Spróbuję wyjaśnić problem z systemem KSeF tak prosto, jak się da — tak, by zrozumiał to każdy, kto w ogóle nie interesuje się informatyką ani architekturą Internetu. Jeśli tego nie złapiecie, to bardzo proszę o pytania.
Wyobraźmy sobie polski urząd skarbowy jako ogromny budynek. W samym jego środku stoi wielka pancerna skrzynka. Każda firma w Polsce ma obowiązek wrzucać do niej swoje faktury, zanim w ogóle dotrą one do klienta. To właśnie jest Krajowy System e-Faktur (KSeF).

Taki model działania nazywa się "clearance". Oznacza to, że zanim faktura zacznie funkcjonować w obrocie gospodarczym, najpierw musi zostać zarejestrowana przez państwo — jest to wymóg ustawowy. Zanim jednak przedsiębiorca dojdzie do tej skrzynki, musi przejść przez bramkę bezpieczeństwa przy wejściu do budynku.
Stoją tam ochroniarze, którzy sprawdzają, czy ktoś nie wnosi niebezpiecznych przedmiotów (w świecie informatyki będą to wirusy lub próby cyberataków) oraz czy ktoś nie próbuje zablokować urzędu ogromną liczbą fałszywych zgłoszeń (w sieci nazywa się to atak Distributed Denial of Service — DDoS).
W języku technicznym ta bramka nazywa się WAF (Web Application Firewall). To cyfrowa straż graniczna systemu. Bez takiej bramki system mógłby zostać bardzo łatwo sparaliżowany, więc jest niezbędny.
We wszystkich państwach świata, które stosują podobne systemy, ta bramka należy do państwa, a ochroniarze są pracownikami administracji skarbowej. Tylko w Polsce zrobiono inaczej.
Obsługę tej bramki powierzono zewnętrznej zagranicznej firmie technologicznej działającej w sektorze cyberbezpieczeństwa, obronności i wywiadu. To jej ochrona i jej sprzęt stoją na wejściu do systemu.
Przedsiębiorca wchodzący do urzędu niesie swoją fakturę w zaklejonej kopercie. W środku znajduje się właściwa treść dokumentu. W systemie informatycznym jest ona zapisana w formacie XML i przesyłana w sposób zaszyfrowany.
Ochroniarze na bramce nie otwierają koperty. Nie widzą dokładnie, co znajduje się w środku. Jednak żeby przesyłkę w ogóle zarejestrować, koperta musi mieć czytelną etykietę opisową. W systemie informatycznym ten opis zapisany jest w czytelnym formacie JSON.
Na tej etykiecie znajdują się między innymi: kto sprzedaje i kto kupuje (numery NIP i pełne nazwy firm czy osób), dokładne kwoty netto, VAT i brutto, waluta transakcji, numer i typ faktury oraz daty operacyjne. Bez tych informacji system nie byłby w stanie wystawić urzędowego potwierdzenia złożenia faktury.
Dlatego ochroniarz przy bramce musi przeczytać etykietę i zapisać te dane w swoim dzienniku, zanim pozwoli przedsiębiorcy wrzucić kopertę do skrzynki. Na podstawie tych zapisów przedsiębiorca dostaje potem potwierdzenie złożenia dokumentu.
Ten dziennik — czyli zbiór wszystkich takich opisów faktur — powstaje w systemie obsługującym bramkę wejściową. A więc w systemie należącym do firmy, która tę bramkę obsługuje. Oznacza to, że choć pełna treść faktur pozostaje zamknięta w kopertach, to opis każdej faktury jest widoczny na bramce systemu.
A z tych opisów można odczytać bardzo dużo informacji o funkcjonowaniu całej gospodarki: kto z kim handluje, jakie są wartości transakcji, kiedy one następują i w jakiej walucie. To pozwala stworzyć pełną mapę polskiej gospodarki.
Formalnie wszystko odbywa się zgodnie z obowiązującym prawem i podpisanymi umowami.
Ta firma obsługująca bramkę WAF polskiego systemu KSeF to amerykańska Imperva, jej właściciel to francuska grupa Thales, a dane te przetwarzają komputery znajdujące się w Izraelu. Ta firma dane o polskiej gospodarce ze swojego dziennika może sobie dowolnie przetwarzać. Przed tym nie chroni żadna umowa podpisana przez nią z polskim urzędem, bo ponad tą umową są prawa USA i Francji.
