Część VII. Jakie metadane widzi Imperva?

Wia­do­mo, że Mi­ni­ster­stwo Fi­nan­sów w API 2.0 sys­te­mu KSeF wdro­ży­ło peł­ne szy­fro­wa­nie apli­ka­cyj­ne end-to-end (E2E), a więc tre­ść fak­tur w KSeF je­st nie­czy­tel­na dla po­śred­ni­ka. Wia­do­mo, że Im­pe­rva, sie­dzą­ca na brze­gu ja­ko WAF, ter­mi­nu­je szy­fro­wa­nie TSL, ale nie wia­do­mo czy ma klu­cze do od­szy­fro­wa­nia apli­ka­cyj­ne­go E2E, więc mo­że nie wi­dzieć po­zy­cji to­wa­ro­wy­ch, cen, na­byw­cy, nu­me­rów kont czy za­łącz­ni­ków na fak­tu­rze. Mo­że nie mieć wglą­du w pay­lo­ad sen­su stric­to. Te­go nie wia­do­mo, żad­ne oświad­cze­nie czy ofi­cjal­ne ko­mu­ni­ka­ty te­go nie roz­strzy­ga­ją.

  Za­łóż­my na ra­zie, że Im­pe­rva nie wi­dzi tre­ści fak­tur, że nie ma klu­czy E2E do ich od­szy­fro­wa­nia. Wi­dzi tyl­ko me­ta­da­ne po od­szy­fro­wa­niu TSL. Zba­daj­my te­go im­pli­ka­cje.

  Mo­je au­dy­ty tech­nicz­ne wy­ka­za­ły nie­zbi­cie, że Im­pe­rva ter­mi­nu­je TLS, więc wi­dzi me­ta­da­ne. Wi­dzi war­stwę HTTP, wi­dzi pa­ra­me­try trans­por­tu, wi­dzi rytm ru­chu, wi­dzi błę­dy i cza­sy, wi­dzi roz­mia­ry i od­ci­ski klien­ta. Tre­ść je­st za­szy­fro­wa­na, ale jej cień je­st ogrom­ny. A cień tre­ści, ze­bra­ny ma­so­wo, sta­je się tre­ścią na po­zio­mie sta­ty­sty­ki, ko­re­la­cji i gra­fów.

  WAF na brze­gu nie mu­si ro­zu­mieć fak­tu­ry, że­by ro­zu­mieć użyt­kow­ni­ka, fir­mę, bran­żę i tem­po ob­ro­tu. Wy­star­czą mu me­ta­da­ne. Po­ni­żej li­sta te­go, co wi­dzi Im­pe­rva. Tam, gdzie coś za­le­ży od spe­cy­fi­ka­cji end­po­in­tów KSeF al­bo od te­go, czy MF uży­wa mTLS, pi­szę to wpro­st.

Ad­re­sy, po­cho­dze­nie, geo­gra­fia

  1. Im­pe­rva wi­dzi ad­res IP nadaw­cy. Wi­dzi, z ja­kiej sie­ci idzie ru­ch, a więc w prak­ty­ce wi­dzi re­gion, ope­ra­to­ra, typ łą­cza, cza­sem na­wet or­ga­ni­za­cję, je­śli mó­wi­my o sta­ły­ch ad­re­sa­ch kor­po­ra­cyj­ny­ch lub o chmu­ra­ch. Wi­dzi też, czy ru­ch idzie z biu­ra ra­chun­ko­we­go, z cen­trum da­ny­ch, z ho­stin­gu, z urzą­dze­nia mo­bil­ne­go, czy z wiel­kiej plat­for­my Sa­aS ob­słu­gu­ją­cej set­ki klien­tów.

  Z IP ro­bi się geo­lo­ka­li­za­cję. Nie ide­al­ną, ale wy­star­cza­ją­cą, że­by bu­do­wać ma­py ak­tyw­no­ści fak­tu­ro­wa­nia w cza­sie rze­czy­wi­stym. W Pol­sce to je­st ter­mo­me­tr go­spo­dar­ki, war­stwa po war­stwie, re­gion po re­gio­nie.

War­stwa HTTP: na­głów­ki, ścież­ki, pa­ra­me­try

  2. Im­pe­rva wi­dzi na­głów­ki HTTP. W prak­ty­ce ozna­cza to wi­docz­no­ść ta­ki­ch rze­czy jak User-Agent, Con­tent-Ty­pe, Con­tent-Leng­th, Ac­cept, Au­tho­ri­za­tion, co­okie i wszel­kie na­głów­ki spe­cy­ficz­ne dla im­ple­men­ta­cji klien­ta oraz in­te­gra­to­ra.

  User-Agent czę­sto zdra­dza sys­tem ope­ra­cyj­ny i bi­blio­te­kę klien­ta, a cza­sem wrę­cz na­zwę pro­duk­tu ERP i je­go wer­sję. Je­śli ktoś są­dzi, że to nic, to nie­ch so­bie wy­obra­zi li­stę firm w kra­ju po­gru­po­wa­ną we­dług te­go, czy sto­ją na no­wo­cze­snym ERP, czy na sta­ro­cia­ch, czy na wła­sny­ch skryp­ta­ch, czy na usłu­ga­ch biu­ra ra­chun­ko­we­go. To je­st ma­pa do­bo­ru ce­lów dla ata­ków i ma­pa ryn­ku dla do­staw­ców IT.

  3. Im­pe­rva wi­dzi ścież­ki end­po­in­tów, me­to­dę żą­da­nia i qu­ery string. Na­wet je­śli tre­ść je­st za­szy­fro­wa­na, sa­ma ścież­ka mó­wi, czy to je­st wy­sył­ka fak­tu­ry, za­py­ta­nie o sta­tus, po­bie­ra­nie li­sty, po­bie­ra­nie do­ku­men­tów, od­świe­ża­nie se­sji, au­to­ry­za­cja i tak da­lej. WAF z de­fi­ni­cji mu­si to wi­dzieć, bo na tym ro­bi re­gu­ły bez­pie­czeń­stwa, li­mi­ty, blo­ka­dy, wy­kry­wa­nie ano­ma­lii.

  W wie­lu sys­te­ma­ch API iden­ty­fi­ka­tor pod­mio­tu, na przy­kład NIP, by­wa czę­ścią URI al­bo jaw­ne­go na­głów­ka. Je­śli tak je­st w KSeF dla istot­nej czę­ści ope­ra­cji, Im­pe­rva ma wte­dy ba­nal­ny me­cha­ni­zm przy­pi­sa­nia ak­tyw­no­ści do kon­kret­ny­ch firm. Je­że­li KSeF trzy­ma iden­ty­fi­ka­cję wy­łącz­nie w to­ke­nie, a NIP nie po­ja­wia się jaw­nie w ścież­ce, to wciąż Im­pe­rva wi­dzi to­ken i wciąż mo­że pro­fi­lo­wać se­sję, choć ma­po­wa­nie do NIP wy­ma­ga­ło­by do­dat­ko­we­go ele­men­tu. Nie za­kła­dam na wia­rę. Stwier­dzam tech­nicz­ny fakt: to za­le­ży od spe­cy­fi­ka­cji end­po­in­tów.

To­ke­ny, se­sje i cy­kl ży­cia po­łą­cze­nia

  4. Im­pe­rva wi­dzi to­ke­ny au­to­ry­za­cyj­ne, je­śli są w au­tho­ri­za­tion al­bo w co­okie. Nie wi­dzi ich zna­cze­nia, ale wi­dzi ich war­to­ść, dłu­go­ść, for­mat, czę­sto­tli­wo­ść od­świe­ża­nia, mo­men­ty wy­ga­śnięć, a więc ca­ły cy­kl ży­cia se­sji. Wi­dzia­ne ma­so­wo da­je to ob­raz sta­bil­no­ści in­te­gra­cji, ja­ko­ści im­ple­men­ta­cji i te­go, kto wal­czy z sys­te­mem, a kto ma to do­pię­te.

