Część VI. KSeF - wyjaśnienie technicznych i praktyczne przykłady

Bez­spor­ne fak­ty

  Za­nim przej­dzie­my do ana­li­zy skut­ków KSeF, mu­si­my usta­lić fun­da­ment. W świe­cie cy­fro­wym nie da się ni­cze­go ukryć na sta­łe – sys­te­my zo­sta­wia­ją śla­dy, któ­re in­for­ma­ty­cy po­tra­fią od­czy­tać bez py­ta­nia rzą­du o zgo­dę. Oto co wie­my na 100%:

• Fakt 1: Da­ne prze­sy­ła­ne od użyt­kow­ni­ka do ba­zy da­ny­ch KSeF nie tra­fia­ją bez­po­śred­nio do pol­skie­go rzą­du. Kie­dy twój pro­gram księ­go­wy wy­sy­ła fak­tu­rę do KSeF, nie łą­czy się bez­po­śred­nio z ser­we­rem w War­sza­wie. Każ­dy mo­że to spraw­dzić, ba­da­jąc tzw. re­kor­dy DNS (cy­fro­wy spis ad­re­sów In­ter­ne­tu). KSeF ko­rzy­sta z alia­sów (CNA­ME) wska­zu­ją­cy­ch na do­me­ny in­fra­struk­tu­ry Im­pe­rva: *.im­pe­rvadns.net. To cy­fro­we po­dwór­ko fir­my Im­pe­rva na­le­żą­cej do gru­py Tha­les.
• Fakt 2: Bram­ka WAF stoi po­za ju­rys­dyk­cją Pol­ski, na­wet je­śli fi­zycz­ne wę­zły ed­ge mo­gą znaj­do­wać się w róż­ny­ch kra­ja­ch. Ad­re­sy IP, któ­re ob­słu­gu­ją ru­ch KSeF, nie na­le­żą do pol­ski­ch do­staw­ców ani do re­sor­tu fi­nan­sów. Na­le­żą do glo­bal­nej sie­ci fir­my Im­pe­rva. Za­nim two­ja fak­tu­ra tra­fi na ser­wer w Pol­sce (gdzie fak­tycz­nie je­st prze­cho­wy­wa­na), mu­si przej­ść przez in­fra­struk­tu­rę brze­go­wą te­go do­staw­cy.
• Fakt 3: To nie je­st tyl­ko pu­sta ru­ra. Mi­ni­ster­stwo Fi­nan­sów ofi­cjal­nie po­twier­dza, że sys­tem je­st chro­nio­ny przez WAF Clo­ud (Web Ap­pli­ca­tion Fi­re­wall w chmu­rze). To klu­czo­wa in­for­ma­cja: WAF nie je­st bier­nym ka­blem, to ak­tyw­ny ska­ner, któ­ry mu­si od­pa­ko­wać prze­sył­kę, by spraw­dzić, czy nie je­st ona ata­kiem hac­ker­skim. Bez te­go od­pa­ko­wa­nia (tzw. ter­mi­na­cji SSL), ochro­na WAF po pro­stu nie dzia­ła.
• Fakt 4: Wła­ści­cie­lem bram­ki je­st fran­cu­ski gi­gant zbro­je­nio­wy. Fir­ma Im­pe­rva, pier­wot­nie ame­ry­kań­ska, zo­sta­ła w grud­niu 2023 ro­ku osta­tecz­nie prze­ję­ta przez gru­pę Tha­les. Tha­les to nie je­st zwy­kły so­ftwa­re-ho­use. To stra­te­gicz­ny kon­cern fran­cu­ski, ści­śle po­wią­za­ny z tam­tej­szym rzą­dem, ob­słu­gu­ją­cy sys­te­my obron­ne, wy­wia­dow­cze i kryp­to­gra­ficz­ne.
• Fakt 5: Mil­cze­nie w ko­mu­ni­ka­ta­ch. W żad­nym ofi­cjal­nym ko­mu­ni­ka­cie Mi­ni­ster­stwa Fi­nan­sów z 2025 i 2026 ro­ku nie pa­da na­zwa "Tha­les" ani "Im­pe­rva". Re­sort uży­wa ogól­ni­ków ty­pu "kra­jo­wa in­fra­struk­tu­ra" (od­no­sząc się do miej­sca za­pi­su da­ny­ch), po­mi­ja­jąc fakt, że klu­cze do bra­my wej­ścio­wej (prze­pły­wu da­ny­ch) trzy­ma pod­miot za­gra­nicz­ny.

Pa­ra­doks Śle­pe­go Straż­ni­ka

  Gdy­by KSeF sto­so­wał peł­ne szy­fro­wa­nie end-to-end (E2E) — od kom­pu­te­ra przed­się­bior­cy aż do ser­we­ra Mi­ni­ster­stwa Fi­nan­sów (MF) w Pol­sce — in­fra­struk­tu­ra Im­pe­rva/Tha­les wi­dzia­ła­by wy­łącz­nie za­szy­fro­wa­ny stru­mień da­ny­ch. W ta­kim sce­na­riu­szu kla­sycz­ny Web Ap­pli­ca­tion Fi­re­wall (WAF) apli­ka­cyj­ny tra­ci zdol­no­ść peł­nej in­spek­cji war­stwy apli­ka­cyj­nej, czy­li do­kład­nie tej funk­cji, dla któ­rej je­st uza­sad­nia­ny: wy­kry­wa­nia zło­śli­we­go ko­du, ata­ków lo­gicz­ny­ch i nad­użyć pro­to­ko­łu.

  WAF to nie je­st tyl­ko tar­cza, to je­st też ska­ner. Tar­cza (DDoS Pro­tec­tion) mo­że od­bi­jać cio­sy na śle­po, ale WAF mu­si wie­dzieć, co je­st w środ­ku pa­kie­tu, że­by wy­ła­pać wi­ru­sy czy też np. SQL In­jec­tion.

  Aby WAF mó­gł re­al­nie chro­nić sys­tem przed ha­ke­ra­mi, mu­si wi­dzieć i ana­li­zo­wać ru­ch na po­zio­mie apli­ka­cyj­nym, co ozna­cza ter­mi­na­cję TLS lub rów­no­waż­ny me­cha­ni­zm po­śred­nic­twa, któ­ry da­je bram­ce peł­ną kon­tro­lę nad ru­chem HTTP, nie­za­leż­nie od ewen­tu­al­ne­go do­dat­ko­we­go szy­fro­wa­nia pay­lo­adu fak­tu­ry. Sko­ro Mi­ni­ster­stwo Fi­nan­sów twier­dzi, że kom­po­nen­ty WAF Clo­ud nie po­sia­da­ją klu­czy do od­szy­fro­wa­nia fak­tu­ry, to ozna­cza, że peł­ne szy­fro­wa­nie E2E nie obej­mu­je ca­łej ścież­ki ko­mu­ni­ka­cji aż do lo­gi­ki apli­ka­cyj­nej KSeF, le­cz koń­czy się wcze­śniej – na brze­gu, za­nim da­ne tra­fią do wła­ści­wej lo­gi­ki sys­te­mu.

  MF w ko­mu­ni­ka­ta­ch o KSeF pró­bu­je ucie­kać w se­man­ty­kę, twier­dząc, że tre­ść fak­tur mo­że być do­dat­ko­wo szy­fro­wa­na apli­ka­cyj­nie. Na­wet je­śli tak je­st, to nie zmie­nia to fak­tu, że brzeg sys­te­mu wi­dzi peł­ny stru­mień ko­mu­ni­ka­cji, je­go struk­tu­rę, me­ta­da­ne, rytm, wo­lu­men i punk­ty de­cy­zyj­ne. Ta­ka wie­dza sta­no­wi­ła­by istot­ną prze­wa­gę kon­ku­ren­cyj­ną, gdy­by by­ła wy­ko­rzy­sty­wa­na ko­mer­cyj­nie.

  MF sa­mo pod­kre­śla, że sys­tem KSeF ma moż­li­wo­ść od­szy­fro­wa­nia fak­tu­ry po­przez me­to­dy szy­fro­wa­nia wy­ko­rzy­sty­wa­ne przez MF z uży­ciem uni­ka­to­we­go klu­cza. To jed­nak do­ty­czy szy­fro­wa­nia przy za­pi­sie w ba­zie, a nie te­go, co dzie­je się ze stru­mie­niem ko­mu­ni­ka­cji na brze­gu – tam i tak wi­docz­ne są na­głów­ki, struk­tu­ra pro­to­ko­łu i me­ta­da­ne.

Se­cu­ri­ty thro­ugh Ob­scu­ri­ty

  Bez­pie­czeń­stwo przez Ukry­wa­nie — to w in­for­ma­ty­ce na­zwa dla jed­nej z naj­gor­szy­ch prak­tyk pro­jek­to­wy­ch. Je­że­li ar­chi­tek­tu­ra je­st so­lid­na i su­we­ren­na, pu­bli­ku­je się jej spe­cy­fi­ka­cję, gra­ni­ce za­ufa­nia i mo­del za­gro­żeń, by mo­gła zo­stać zwe­ry­fi­ko­wa­na przez nie­za­leż­ny­ch eks­per­tów. Tak ro­bią twór­cy pro­to­ko­łów, któ­re są re­al­nie au­dy­to­wa­ne przez nie­za­leż­ne ze­spo­ły – jak w przy­pad­ku Si­gnal, gdzie za­rów­no pro­to­kół, jak i mo­del za­gro­żeń są pu­blicz­nie opi­sa­ne i we­ry­fi­ko­wa­ne. Je­że­li Mi­ni­ster­stwo Fi­nan­sów mil­czy o ro­li Im­pe­rva/Tha­les i o tym, gdzie do­kład­nie koń­czy się szy­fro­wa­nie, to nie dla­te­go, że nie ma o czym mó­wić, le­cz dla­te­go, że od­po­wie­dź je­st po­li­tycz­nie nie­wy­god­na.

Ju­rys­dyk­cja za­mia­st wła­ma­nia

  W cy­ber­bez­pie­czeń­stwie przyj­mu­je się pro­stą za­sa­dę: każ­dy pod­miot, któ­ry tech­nicz­nie mo­że mieć do­stęp do da­ny­ch lub kon­tro­li ru­chu, na­le­ży trak­to­wać jak pod­miot ma­ją­cy ten do­stęp. Je­że­li in­fra­struk­tu­ra Im­pe­rva/Tha­les ob­słu­gu­je ter­mi­na­cję TLS lub cer­ty­fi­ka­ty brze­go­we dla KSeF, to z punk­tu wi­dze­nia służb pań­stw, pod któ­ry­ch ju­rys­dyk­cją ta fir­ma dzia­ła, do­stęp do da­ny­ch nie wy­ma­ga wła­ma­nia. Wy­star­czy de­cy­zja praw­na wo­bec ope­ra­to­ra bram­ki.

  W re­al­nym świe­cie chmu­ry nie trze­ba się wła­my­wać do ser­we­ra w Pol­sce – wy­star­czy de­cy­zja praw­na wy­da­na wo­bec ope­ra­to­ra WAF w je­go ma­cie­rzy­stej ju­rys­dyk­cji. Tak wła­śnie dzia­ła­ją prze­pi­sy w sty­lu CLO­UD Act w USA czy ana­lo­gicz­ne me­cha­ni­zmy w in­ny­ch pań­stwa­ch. I to je­st sed­no pro­ble­mu.

  Je­że­li mi­ni­ster­stwo twier­dzi, że fran­cu­ski straż­nik je­st śle­py (bo nie ma klu­czy), to przy­zna­je, że sys­tem je­st bez­bron­ny. Je­że­li twier­dzi, że sys­tem je­st bez­piecz­ny (bo WAF dzia­ła), to przy­zna­je, że fran­cu­ski straż­nik wi­dzi wszyst­ko. Wy­bierz­cie sa­mi, któ­ra wer­sja bar­dziej was nie­po­koi.

Przy­kła­dy prak­tycz­ne

  Po­niż­sze przy­kła­dy ma­ją cha­rak­ter czy­sto hi­po­te­tycz­ny. Po­ka­zu­ję, jak mo­gły­by wy­glą­dać re­al­ne kon­se­kwen­cje te­go, gdy­by w prze­szło­ści za­gra­nicz­ne służ­by pań­stwo­we mia­ły do­stęp do te­le­me­trii fak­tu­ro­wej ca­łej pol­skiej go­spo­dar­ki – ta­kiej, ja­ką dziś cen­tra­li­zu­je KSeF.

Przy­pa­dek 1. Air­bus He­li­cop­ters i ze­rwa­ny kon­trakt Ca­ra­cal

  W 2016 ro­ku Pol­ska ze­rwa­ła ne­go­cja­cje z Air­bus He­li­cop­ters do­ty­czą­ce za­ku­pu śmi­głow­ców Ca­ra­cal. De­cy­zja ta wy­wo­ła­ła gwał­tow­ny kry­zys dy­plo­ma­tycz­ny z Fran­cją. Pa­da­ły oskar­że­nia o brak wia­ry­god­no­ści, Fran­cja wstrzy­my­wa­ła kon­tak­ty po­li­tycz­ne, a spra­wa sta­ła się sym­bo­lem kon­flik­tu in­te­re­sów mię­dzy pol­skim pań­stwem a fran­cu­skim prze­my­słem zbro­je­nio­wym.

  Gdy­by w tam­tym cza­sie ist­niał KSeF w obec­nym kształ­cie, a in­fra­struk­tu­ra brze­go­wa sys­te­mu by­ła ob­słu­gi­wa­na przez pod­miot pod­le­ga­ją­cy ju­rys­dyk­cji fran­cu­skiej, stro­na fran­cu­ska nie mu­sia­ła­by znać tre­ści żad­nej fak­tu­ry, aby mieć prze­wa­gę ne­go­cja­cyj­ną. Wy­star­czy­ła­by wie­dza o tym, kie­dy i w ja­kim tem­pie ro­sną kosz­ty pol­ski­ch pod­wy­ko­naw­ców zbro­je­nio­wy­ch, któ­re spół­ki ma­ją pro­ble­my płyn­no­ścio­we, gdzie wy­stę­pu­ją opóź­nie­nia płat­ni­cze oraz któ­re za­kła­dy są wą­skim gar­dłem w łań­cu­chu do­staw woj­ska.

  Ta­ka wie­dza po­zwa­la­ła­by pre­cy­zyj­nie oce­nić, czy Pol­ska ma re­al­ną zdol­no­ść do sa­mo­dziel­ne­go ser­wi­su i utrzy­ma­nia al­ter­na­tyw­ne­go sprzę­tu, czy też w prak­ty­ce bę­dzie zmu­szo­na wró­cić do za­chod­nie­go do­staw­cy – i na ja­ki­ch wa­run­ka­ch. To nie je­st wy­wiad woj­sko­wy. To je­st czy­sta ana­li­za fak­tu­ro­wa prze­my­słu.

Przy­pa­dek 2. Pro­gra­my mor­skie: Miecz­nik i Or­ka

  Fran­cu­skie kon­cer­ny zbro­je­nio­we – w tym Tha­les oraz Na­val Gro­up – od lat są ak­tyw­ny­mi uczest­ni­ka­mi roz­mów i ofert do­ty­czą­cy­ch pol­ski­ch pro­gra­mów mor­ski­ch, ta­ki­ch jak fre­ga­ty Miecz­nik czy okrę­ty pod­wod­ne Or­ka. Są to kon­trak­ty wie­lo­let­nie, obej­mu­ją­ce nie tyl­ko za­kup plat­form, ale też ser­wis, mo­der­ni­za­cje, uzbro­je­nie i elek­tro­ni­kę.

