Oficjalna odpowiedź! Ministerstwo Finansów w kwestii KSeF

Po pierwsze: gdyby odpowiedzi były negatywne, to nie byłoby w nich żadnej tajemnicy. A więc odpowiedzi są pozytywne. Tym samym mamy potwierdzenie tego, co jest w pytaniach.
Po drugie: odpowiedź MF, to klasyczny, podręcznikowy wręcz przykład zastosowania koncepcji "Security by Obscurity" - bezpieczeństwo przez zaciemnianie. W świecie profesjonalnego IT i cyberbezpieczeństwa jest to podejście powszechnie krytykowane jako nieskuteczne i przestarzałe.

Zrobiłem porządne audyty większości państwa świata, które używają systemów podobnych do polskiego KSeF. Żadne z nich nie oddało bramki WAF obcemu podmiotowi. Linki do audytów będą w komentarzu niżej. I można zbadać to tymi samymi metodami, którymi zbadałem polski KSeF. Dodatkowo sprawdziłem jak wygląda transparentność systemów typu clearance na świecie oraz czy ukrywanie takich danych ma jakiekolwiek techniczne uzasadnienie. Oto wybrane fakty:

1⃣. Czy inne kraje ukrywają architekturę systemów e-faktur?

W dojrzałych systemach clearance na świecie kluczowe założenia architektoniczne, w tym mechanizmy szyfrowania i punkty stykowe, są jawne. Wynika to z prostej przyczyny: tysiące zewnętrznych dostawców oprogramowania (ERP) musi zintegrować się z systemem państwowym.

➡️ Włochy (Sistema di Interscambio - SdI): włoski system jest jednym z najstarszych w Europie. Ich dokumentacja techniczna jest całkowicie publiczna. Jasno określa wykorzystanie protokołu TLS, wymogi dotyczące wzajemnego uwierzytelniania (mTLS) oraz to, w którym miejscu infrastruktury państwowej (SOGEI) następuje odszyfrowanie komunikatu. Nie ukrywają faktu, kto fizycznie obsługuje ruch.
➡️ Kraje Ameryki Łacińskiej (np. Meksyk - CFDI, Chile - DTE): tamtejsze modele opierają się na certyfikowanych dostawcach (np. PAC w Meksyku). Architektura zakłada pełną jawność tego, gdzie kończy się szyfrowanie (zazwyczaj na serwerach certyfikowanego operatora, który następnie przekazuje dane do urzędu skarbowego). Mechanizmy kryptograficzne są opisane w publicznych standardach (np. wykorzystanie XMLDSig do podpisów), aby każdy software house wiedział, jak zbudować paczkę danych.
➡️Francja (Chorus Pro / PPF - w trakcie wdrażania): francuska administracja otwarcie publikuje specyfikacje API i wykorzystywane standardy bezpieczeństwa (SecNumCloud). Co więcej, w krajach z silnym naciskiem na suwerenność cyfrową, kwestia tego, czy dane przechodzą przez amerykańskie chmury (z uwagi na CLOUD Act), jest przedmiotem publicznej debaty, a nie tajemnicą urzędową.
✅ Wniosek: "Hiding the API architecture" w systemach masowych jest anomalią. Jeśli twórcy oprogramowania księgowego muszą wiedzieć, jak zestawić tunel (TLS) i jak (lub czy w ogóle) szyfrować sam plik XML na poziomie aplikacji (E2E), to nie może to być tajemnicą państwową.

2⃣. Czy ukrywanie łatwych do zbadania faktów jest prawidłowe?

Z inżynieryjnego punktu widzenia to, co zrobiło Ministerstwo, zasłaniając się tajemnicą, jest pozbawione logiki z kilku powodów:

➡️ Zasada Kerckhoffsa: fundamentalna zasada kryptografii głosi, że system powinien być bezpieczny nawet wtedy, gdy wszystko na jego temat – z wyjątkiem samych kluczy kryptograficznych – jest publicznie znane. Jeśli bezpieczeństwo KSeF opiera się na tym, że nikt ma nie wiedzieć, iż ruch idzie przez Impervę, to system nie jest bezpieczny.
➡️ Jawność protokołów sieciowych: rekordy DNS (CNAME wskazujące na Impervę), certyfikaty TLS (i ich wystawcy) oraz nagłówki HTTP (jak X-CDN: Imperva) są z definicji informacjami publicznymi, rozgłaszanymi w globalnej sieci Internet. Próba nadania klauzuli tajności danym, które każdy komputer na świecie otrzymuje automatycznie przy próbie połączenia z adresem api. ksef. mf. gov. pl, to absurd kompetencyjny.
➡️ Audytowalność w modelu Black-Box: tak jak bezbłędnie to udowodniłem, zewnętrzny badacz nie potrzebuje dostępu do kodu źródłowego ani wewnętrznych schematów sieci MF, aby potwierdzić terminację TLS czy brak E2E dla metadanych. To są mierzalne, fizyczne właściwości ruchu sieciowego.

3⃣. Dlaczego Ministerstwo Finansów wybrało ten unik?

Skoro techniczne fakty są publicznie mierzalne, dlaczego MF odpowiada w ten sposób? Odpowiedź kryje się w moich pytaniach nr 5 i 6.

Urzędnicy nie chronią przed ujawnieniem tajemnic technicznych (bo te, jak wykazałem, są jawne na poziomie protokołów internetowych). Urzędnicy chronią się przed polityczną i prawną odpowiedzialnością za konsekwencje tych faktów.

Przyznanie oficjalnie, w odpowiedzi na interwencję poselską, że ruch polskich przedsiębiorców jest odszyfrowywany na serwerach amerykańskiej korporacji przed wejściem do rządowej sieci, amerykański dostawca ma techniczny wgląd w metadane transakcji gospodarczych całego kraju w czasie rzeczywistym, zastosowano rozwiązanie podatne na zagraniczne prawodawstwo (CLOUD Act), bez wdrożenia technicznych mechanizmów separacji (tzw. Zero-Knowledge) wymusiłoby najprawdopodobniej wszczęcie procedur kontrolnych (np. przez NIK czy ABW) pod kątem naruszenia suwerenności cyfrowej infrastruktury krytycznej państwa. Łatwiej jest rzucić hasło: "tajemnica ze względów bezpieczeństwa", licząc, że pytający nie ma wiedzy technicznej, by to podważyć.

Grzegorz GPS Świderski

https://Twitter.com/gps65

https://t.me/KanalBlogeraGPS

PS1: A tu pytania, jakie zadał poseł Skalik w kwestii KSeF: x.com/gps65/status/2031729450669269004

PS2. A tu moje najnowsze audyty:

__________________

Czy wołyńskie ludobójstwo usprawiedliwia Putina? <- poprzednia notka

następna notka ->

__________________

Tagi: GPS65, KSeF