  5. Im­pe­rva wi­dzi, czy klient uży­wa ke­ep-ali­ve i jak za­rzą­dza po­łą­cze­nia­mi. Czy otwie­ra no­we po­łą­cze­nie na każ­dą fak­tu­rę, czy utrzy­mu­je se­sję i wy­sy­ła se­ria­mi. Czy ro­bi rów­no­le­głe żą­da­nia. Czy po­tra­fi efek­tyw­nie użyć HTTP/2, czy tkwi w HTTP/1.1. To są de­ta­le, któ­re w ska­li kra­ju sta­ją się peł­ną ty­po­lo­gią doj­rza­ło­ści tech­no­lo­gicz­nej przed­się­bior­stw.

Fin­ger­prin­ting: od­ci­sk pal­ca bez tre­ści

  6. Im­pe­rva mo­że ro­bić fin­ger­prin­ting klien­ta. Każ­dy stos TLS, każ­da bi­blio­te­ka HTTP, każ­de śro­do­wi­sko uru­cho­mie­nio­we, zo­sta­wia spe­cy­ficz­ną sy­gna­tu­rę. Ze­staw wspie­ra­ny­ch szy­frów, roz­sze­rzeń TLS, ko­lej­no­ść na­głów­ków, do­myśl­ne war­to­ści, rytm pa­kie­tów, pa­ra­me­try hand­sha­ke. Z te­go skła­da się od­ci­sk pal­ca, któ­ry czę­sto je­st sta­bil­niej­szy niż IP.

  To ma zna­cze­nie fun­da­men­tal­ne. Z fin­ger­prin­tin­gu wy­ni­ka moż­li­wo­ść roz­po­zna­nia, że to ten sam klient, mi­mo zmia­ny ad­re­su IP, mi­mo VPN, mi­mo NAT. Wy­ni­ka moż­li­wo­ść roz­róż­nie­nia, czy fak­tu­ry idą z pro­fe­sjo­nal­ne­go mo­du­łu ERP, czy z ręcz­nie skle­co­ne­go skryp­tu. Wy­ni­ka moż­li­wo­ść wy­kry­cia mi­gra­cji, gdy fir­ma zmie­nia sys­tem, bo na­gle zmie­nia się jej sy­gna­tu­ra ru­chu.

Czas i rytm: mi­li­se­kun­dy mó­wią wię­cej niż zda­nia

  7. Im­pe­rva wi­dzi do­kład­ne cza­sy ope­ra­cji. Wi­dzi, kie­dy żą­da­nie przy­szło, kie­dy zo­sta­ło prze­ka­za­ne, kie­dy wró­ci­ła od­po­wie­dź. Wi­dzia­ne w dłu­gim okre­sie da­je to rytm do­bo­wy, ty­go­dnio­wy, mie­sięcz­ny. Wi­dzia­ne w krót­kim okre­sie da­je ko­re­la­cje. Wi­dzia­ne ma­so­wo da­je ce­chę go­spo­dar­ki, któ­ra wcze­śniej by­ła nie do uchwy­ce­nia: cy­fro­wy puls trans­ak­cji.

  8. Im­pe­rva wi­dzi wzor­ce re­try. Je­śli klient wy­sy­ła, do­sta­je błąd, pró­bu­je po­now­nie, pró­bu­je trze­ci raz. WAF to wi­dzi. Wi­dzia­ne ma­so­wo da­je ob­raz, któ­re in­te­gra­cje są kru­che, któ­re sys­te­my ro­bią głu­po­ty, któ­re fir­my ma­ją chro­nicz­ne pro­ble­my, a któ­re dzia­ła­ją jak ze­ga­rek. Da­je też ob­raz te­go, jak czę­sto sys­tem MF je­st w sta­nie gra­nicz­nym, sko­ro klien­ci ma­so­wo po­na­wia­ją.

Roz­mia­ry, roz­kła­dy, wy­cie­ki dłu­go­ści

  9. Im­pe­rva wi­dzi roz­mia­ry żą­dań i od­po­wie­dzi. Con­tent-Leng­th to me­ta­da­na, któ­ra je­st war­ta wię­cej niż po­ło­wa ko­men­ta­rzy pu­bli­cy­stycz­ny­ch, bo ona da­je moż­li­wo­ść kla­sy­fi­ka­cji. Nie trze­ba czy­tać fak­tu­ry, że­by wie­dzieć, że jed­na je­st pro­sta, a dru­ga je­st po­two­rem na dzie­sięć ty­się­cy po­zy­cji. Nie trze­ba czy­tać fak­tu­ry, że­by wy­kryć ma­so­we wy­sył­ki bat­chy.

  Tu po­ja­wia się rze­cz, któ­rą wie­lu lu­dzi my­li. To nie je­st "pad­ding orac­le" w sen­sie aka­de­mic­kiej po­dat­no­ści. To je­st zwy­kły wy­ciek dłu­go­ści i kon­se­kwen­cja te­go, że ci­pher­te­xt ma roz­miar zwią­za­ny z pla­in­te­xtem. Je­śli nie ma­sku­je­sz dłu­go­ści przez sta­łe ram­ki i do­pchnię­cia, to dłu­go­ść sa­ma w so­bie je­st in­for­ma­cją. A in­for­ma­cja o dłu­go­ści w ska­li kra­ju je­st in­for­ma­cją o struk­tu­rze ob­ro­tu.

  Do­dat­ko­wo kom­pre­sja pa­ra­dok­sal­nie po­ma­ga w ana­li­zie. Pli­ki o wy­so­kiej en­tro­pii (bar­dzo zróż­ni­co­wa­ne da­ne) kom­pre­su­ją się ina­czej niż po­wta­rzal­ne sche­ma­ty. Ope­ra­tor WAF mo­że na pod­sta­wie stop­nia kom­pre­sji za­szy­fro­wa­ne­go blo­ku sza­co­wać, jak bar­dzo zło­żo­na je­st fak­tu­ra w środ­ku.

  10. Waż­niej­szy od po­je­dyn­cze­go roz­mia­ru je­st roz­kład roz­mia­rów. Sta­bil­no­ść, wa­rian­cja, per­cen­ty­le, sko­ki. Fir­ma o prze­wi­dy­wal­nej sprze­da­ży ma prze­wi­dy­wal­ny roz­kład. Fir­ma ro­bią­ca nie­stan­dar­do­we ak­cje ma ano­ma­lie. Te­go nie wy­czy­ta­sz z jed­nej fak­tu­ry. To wi­dzi­sz do­pie­ro z me­ta­da­ny­ch zbie­ra­ny­ch cen­tral­nie.

Od­po­wie­dzi, błę­dy, zdro­wie sys­te­mu

  11. Im­pe­rva wi­dzi ko­dy od­po­wie­dzi i błę­dy. Wi­dzi, któ­re fir­my do­sta­ją 401, któ­re 403, któ­re 400, któ­re 429. Wi­dzi fa­lę błę­dów po ak­tu­ali­za­cji ja­kie­goś ERP, bo na­gle okre­ślo­ny fin­ger­print klien­ta ge­ne­ru­je błę­dy ma­so­wo. Wi­dzi awa­rie bac­ken­du MF, bo ro­śnie czas od­po­wie­dzi i ro­śnie od­se­tek er­ro­rów.

  WAF na brze­gu by­wa pierw­szym miej­scem, gdzie wi­dać praw­dę o sys­te­mie. Za­nim MF w ogó­le zbie­rze swo­je lo­gi, za­nim ktoś to zin­ter­pre­tu­je, brzeg już ma me­try­ki. I dla­te­go w każ­dym spo­rze o su­we­ren­no­ść tech­no­lo­gicz­ną na­le­ży za­dać bru­tal­nie pro­ste py­ta­nie: kto stoi na brze­gu i ko­mu ta praw­da o sys­te­mie je­st do­stęp­na.

TLS, SNI, pro­to­ko­ły, wer­sje

  12. Im­pe­rva wi­dzi pa­ra­me­try TLS, w tym SNI, wer­sję TLS, ne­go­cjo­wa­ny pro­to­kół, ze­sta­wy szy­frów, roz­sze­rze­nia. To je­st źró­dło fin­ger­prin­tin­gu i źró­dło ma­py no­wo­cze­sno­ści klien­tów. Wi­dzi, kto wspie­ra TLS 1.3, a kto nie. Wi­dzi, kto na­gle się cof­nął, bo w fir­mie coś pę­kło i ktoś usta­wił bi­blio­te­kę na sta­re try­by.