Czy to teraz jest jasno wyjaśnione? Jeśli czegoś nie rozumiecie, to spytajcie w komentarzu, a na pewno wyjaśnię. Bardzo proszę o pytania.
Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65
PS. W istocie dla całej tej szpiegowskiej afery KSeF istotne są tylko i wyłącznie dwa fakty, które w sposób niezbity, na 100% ustaliłem w szczegółowych, profesjonalnych audytach technicznych:
- Bramkę bezpieczeństwa WAF systemu KSeF obsługuje zagraniczna firma Imperva.
- Przez tę bramkę w sposób widoczny dla firmy Imperva przepływają metadane o każdej polskiej fakturze w formacie JSON, które obejmują: numery NIP i pełne nazwy kontrahentów, dokładne kwoty netto, VAT i brutto, waluta transakcji, numer i typ faktury oraz daty operacyjne.
Tu najnowsze audyty to potwierdzające:
- audyt-infrastruktury-sieciowej-bramka-waf-systemu-ksef-20
- audyt-techniczny-jawnosc-metadanych-faktur-ksef-w-json-na-bramce-waf-obslugiwanej-przez-imperve
- audyt-techniczny-ksef-szyfrowanie-e2e-faktury-xml
Z tych dwóch prostych, łatwo weryfikowanych i potwierdzonych faktów wynikają wszystkie wnioski polityczne i biznesowe, które opisałem w tych artykułach:
Seria thrillerowa o KSeF:
- Część I. KSeF nie poszerza inwigilacji. KSeF zwiększa rozdzielczość. Porównanie KSeF z JPK: czesc-i-ksef-nie-poszerza-inwigilacji-ksef-zwieksza-rozdzielczosc
- Część II. Praktyka KSeF: HurtPol kontra Kowalski i Synowie. Praktyczny przykład: czesc-ii-praktyka-ksef-hurtpol-kontra-kowalski-i-synowie
- Część III. Administrator KSeF. Czyli gdzie naprawdę leży władza. O pokosie dla administratora systemu: czesc-iii-administrator-ksef-czyli-gdzie-naprawde-lezy-wladza
- Część IV. Technologia KSeF – suwerenność kończy się tam, gdzie kończy się kabel! O suwerenności cyfrowej: czesc-iv-technologia-ksef-suwerennosc-konczy-sie-tam-gdzie-konczy-sie-kabel
- Część V. KSeF i ciągłość decyzji. Imperva, czyli suwerenność sprzedana na raty! O tym, że zaczął to PiS: czesc-v-ksef-i-ciaglosc-decyzji-imperva-czyli-suwerennosc-sprzedana-na-raty
- Część VI. KSeF - wyjaśnienie techniczne i praktyczne przykłady. Przykłady firm z branży militarnej i spożywczej: czesc-vi-ksef-wyjasnienie-techniczne-i-praktyczne-przyklady
- Część VII. Jakie metadane widzi Imperva? O metadanych: czesc-vii-jakie-metadane-widzi-imperva
- Część VIII. Co jeszcze widzi Imperva? Więcej metadanych: czesc-viii-co-jeszcze-widzi-imperva
- Część IX. Ludzkość odrywa się od terytorium i zaczyna bujać w obłokach! O tym, że szybkie pingi o niczym nie świadczą, bo to chmura: czesc-ix-ludzkosc-odrywa-sie-od-terytorium-i-zaczyna-bujac-w-oblokach
- Cześć X. Polska jako jedyna na świecie oddała na tacy swoją suwerenność cyfrową obcym wywiadom: czesc-x-polska-jako-jedyna-na-swiecie-oddala-na-tacy-swoja-suwerennosc-cyfrowa-obcym
Seria "Niewidzialna pętla #KSeF"
- Część I — niewidzialna pętla KSeF: o tym, jak metadane zniszczyły Braci Kowalskich: czesc-i-niewidzialna-petla-ksef-o-tym-jak-metadane-zniszczyly-braci-kowalskich
- Część II — niewidzialna pętla KSeF: jak Kowalscy mogą obronić się przed inwigilacją: hczesc-ii-niewidzialna-petla-ksef-jak-kowalscy-moga-obronic-sie-przed-inwigilacja
- Część III — niewidzialna pętla KSeF: o tym, jak metadane zniszczyły Stomil: czesc-iii-niewidzialna-petla-ksef-o-tym-jak-metadane-zniszczyly-stomil
- Część IV — niewidzialna pętla KSeF: dlaczego utajniona umowa z Impervą jest nic niewarta: czesc-iv-niewidzialna-petla-ksef-dlaczego-utajniona-umowa-z-imperva-jest-nic-niewarta
- Część V — niewidzialna pętla KSeF: Wojna wywiadów, niemiecki szantaż i globalny odwet na polskim biznesie: czesc-v-niewidzialna-petla-ksef-wojna-wywiadow-niemiecki-szantaz-i-globalny-odwet
- Część VI — Niewidzialna pętla KSeF: manipulacyjna dezinformacja mediów: czesc-vi-niewidzialna-petla-ksef-manipulacyjna-dezinformacja-mediow
Audyty Techniczne Polski:
- ❌ 1. informacje-lokalne.pl
- ❌ 2. informacje-lokalne.pl
- ❌ 3. informacje-lokalne.pl
- ❌ 4. informacje-lokalne.pl
Audyty Techniczne innych krajów świata:
- ✅ Francja informacje-lokalne.pl
- ✅ Węgry informacje-lokalne.pl
- ✅ Włochy informacje-lokalne.pl
- ✅ Rumunia informacje-lokalne.pl
- ✅ Hiszpania informacje-lokalne.pl
- ✅ Albania informacje-lokalne.pl
- ✅ Turcja informacje-lokalne.pl
- ✅ Rosja informacje-lokalne.pl
- ✅ Ukraina informacje-lokalne.pl
- ✅ Argentyna informacje-lokalne.pl
- ✅ Kolumbia informacje-lokalne.pl
- ✅ Chile informacje-lokalne.pl
- ✅ Meksyk informacje-lokalne.pl
- ✅ Brazylia informacje-lokalne.pl
- ✅ Grecja informacje-lokalne.pl
Nie każdy rozumie terminy techniczne używane w debacie dotyczącej KSeF, więc zrobiłem słowniczek najważniejszych pojęć:
- HTTP (Hypertext Transfer Protocol) — podstawowy protokół komunikacji w sieci Internet służący do przesyłania żądań i odpowiedzi pomiędzy klientem a serwerem aplikacyjnym. Treść komunikacji HTTP może zawierać dane aplikacyjne, w tym dokumenty i struktury danych przekazywane do systemu KSeF.
- HTTPS (HTTP Secure) — odmiana protokołu HTTP, w której transmisja danych pomiędzy klientem a serwerem jest zabezpieczona kryptograficznie przy użyciu protokołu TLS. HTTPS zapewnia poufność i integralność danych w trakcie transmisji sieciowej, lecz nie oznacza automatycznie szyfrowania danych na poziomie aplikacyjnym.
- TLS (Transport Layer Security) — protokół kryptograficzny zapewniający szyfrowanie połączenia sieciowego pomiędzy dwoma punktami komunikacji. Zakończenie połączenia TLS w danym elemencie infrastruktury (tzw. terminacja TLS) powoduje odszyfrowanie transmisji HTTP w tym punkcie i dalsze jej przekazanie w postaci jawnej do kolejnej warstwy systemu.
- XML (eXtensible Markup Language) — ustrukturyzowany format zapisu danych w postaci tekstowej, wykorzystywany do reprezentacji pełnej treści faktury elektronicznej w systemie KSeF zgodnie z określonym schematem logicznym. Dokument XML może podlegać dodatkowemu szyfrowaniu aplikacyjnemu, niezależnemu od szyfrowania transportowego TLS.
- JSON (JavaScript Object Notation) — tekstowy format struktury danych używany do przekazywania informacji pomiędzy systemami informatycznymi w ramach komunikacji HTTP/HTTPS. W kontekście KSeF JSON zawiera dane identyfikacyjne i operacyjne faktury (metadane), które nie stanowią pełnej treści dokumentu XML.