  W hi­po­te­tycz­nym sce­na­riu­szu, w któ­rym stro­na fran­cu­ska mia­ła­by do­stęp do za­gre­go­wa­ny­ch da­ny­ch z KSeF, mo­gła­by bez żad­ne­go wła­ma­nia wie­dzieć, czy pol­ski prze­my­sł stocz­nio­wy i zbro­je­nio­wy je­st w sta­nie udźwi­gnąć of­f­set, czy ro­sną kosz­ty kom­po­nen­tów, kie­dy po­ja­wia­ją się opóź­nie­nia w płat­no­ścia­ch dla pod­wy­ko­naw­ców oraz któ­re fir­my za­czy­na­ją tra­cić płyn­no­ść w klu­czo­wy­ch mo­men­ta­ch re­ali­za­cji pro­gra­mu.

  To do­kład­nie ta wie­dza, któ­ra po­zwa­la w ne­go­cja­cja­ch po­wie­dzieć: al­bo bie­rze­cie na­sz sys­tem, al­bo pro­gram się opóź­ni. Nie dla­te­go, że ktoś ko­goś szan­ta­żu­je. Dla­te­go, że jed­na stro­na zna eko­no­micz­ny puls dru­giej, a dru­ga go nie zna.

Przy­pa­dek 3. Amu­ni­cja i pre­sja cza­su po 2022 ro­ku

  Po 2022 ro­ku Pol­ska gwał­tow­nie zwięk­szy­ła za­mó­wie­nia na amu­ni­cję, ser­wis sprzę­tu i mo­der­ni­za­cję uzbro­je­nia. W ta­kim mo­men­cie klu­czo­we sta­ją się tem­po płat­no­ści, zdol­no­ści pro­duk­cyj­ne i do­stęp­no­ść kom­po­nen­tów. Gdy­by za­gra­nicz­ny pod­miot miał do­stęp do bie­żą­cej te­le­me­trii fak­tu­ro­wej ca­łe­go sek­to­ra obron­ne­go, wi­dział­by w cza­sie rze­czy­wi­stym, kie­dy sys­tem za­czy­na się za­py­chać, gdzie koń­czą się za­pa­sy i któ­re li­nie pro­duk­cyj­ne są prze­cią­żo­ne.

  To je­st wie­dza, któ­ra po­zwa­la usta­wić ce­ny, har­mo­no­gra­my i wa­run­ki kon­trak­tów z chi­rur­gicz­ną pre­cy­zją. I do jej uzy­ska­nia nie po­trze­ba żad­ne­go szpie­go­wa­nia do­ku­men­tów woj­sko­wy­ch. Wy­star­czą fak­tu­ry.

Przy­pa­dek 4. Ry­nek de­ta­licz­ny: Car­re­fo­ur, Bie­dron­ka, Di­no.

  Fran­cu­ska sieć Car­re­fo­ur od lat ma w Pol­sce pro­blem struk­tu­ral­ny. Prze­gry­wa ce­no­wo z por­tu­gal­ską Bie­dron­ka (na­le­żą­cą do Je­ró­ni­mo Mar­tins) oraz z dy­na­micz­nie ro­sną­cym pol­skim Di­no. Skle­py są za­my­ka­ne, for­mat się nie bro­ni, a sieć ba­lan­su­je na gra­ni­cy opła­cal­no­ści.

  Za­łóż­my hi­po­te­tycz­nie, że w tej sy­tu­acji fran­cu­skie służ­by dys­po­nu­ją za­gre­go­wa­ną wie­dzą z KSeF – nie tre­ścią fak­tur, le­cz peł­ną te­le­me­trią han­dlu de­ta­licz­ne­go w Pol­sce: wo­lu­me­na­mi za­ku­pów u do­staw­ców, ryt­mem do­staw, se­zo­no­wo­ścią, zmia­na­mi cen trans­fe­ro­wy­ch, opóź­nie­nia­mi płat­no­ści i re­la­cja­mi po­mię­dzy pro­du­cen­ta­mi żyw­no­ści, lo­gi­sty­ką a sie­cia­mi han­dlo­wy­mi.

