Audyt Techniczny KSeF. Imperva.

Au­dyt sie­cio­wy pro­wa­dzi do jed­ne­go wnio­sku tech­nicz­ne­go: brzeg ko­mu­ni­ka­cji sys­te­mu po­dat­ko­we­go Pol­ski znaj­du­je się po­za bez­po­śred­nią kon­tro­lą pań­stwa. Z czy­sto tech­nicz­ne­go punk­tu wi­dze­nia metadane pol­ski­ch fak­tur są do­stęp­ne dla wy­wia­du ame­ry­kań­skie­go i fran­cu­skie­go. Ale co cie­ka­we być mo­że też dla izra­el­skie­go! 

Streszczenie wykonawcze

  Niniejszy audyt techniczny weryfikuje architekturę bezpieczeństwa polskiego systemu KSeF (Krajowy System e-Faktur) w zakresie routingu sieciowego oraz terminacji połączeń szyfrowanych (TLS). Wszystkie testy są powtarzalne i mogą być zweryfikowane przez każdą osobę posiadającą podstawową wiedzę techniczną.

Główne ustalenia:

• Ruch do KSeF przechodzi przez zagraniczną infrastrukturę Imperva (Thales Group)
• Połączenia TLS są terminowane (odszyfrowywane) przez Imperva przed przekazaniem do serwerów MF
• Imperva ma techniczną zdolność wglądu w metadane wszystkich faktur wystawianych w Polsce, co ma bardzo duże znaczenie wywiadowcze.

Główne tezy audytu

1. Ruch do KSeF przechodzi przez Imperva (Thales Group, USA/FR).

• Dowód: DNS CNAME, IP, nagłówek X-CDN

2. Imperva terminuje TLS i odszyfrowuje ruch.

• Dowód: Test różnicowy z nagłówkiem Host: (Test 2.1)

3. Imperva ma techniczną zdolność odczytu metadanych wszystkich faktur.

• Konsekwencja: Terminacja TLS.

4. Architektura nie spełnia standardów suwerenności cyfrowej.

• Ocena: Krytyczny system fiskalny zależny od zagranicznej infrastruktury

Weryfikowalność

  Każdy może powtórzyć te testy. Wymagane narzędzia (bezpłatne):

• PowerShell (Windows)
• curl (Windows/Linux/Mac)
• nslookup lub Resolve-DnsName

  Wszystkie polecenia podane w audycie są powtarzalne i weryfikowalne. Oto cały audyt: 

• Audyt techniczny KSeF. Paport Pełny

Imperva

  Napisałem 6 części dotyczących polskiego KSeF, pokazujących, że to jest bardzo gruba afera pozwalająca obalić rząd Tuska:

• Część I. KSeF nie poszerza inwigilacji. KSeF zwiększa rozdzielczość.
• Część II. Praktyka KSeF: HurtPol kontra Kowalski i Synowie.
• Część III. Administrator KSeF. Czyli gdzie naprawdę leży władza.
• Część IV. Technologia KSeF – suwerenność kończy się tam, gdzie kończy się kabel!
• Część V. KSeF i ciągłość decyzji. Imperva, czyli suwerenność sprzedana na raty!
• Część VI. KSeF - wyjaśnienie techniczne i praktyczne przykłady

  Firma Imperva ma pełny wgląd w polską gospodarkę, widzi wszystkie polskie faktury poprzez system KSeF. Ale co to jest za firma?

  Shlomo Kramer jest współzałożycielem firmy Imperva w 2002 roku wraz z Mickeyem Boodaei i Amichaiem Shulmanem. Przed założeniem firmy odbył służbę wojskową w izraelskich siłach obronnych IDF, konkretnie w elitarnej jednostce wywiadowczej Unit 8200. To właśnie tam rozwijał swoje umiejętności w zakresie cyberbezpieczeństwa, zanim w 1993 roku założył pierwszą firmę Check Point Software.

  Imperva została sprzedana francuskiemu koncernowi technologicznemu Thales. Transakcja przebiegała dwuetapowo: w 2018 roku amerykańska firma private equity Thoma Bravo kupiła Impervę za 2,1 mld dolarów, a następnie w 2023 roku Thales nabył ją od Thoma Bravo za około 3,6 mld dolarów. Thales sfinalizował przejęcie w grudniu 2023 roku, wcześniej niż pierwotnie planowano.

  Po przejęciu przez Thales, Imperva nadal utrzymuje znaczące ośrodki badawczo-rozwojowe. Centrum R&D w Izraelu zatrudnia około 500 pracowników i planowano jego dalszy rozwój po zakończeniu akwizycji. Dodatkowo w Indiach działalność Impervy wniosła do Thales około 100 pracowników specjalizujących się w rozwoju oprogramowania. Thales zadeklarował inwestycje w wysokości 4 miliardów euro rocznie w badania i rozwój, zobowiązując się do wspierania klientów Impervy i rozwijania jej rozwiązań poprzez przyspieszone innowacje.

Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65

Tagi: gps65, KSeF, Imperva.