- WAF (Web Application Firewall) — wyspecjalizowany system bezpieczeństwa chroniący aplikacje internetowe poprzez analizę i filtrowanie ruchu HTTP/HTTPS pomiędzy klientem a serwerem. WAF działa w warstwie aplikacyjnej sieci i — w przypadku terminacji TLS — przetwarza odszyfrowaną treść żądań kierowanych do chronionego systemu.
- Szyfrowanie end-to-end (E2E) — mechanizm kryptograficzny stosowany na poziomie danych aplikacyjnych, w którym treść danych jest szyfrowana po stronie nadawcy i pozostaje zaszyfrowana w trakcie transmisji oraz w warstwach pośredniczących. Odczyt danych jest możliwy wyłącznie w tych komponentach systemu, które posiadają uprawnienia kryptograficzne do ich odszyfrowania (tj. dostęp do kluczy lub równoważnych mechanizmów). W szczególności, jeżeli element infrastruktury pośredniczącej posiada dostęp do kluczy lub mechanizmów odszyfrowania, może uzyskać dostęp do treści danych mimo zastosowania szyfrowania na poziomie aplikacyjnym.
- API (Application Programming Interface) — zestaw zdefiniowanych reguł komunikacji umożliwiających wymianę danych pomiędzy systemami informatycznymi poprzez określone operacje, formaty danych i protokoły sieciowe. W kontekście KSeF API stanowi techniczny interfejs, za pośrednictwem którego systemy podatników przekazują dokumenty i dane faktur do systemu państwowego oraz odbierają odpowiedzi systemowe.
- HSM (Hardware Security Module) — wyspecjalizowane, fizyczne urządzenie kryptograficzne przeznaczone do bezpiecznego generowania, przechowywania oraz używania kluczy kryptograficznych. Klucze przechowywane w HSM pozostają chronione przed bezpośrednim odczytem, a operacje kryptograficzne (np. szyfrowanie, deszyfrowanie, podpisywanie) wykonywane są wewnątrz urządzenia. Dostęp do funkcji HSM może być realizowany lokalnie lub zdalnie przez uprawnione systemy, co oznacza, że podmiot posiadający logiczny dostęp do HSM może wykonywać operacje kryptograficzne na chronionych danych bez fizycznego dostępu do samego klucza.
- KMS (Key Management System / Key Management Service) — system informatyczny służący do zarządzania cyklem życia kluczy kryptograficznych, obejmującym ich generowanie, dystrybucję, rotację, przechowywanie, unieważnianie oraz kontrolę dostępu. KMS może wykorzystywać sprzętowe moduły HSM lub inne mechanizmy zabezpieczające i często działa jako usługa sieciowa dostępna dla wielu komponentów infrastruktury. Podmiot posiadający uprawnienia administracyjne lub operacyjne do KMS może uzyskać zdolność wykonywania operacji kryptograficznych na danych chronionych tymi kluczami, co w praktyce może umożliwiać odszyfrowanie danych w określonych warunkach systemowych.
- Model clearance (model autoryzacyjny) — architektoniczny i prawny model funkcjonowania systemu e-fakturowania (jak polski KSeF), w którym każda faktura, przed wywarciem skutków prawnych i gospodarczych lub przed dostarczeniem jej do nabywcy, musi zostać obowiązkowo przesłana do centralnej platformy państwowej w celu jej walidacji i autoryzacji (np. nadania unikalnego numeru identyfikacyjnego). W modelu tym administracja skarbowa uczestniczy w czasie rzeczywistym w procesie wymiany dokumentów pomiędzy podatnikami. Czyni to system clearance infrastrukturą krytyczną państwa, stanowiącą centralny punkt gromadzenia pełnych danych analitycznych (metadanych i treści) o bieżącym obrocie gospodarczym całego kraju w momencie jego realizacji.
- Operator WAF — podmiot zewnętrzny wobec Ministerstwa Finansów, świadczący usługę ochrony aplikacyjnej dla ruchu kierowanego do systemu KSeF. W polskim przypadku to amerykańska firma Imperva należąca do francuskiego koncernu Thales.
- Terminacja TLS — zakończenie szyfrowanego połączenia HTTPS w danym elemencie infrastruktury, polegające na odszyfrowaniu ruchu i dalszym przekazaniu go w postaci jawnej do kolejnej warstwy systemu.