  13. Im­pe­rva wi­dzi, czy klient je­dzie po HTTP/2, czy po HTTP/1.1, a je­śli in­fra­struk­tu­ra wspie­ra HTTP/3, to i to. W ska­li kra­ju to je­st sta­ty­sty­ka mo­der­ni­za­cji, i to je­st sta­ty­sty­ka, któ­ra w po­łą­cze­niu z iden­ty­fi­ka­cją firm two­rzy ma­pę, kto je­st cy­fro­wo mięk­ki.

Cer­ty­fi­ka­ty klien­ta i mTLS

  14. Je­śli KSeF uży­wa mu­tu­al TLS, czy­li cer­ty­fi­ka­tu klien­ta na po­zio­mie hand­sha­ke, to Im­pe­rva wi­dzi me­ta­da­ne te­go cer­ty­fi­ka­tu. Wi­dzia­ła­by wy­staw­cę, nu­mer se­ryj­ny, da­ty waż­no­ści, sub­ject. To je­st po­ten­cjal­nie iden­ty­fi­ka­cja oso­by lub or­ga­ni­za­cji na po­zio­mie war­stwy trans­por­tu. Je­śli KSeF nie uży­wa mTLS i au­to­ry­za­cja je­st to­ke­no­wa, ten punkt od­pa­da.

Ko­per­ta szy­fro­wa­nia i struk­tu­ra pay­lo­adu

  15. Za­leż­nie od te­go, jak wy­glą­da ko­per­ta szy­fro­wa­nia apli­ka­cyj­ne­go, Im­pe­rva mo­że wi­dzieć jaw­ne ele­men­ty struk­tu­ry, ta­kie jak ta­gi ze­wnętrz­ne, iden­ty­fi­ka­to­ry al­go­ryt­mów, dłu­go­ści klu­czy, obec­no­ść pod­pi­sów, IV, za­szy­fro­wa­ne­go klu­cza sy­me­trycz­ne­go. Je­śli to je­st stan­dar­do­wa ko­per­ta XML En­cryp­tion, to nie je­st tre­ść fak­tu­ry, ale je­st to nie­pu­sta in­for­ma­cja. Je­śli to je­st blob w jed­nym po­lu, to in­for­ma­cji je­st mniej, ale roz­mia­ry i tak zo­sta­ją.

  16. Na­wet je­śli MF uży­je stan­dar­du XA­dES (pod­pis elek­tro­nicz­ny), to nie­któ­re je­go wa­rian­ty za­wie­ra­ją nie­za­szy­fro­wa­ne cer­ty­fi­ka­ty i znacz­ni­ki cza­su, co je­st ko­lej­ną ko­pal­nią me­ta­da­ny­ch wi­docz­ną dla WAF-a.

Co z te­go wy­ni­ka?

  1. Ope­ra­tor brze­gu ma wie­dzę o tym, kie­dy i jak in­ten­syw­nie go­spo­dar­ka od­dy­cha. To je­st wskaź­nik ak­tyw­no­ści w cza­sie rze­czy­wi­stym. Za­nim po­wsta­nie sta­ty­sty­ka, za­nim ktoś wy­śle ra­port, za­nim GUS coś po­li­czy, brzeg już wi­dzi skok lub spa­dek ak­tyw­no­ści. Wi­dzi pi­ki koń­ca mie­sią­ca, wi­dzi zmia­ny se­zo­no­we, wi­dzi nie­ty­po­we ci­sze.

  2. Z me­ta­da­ny­ch da się zro­bić in­deks ko­niunk­tu­ry szyb­szy niż kla­sycz­ne wskaź­ni­ki. Zli­cza­sz Sen­dI­nvo­ice i po­dob­ne ope­ra­cje, wa­ży­sz bran­ża­mi, re­gio­na­mi, kla­sa­mi klien­tów, bie­rze­sz roz­kła­dy roz­mia­rów i ma­sz sy­gnał. Nie ide­al­ny, ale w re­al­nym świe­cie prze­wa­ga in­for­ma­cyj­na rzad­ko je­st ide­al­na. Wy­star­czy, że je­st wcze­śniej­sza.

