e-me direktorijas browseris

Datoru drošības jomā ir tāds teiciens security through obscurity, ko lieto, kad drošību mēģina panākt ar to, ka ļoti slepeni uzveido kaut kādus drošības mehānismus un nevienam par to nesaka, un tad cer, ka sistēma tā rezultātā būs ļoti droša.

Šis teiciens man ienāca prātā, kad pamanīju, ka e-me ir ieviesusi kaut kādus LDAP direktorijas pārlūkošanas ierobežojumus, bet savā web lapā nepublicēja, kādi tieši ir šie ierobežojumi. Savā iepriekšējā rakstā par šo tēmu jau rakstīju, ka sākotnējā versijā ar LDAP pārlūkprogrammām iekš ldap://e-me.lv varēja brīvi skatīties publicēto e-paraksta sertifikātu saņēmēju vārdus, viņu personas kodus un e-pasta adreses. Tas laikam neizskatījās pārāk labi, un tāpēc e-me ieviesa šos jaunos ierobežojumus, kā rezultātā vairs nevarēja šādā veidā skatīt visu LDAP saturu.

Tā kā nekāda dokumentācija izstrādātājiem par LDAP lietošanu e-me mājas lapā nav pieejama, tad pēc “melnās kastes” principa nācās mazliet papētīt, kādus meklēšanas pieprasījumus LDAP serveris tomēr ņem pretī. Pēc nelieliem eksperimentiem izdevās atrast, ka meklēšana pēc precīza personas vārda un personas koda vai sertifikāta numura tomēr strādā (līdzīgi kā e-me web lapā sertifikātu meklēšanas formā). Un kas ir interesanti, ka nākamajā meklēšanā jau var meklēt arī tikai pēc sertifikāta numura, nenorādot personas vārdu. Nu un tā kā izsniegto sertifikātu numuri iet secīgi pēc kārtas, tad radās ideja, ka varētu uztaisīt e-me LDAP direktorijas browseri, ar kura palīdzību varētu redzēt visu izsniegto sertifikātu personu vārdus, personas kodus un e-pastus.

Rezultātā uztapa e-me direktorijas browseris  🙂
Ceru, ka tas varētu motivēt e-me turpmāk vairs netaisīt šādus slepenus drošības pasākumus un dalīties informācijā ar citiem izstrādātājiem.

Apskatoties e-me direktorijā pieejamos e-paraksta sertifikātu saņēmēju personu datus radās šādas pārdomas:

• Dotajā brīdī skatījos, ka e-paraksta sertifikāti ir izsniegti ne vairāk kā 300 personām (no kurām liela daļa ir LP darbinieki). Tā kā jau ir pagājis pusotrs mēnesis, kopš e-paraksta sertifikāti tiek izsniegti un līdz gada beigām ir palicis tik pat daudz laika, tad neticās, ka līdz gada beigām lietotāju skaits būs 20 000, kā tika solīts pirmajās preses relīzēs.
• Dīvaini, ka nav standartizēts, ar kādiem burtiem tiek rakstīti personu vārdi sertifikātos – dažiem tikai vārda un uzvārda pirmais burts ir ar lielo burtu, dažiem viss ir ar lielajiem burtiem.
• Aizdomīgi, ka praktiski visiem direktorijā ir nopublicētas e-pasta adreses, kas pieteikuma anketās ir minētas kā kontakta e-pasta adreses un netiek minēts, ka tās tiks padarītas publiski zināmas visiem interesentiem. Šaubos, ka visi ir devuši piekrišanu savu e-pasta adrešu publicēšanai.
• Vairākiem ir izsniegti sertifikāti ar pseidonīmiem un tie neizskatījās pēc vispārzināmiem māksliniekiem. Visticamāk, ka cēlonis ir tāds, ka aizpildot anketu tiek uzprasīts “kāds ir Jūsu pseidonīms”, nevis “vai Jūs vēlētos sertifikātu ar pseidonīmu”.

Un vispār domāju, ka nav vērts ieviest jebkādus ierobežojumus uz e-paraksta sertifikātu LDAP direktorijas skatīšanos, jo tad, kad sertifikāti sāks ceļot apkārt kopā ar parakstītajiem dokumentiem, tad šai informācijai tāpāt vairs nebūs nekādas slepenības (protams, no direktorijas vajadzētu izņemt e-pasta adreses, kas nav iekļautas sertifikātos). Salīdzinājumam – Igaunijā e-paraksta sertifikātu LDAP direktorijas pārlūkošanai nav nekādu ierobežojumu (ldap://ldap.sk.ee) un nekādas problēmas no tā tur nav radušās.