- Transmisja HTTPS — komunikacja sieciowa pomiędzy klientem a systemem KSeF realizowana z użyciem protokołu HTTP zabezpieczonego kryptograficznie protokołem TLS.
- Szyfrowanie aplikacyjne end-to-end (E2E) — mechanizm kryptograficzny, w którym treść komunikatu jest szyfrowana po stronie nadawcy i może zostać odszyfrowana wyłącznie przez końcowy system odbiorcy.
- Faktura w formacie XML — ustrukturyzowany dokument elektroniczny zawierający pełną treść faktury ustandaryzowaną w schemacie XML KSeF.
- JSON z metadanymi faktury — część komunikatu przekazywanego do API KSeF w formacie JSON, zawierająca dane identyfikacyjne i operacyjne faktury, w szczególności: NIP, nazwy podmiotów, kwoty netto, VAT i brutto, walutę, numer faktury, daty operacyjne oraz typ dokumentu.
- Brak szyfrowania aplikacyjnego E2E — sytuacja, w której dane te nie są dodatkowo szyfrowane przed wysłaniem do systemu KSeF, a ich poufność wynika wyłącznie z szyfrowania transportowego TLS.
- Chmura. Infrastruktura internetowa opierająca się przede wszystkim na mechanizmie Anycast oraz rozproszonej sieci. W tradycyjnym modelu jeden adres IP odpowiada jednemu fizycznemu serwerowi w jednej lokalizacji. W modelu Anycast ten sam adres IP jest jednocześnie ogłaszany z wielu centrów danych w różnych krajach, a ruch użytkownika trafia automatycznie do węzła najbliższego topologicznie w sensie sieciowym, niekoniecznie geograficznym. Decyzje o wyborze trasy podejmuje globalny system routingu Internetu, a nie użytkownik ani państwo. W praktyce oznacza to, że identyczny adres IP może być równocześnie obsługiwany w wielu miastach świata, na przykład w Warszawie, Paryżu i Tel Awiwie, gdzie Imperva ma duże centra danych (PoPs), a różni użytkownicy łączą się fizycznie z różnymi serwerami, choć logicznie widzą ten sam system.
- PoP (Point of Presence) to lokalny węzeł tej globalnej sieci tworzącej chmurę. W usługach ochrony aplikacyjnej taki węzeł zwykle filtruje ruch, kończy sesję TLS, wykonuje operacje buforowania, analizuje nagłówki i zapisuje zdarzenia w logach. Z perspektywy architektury informatycznej jest to więc realne miejsce przetwarzania danych, które jest fizycznie najbliżej klienta i dlatego szybko odpowiada na zapytania. Kluczowe jest to, że kontrolę nad tym etapem posiada dostawca usługi chmurowej, a nie państwo, na którego terytorium stoi fizyczna maszyna.
- Model Anycast w chmurze to technika routingu, która umożliwia przypisanie tego samego adresu IP do wielu serwerów (węzłów) fizycznie zlokalizowanych w różnych miejscach na świecie.
- Adres IP (Internet Protocol Address) to unikalny, numeryczny identyfikator przypisywany każdemu urządzeniu (komputer, smartfon, router) podłączonemu do sieci lokalnej lub Internetu. Działa jak wirtualny adres domowy, umożliwiając urządzeniom lokalizację, identyfikację oraz wymianę danych.
Pozostaje ustalić lobbystę, który za taką etykietą lobbował i celę+ za nim zamknąć ⚫️
Nie, na etykiecie jest wszystko to, co niezbędne, by poprawnie zweryfikować i potwierdzić złożenie faktury. Tak musi być i tak jest wszędzie na świecie. Problemem nie jest etykieta, ale to, że zajmuje się tym zagraniczna firma wywiadowcza. Wszystkie kraje świata (oprócz Polski, która jest jedyna) obsługują bramkę WAF swoimi siłami i żaden nie oddał tego zagranicznemu podmiotowi. Powyżej są odnośniki do audytów innych krajów. Posadzić za to nikogo się nie da, bo ten system jest w pełni legalny, ustanowiony ustawowo. Tak jak zabory, które też były legalne.