  Ta­ka wie­dza po­zwa­la­ła­by zre­kon­stru­ować rze­czy­wi­stą struk­tu­rę kosz­to­wą Bie­dron­ki i Di­no – nie z ra­por­tów rocz­ny­ch, le­cz w cza­sie rze­czy­wi­stym. Moż­na by do­kład­nie zo­ba­czyć:

• kie­dy Bie­dron­ka za­czy­na pod­no­sić ce­ny u do­staw­ców, bo tra­ci mar­żę,
• w któ­ry­ch re­gio­na­ch Di­no je­st naj­bar­dziej wraż­li­we na wzro­st kosz­tów trans­por­tu,
• któ­re pro­duk­ty są li­de­ra­mi strat i kie­dy są sub­sy­dio­wa­ne in­ny­mi ka­te­go­ria­mi,
• w ja­ki­ch mo­men­ta­ch sie­ci są zmu­szo­ne ak­cep­to­wać gor­sze wa­run­ki han­dlo­we.

  Z ta­ką wie­dzą Car­re­fo­ur mógł­by pro­wa­dzić chi­rur­gicz­nie pre­cy­zyj­ną woj­nę ce­no­wą. Nie sze­ro­ką, kosz­tow­ną i ry­zy­kow­ną, le­cz punk­to­wą: do­kład­nie w ty­ch ka­te­go­ria­ch, re­gio­na­ch i okre­sa­ch, w któ­ry­ch kon­ku­ren­cja je­st naj­słab­sza. Mógł­by cza­so­wo zej­ść po­ni­żej kosz­tów tam, gdzie wie, że Bie­dron­ka lub Di­no nie ma­ją już mar­gi­ne­su, by od­po­wie­dzieć. Mógł­by re­ne­go­cjo­wać umo­wy z ty­mi sa­my­mi do­staw­ca­mi, wie­dząc, kto je­st pod ścia­ną, a kto nie.

  To nie je­st teo­ria spi­sko­wa. To je­st asy­me­tria in­for­ma­cyj­na. Fir­ma, któ­ra zna rytm fak­tur ca­łe­go ryn­ku, nie mu­si zga­dy­wać stra­te­gii kon­ku­ren­cji – ona ją wi­dzi. A kon­ku­ren­ci, któ­rzy tej wie­dzy nie ma­ją, re­agu­ją z opóź­nie­niem, czę­sto za póź­no.

  W ta­kim hi­po­te­tycz­nym sce­na­riu­szu Car­re­fo­ur nie po­trze­bo­wał­by żad­ny­ch taj­ny­ch da­ny­ch ani szpie­go­wa­nia do­ku­men­tów. Wy­star­czy­ło­by, że życz­li­we mu służ­by trzy­ma­ją klu­cze do bram­ki, przez któ­rą prze­cho­dzi ca­ły stru­mień da­ny­ch han­dlo­wy­ch w Pol­sce, i uzna­ły­by, że war­to tę wie­dzę wy­ko­rzy­stać, by od­bu­do­wać po­zy­cję wła­snej sie­ci kosz­tem kon­ku­ren­tów.

Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65

PS. Poprzednie części:

• Czę­ść I. KSeF nie po­sze­rza in­wi­gi­la­cji. KSeF zwięk­sza roz­dziel­czo­ść.
• Czę­ść II. Prak­ty­ka KSeF: Hurt­Pol kon­tra Ko­wal­ski i Sy­no­wie.
• Czę­ść III. Ad­mi­ni­stra­tor KSeF. Czy­li gdzie na­praw­dę le­ży wła­dza.
• Czę­ść IV. Tech­no­lo­gia KSeF – su­we­ren­no­ść koń­czy się tam, gdzie koń­czy się ka­bel!
• Część V. Część V. KSeF i ciągłość decyzji. Imperva, czyli suwerenność sprzedana na raty!