Elektronická identita přináší řadu výhod i rizik

Digitální identita je vlastně souborem údajů, kterými se uživatel prokazuje při přístupu k různým informačním systémům, aplikacím nebo on-line službám. Postupem času si tak většina uživatelů vytvoří i několik desítek e-identit zahrnujících přístup k počítači, k mailu, do firemní sítě, k různým aplikacím či k elektronickému bankovnictví.

Zatímco s většinou e-identit lidé obvykle nakládají až poněkud nezodpovědně, v případě bankovního účtu jsou už poněkud obezřetnější. Pokud se však přístup k penězům v bance opírá jen o uživatelské jméno a heslo, nelze ho považovat za dostatečně bezpečný a je potřeba přidat alespoň ověření identity prostřednictvím mobilního telefonu.

Důležitým nástrojem k prokazování e-identity by se měl stát občanský průkaz s čipem. Donedávna vydávané průkazy (do 1. 7. 2018) však disponovaly pouze čipem, který neobsahoval podporu identifikace a ani jeho podpora elektronického podepisování nebyla na úrovni kvalifikovaného prostředku.

Identita přes datové schránky

Další důležitou e-identitou jsou tak přístupové údaje datové schránce. Ta je sice pro běžného občana nepovinná, její zřízení však přináší řadu výhod vyplývajících z možnosti zjednodušeného přístupu k systémům veřejné správy. Nabídka elektronických služeb veřejné správy, ke kterým se lze díky zmíněné e-identitě dostat, sice není bůhvíjak pestrá, v řadě případů však už on-line komunikace ušetří hodně drahocenného času. Využít ji lze například k získání výpisů z řady rejstříků a registrů nebo k podání řady žádostí či daňových přiznání. Některá města ji dokonce používají pro autorizovaný přístup občanů k městským portálům.

Naproti tomu nabízené on-line služby dodavatelů energií a poskytovatelů služeb (včetně telefonních operátorů a zdravotních pojišťoven) tuto možnost zcela ignorují. Občanovi, přesněji zákazníkovi, pokud nechce komunikaci s poskytovateli těchto služeb řešit papírovou či osobní cestou, tak nezbývá, než se na jejich portálech registrovat a zakládat si další a další účty, tedy další e-identity! Není pak divu, že se mnozí snaží přístup k většině portálů a služeb řešit univerzálním jménem a heslem. To však není z hlediska bezpečnosti příliš moudré, protože zcizení identity k jednomu účtu pak otevírá přístup i účtům ostatním, a v řadě případů to navíc není ani možné, protože řada registračních procesů vyžaduje jiný tvar jména, případně jiné podmínky pro akceptaci hesla.

Jak na více e-identit

Kdo si má ovšem pamatovat tolik identit? Všechny ty kombinace účtů, jmen a hesel? A právě tato situace pak vede k tomu, že si mnozí svá hesla, případně kompletní údaje svých e-identit někam poznamenávají. Třeba i na post-it nalepený na monitor, klávesnici nebo do mobilu tak, aby byl pohotově při ruce. Anebo si hesla v lepším případě uloží do nějakého správce hesel, ne vždy získaného od prověřeného poskytovatele, k němuž mimochodem potřebujete další přístupové heslo. Bezpečnost tak jde kvůli praktičnosti zcela stranou.

Jak tedy s e-identitou nakládat? Především je potřeba si ji pečlivě hlídat stejně jako občanský průkaz nebo přístup k bankovnímu kontu. Pokud vám někdo ukradne občanku, může ji celkem snadno zneužít a v případě e-identity je to ještě snazší. V kyberprostoru totiž probíhá vše mnohem rychleji, a to dokonce řádově! Jakmile vám někdo zcizí některou z vašich e-identit, obratem ji může použít třeba ke krádeži firemních dat, převodu peněz z vašeho konta nebo dokonce k prodeji vašeho domu či bytu, aniž byste o tom měli sebemenší tušení. A to vše se může stát v průběhu několika sekund od zcizení vaší e-identity.

Nejsnazší cesta ke krádeži vaší e-identity vede přes vás!

Je třeba mít na paměti hlavně to, že pro útočníky je mnohem snazší a levnější dostat se k vašim datům nebo penězům prostřednictvím vaší e-identity, než komplikovaným a náročným nabouráváním sofistikovaných systémů. Pokud tedy máte své přístupové údaje poznamenány na přístupných místech, ať už na lístečcích uložených v šuplíku či dokonce přilepených na monitoru, uložených v nezabezpečené formě v mobilu či počítači anebo používáte snadno uhodnutelná hesla (jména či data narození dětí či manželky apod.), je vaše e-identita pro útočníky, a to i z řad amatérů, snadnou kořistí. Další cestou je takzvané sociální inženýrství, kdy útočník potřebné informace získá třeba i přímo od vás tak, že vás pod různými záminkami přesvědčí, abyste mu je dobrovolně vydali. Například tak, že se vydává za zástupce vaší banky a přiměje vás, abyste se přihlásili na jím podvrženou napodobeninu přihlašovací stránky, případně vás přesvědčí k instalaci aplikace, která mu vaše e-identity předá, jakmile je někde použijete.

Často se setkáváme s názorem, že přihlašovací jméno do datových schránek je nesmyslné, těžko zapamatovatelné. Důvod, proč nebyl použit obvyklý tvar ve formátu mailové adresy je však nasnadě. E-mailová adresa je v podstatě veřejným údajem a pokud by ji datovky využívaly coby přihlašovacího jména, měl by útočník mnohem snazší cestu k přístupu do vaší schránky, než když je přístupové jméno neveřejnou a hlavně neuhodnutelnou informací.

Nejlepší cestou k uhlídání identit je, nikam si je nezapisovat, používat „neslovníková“ hesla, k jejich zapamatování používat mnemotechnické pomůcky (například Můj přístup do G-Mailu pro rok 2018: MpdGMpr2018) a pečlivě si kontrolovat, zda se přihlašujete na těch správných stránkách, přes prověřené aplikace a přes prověřené internetové připojení, protože i podvržená Wi-Fi síť je jednou z cest, jak se dostat k vaší e-identitě.

Ing. Martin Řehořek, jednatel NEWPS.CZ

Partnerem seriálu je: