Czy jest coś gorszego od braku wolności, bezpieczeństwa oraz prywatności? Sądzę, że tak. Jest to złudzenie tego, iż jest się wolnym i bezpiecznym.
Jest oczywistym, że w przypadku, kiedy to mamy fałszywy obraz otoczenia, w którym to działamy, działania nasze są nieadekwatne do rzeczywistej sytuacji. Nieprawidłowa ocena wynika zapewne z braku wiedzy i doświadczenia, a przynajmniej tak podpowiada mi moja intuicja. Do czego zmierzam?
W przypadku zdecentralizowanego OpenPGP (WoT), jak i scentralizowanego X.509 (PKI) kluczowym elementem systemu, pomijając techniczne aspekty działania tegoż, jest zaufanie. W przypadku OpenPGP każdy może potwierdzić tożsamość drugiej osoby poprzez podpisanie jej klucza publicznego. Każdy też może stworzyć klucz wykorzystując do tego fałszywe dane i rozpropagować go w Internecie. Każdy, kto uczestniczy w takiej sieci zaufania (ang. web of trust) jest tego świadomy. W przypadku X.509, poza nielicznymi przypadkami działającymi na zasadzie WoT, tożsamość potwierdza urząd rejestracji, a certyfikat wystawia urząd certyfikacyjny (ang. certification authority). Chciałbym zauważyć, że w polskich realiach bardziej pasuje tu tłumaczenie słowa „authority” na „autorytet”, czyli „instytucję cieszącą się poważaniem, uznaniem”. I tutaj pojawia się pewien problem, jako że - powiedźmy to wprost - tylko niewielu orientuje się, dlaczego korzystając ze współczesnych przeglądarek WWW oraz protokołu HTTPS niektóre strony są przez przeglądarkę akceptowane (tj. jarzą się zielenią w pasku adresu), a inne wywołują komunikaty błędu. To samo tyczy się podpisanej cyfrowo poczty elektronicznej. I nie, nie mam tutaj na myśli braku szczegółowej wiedzy z zakresu działania systemów kryptograficznych, lecz wiedzę dot. znaczenia zaufania w takich rozwiązaniach.
Niewielu użytkowników orientuje się, że w standardowej konfiguracji całe to zaufanie i bezpieczeństwo zależy od tego, czy do ich przeglądarki/klienta pocztowego trafił certyfikat CA. Przykładowo, w przypadku produktów Microsoftu, aby certyfikat znalazł się w programie i był wraz z nim dystrybuowany, konieczne jest przejście całego procesu na który składa się między innymi audyt CA. Oczywiście, można samodzielnie dodać certyfikat CA już po instalacji programu, ale nie jest to zadanie dla ZU. Problem polega na tym, iż bez świadomości zasady działania tego systemu użytkownik jest tak samo bezpieczny, jak w przypadku korzystania z OpenPGP, a może i nawet mniejszym stopniu, ponieważ posiada fałszywe poczucie bezpieczeństwa. Pomimo tego, że CA jest bezpieczny z technicznego punktu widzenia to nic nie stoi na przeszkodzie, aby wydał on certyfikat umożliwiający się podszycie pod inną osobę. To nie kwestia zabezpieczeń, a zaufania do danego urzędu. Danych zaszyfrowanych naszym kluczem publicznym nie przejmie, ale...
Oczywiście, są to rozważania natury czysto teoretycznej, ale dzięki takiemu rozumowaniu skłaniam się do tego, aby w przypadku komunikacji osobistej wykorzystywać OpenPGP, a w przypadku bardziej sformalizowanej standard X.509 z wykorzystaniem CA zaakceptowanych przez wszystkie uczestniczące strony.