Ministerstvo vnitra zveřejnilo v průběhu týdne informaci o tom, že v noci ze soboty na neděli bude proveden první zásadní upgrade uživatelského rozhraní datových schránek od jejich spuštění v létě 2008.

Deset let předstvauje v oblasti informačních technologií zhruba dvě až tři generace systémů, toto oznámení tedy logicky vzbuzuje velká očekávání. A to mimo jiné i proto, že rozhraní systému datových schránek nebylo z pohledu uživatelské přívětivosti právě vzorem dokonalosti ani v době svého vzniku, natož po deseti letech.

Jedním z hlavních atributů, který Ministerstvo vnitra spojuje s datovými schránkami, je bezpečnost komunikace vedení jejich prostřednictvím. Poněkud zarážející je tak už pohled na úvodní přihlašovací obrazovku, ze které zmizela captcha, tedy prvek náhodně generovaných znaků které je třeba opsat do přihlášení, aby byly eliminovány pokusy o strojové přihlašování přes uživatelské rozhraní. V tomto případě se ale ještě dá uvažovat o tom, že bude tento bezpečnostní prvek nahrazen nějakým jiným technickým opatřením, které nezatěžuje uživatele, nicméně garantuje obdobnou míru zabezpečení. Bylo by ale pěkné, kdyby toto rozhodnutí a provedená opatření ministerstvo alespoň okrajově okomentovalo.

Po přihlášení se ovšem projevil problém zásadní, a s ohledem na to že byl významně diskutován už při spouštění Portálu občana, v zásadě zcela neomluvitelný. Ministerstvo vnitra totiž zopakovalo svou oblíbenou chybu, a zcela ignoruje pravidla pro bezpečný session management. Po přihlášení do systému datových schránek je tak možné nejen otevřít neomezený počet oken, která všechna mohou se systémem komunikovat pod jedním přihlášením, ale především v případě zavření okna prohlížeče, jeho opětovném spuštění a vstupu na stránky datových schránek zůstává uživatel přihlášený, a to i v případě, že mezitím byl počítač restartován.

To je natolik zásadní bezpečnostní chyba, že v zásadě může ohrozit důvěryhodnost systému datových schránek jako takového. V tomto ohledu se tedy jedná o významné selhání – navíc opakované – a odpovědní pracovníci ministerstva by z něj měli vyvodit odpovídající důsledky jak v rovině personální, tak zejména v oblasti standardů a pravidel testování aplikaci před jejich spuštěním do ostrého provozu.

---

Update 22. 1. 2019: Na základě diskuse vyvolané zveřejněním článku je třeba uvést, že uvedená bezpečnostní chyba byla testována ve více prostředích, aby bylo ověřeno, že jedná skutečně o problém s realizací Session Managementu a ne o chybu v implementaci sessions v daném prohlížeči. Testování bylo provedeno na následujících prohlížečích, vždy se stejným výsledkem, a to bez ohledu na to, zda byl daný prohlížeč nastaven v režimu pro zapamatování rozložení stránek při novém spuštění nebo ne:

• Firefox Quantum verze 64.0.2
• Safari verze 12.0.3
• Safari Technology Preview release 73
• Google Chrome verze 67.0.3396.62
• Google Chrome verze 71.0.3578.98

Stejně se webové rozhraní ISDS chová i na všech dosud testovaných mobilních prohlížečích.