogą zostać one wykorzystane przeciwko nim. Dlatego woleli komunikować się za pomocą powszechnie dostępnych, szyfrowanych komunikatorów, takich jak WhatsApp czy Signal. Obecnie jednak nie są to już bezpieczne narzędzia, a wielu polityków i ministrów nadal z nich niestety korzysta – mówi nam jeden z urzędników ds. cyberbezpieczeństwa. Jeden z polityków rządowych, prosząc o zachowanie anonimowości, dodaje: – Używamy popularnych komunikatorów, ponieważ są łatwiejsze w obsłudze, prostsze i nie wymagają wielu zabezpieczeń ani haseł.
Administracja rządowa ma również inne, specyficzne ograniczenia dotyczące korzystania na przykład z poczty służbowej – treści e-maili nie można kopiować ani zaznaczać.