  3. User-Agent i fin­ger­prin­ting da­ją ma­pę uży­wa­ne­go opro­gra­mo­wa­nia i je­go doj­rza­ło­ści. Da­ją udział w ryn­ku do­staw­ców ERP. Da­ją iden­ty­fi­ka­cję hu­bów, czy­li biur ra­chun­ko­wy­ch i plat­form Sa­aS, któ­re są wę­zła­mi dla se­tek firm. Da­ją ob­raz, kto out­so­ur­cu­je, kto ma wła­sną in­te­gra­cję, kto je­st tech­no­lo­gicz­nie na gli­nia­ny­ch no­ga­ch.

  4. Je­śli wie­sz, kto uży­wa prze­sta­rza­ły­ch bi­blio­tek i sta­ry­ch sto­sów, wie­sz, kto je­st mięk­ki. Je­śli wie­sz, kto ma chro­nicz­ne błę­dy au­to­ry­za­cji, wie­sz, kto ma ba­ła­gan w pro­ce­sa­ch. Je­śli wie­sz, kto wy­sy­ła fak­tu­ry z nie­ty­po­wy­ch miej­sc i o nie­ty­po­wy­ch po­ra­ch, ma­sz ma­te­riał do ano­ma­lii. To moż­na użyć do obro­ny, ale moż­na też użyć do ata­ku. To je­st neu­tral­ne na­rzę­dzie, któ­re sta­je się nie­bez­piecz­ne w za­leż­no­ści od te­go, kto trzy­ma rę­kę na dźwi­gni.

  5. WAF wi­dzi la­ten­cje i de­gra­da­cję. WAF wi­dzi, jak bac­kend re­agu­je na róż­ne kla­sy ob­cią­że­nia. WAF wi­dzi ma­so­we fa­le błę­dów po zmia­na­ch po stro­nie MF. WAF wi­dzi, kie­dy sys­tem je­st na gra­ni­cy. To je­st wie­dza o wą­ski­ch gar­dła­ch pań­stwo­wej in­fra­struk­tu­ry.

  6. Z ko­re­la­cji cza­so­wy­ch i se­kwen­cji ope­ra­cji moż­na bu­do­wać pro­ba­bi­li­stycz­ny graf re­la­cji mię­dzy pod­mio­ta­mi. Nie de­ter­mi­ni­stycz­ny, nie na 100%, nie ma­gicz­ny. Pro­ba­bi­li­stycz­ny, ale w ska­li kra­ju i w ska­li mie­się­cy ta­kie gra­fy za­czy­na­ją mieć ostro­ść. Je­śli pod­miot A wy­sy­ła, a chwi­lę póź­niej pod­miot B po­bie­ra, je­śli to się po­wta­rza, je­śli za­cho­wa­nie je­st sta­bil­ne, je­śli do­cho­dzą roz­mia­ry i rytm, to z me­ta­da­ny­ch za­czy­na się wy­ła­niać struk­tu­ra łań­cu­chów do­staw. Nie tre­ść fak­tur. Re­la­cje.

  7. Je­śli ma­sz szyb­ki sy­gnał o spad­ku ak­tyw­no­ści fak­tu­ro­wa­nia w ja­kiejś bran­ży al­bo na­wet w kon­kret­nej spół­ce, to ma­sz ma­te­riał, któ­ry mo­że być uży­ty do spe­ku­la­cji, do ana­li­zy ry­zy­ka, do prze­wi­dy­wa­nia wy­ni­ków. W nor­mal­nym świe­cie ta­kie da­ne są ku­po­wa­ne. Tu by­ły­by da­ne ubocz­ne z in­fra­struk­tu­ry.

  8. Je­śli fir­ma X za­wsze wy­sy­ła fak­tu­ry we wtor­ki o 10:00, a na­gle wy­sy­ła gi­gan­tycz­ną pacz­kę w nie­dzie­lę o 2:00 w no­cy, to WAF o tym wie. To nie tyl­ko ano­ma­lia bez­pie­czeń­stwa, to in­for­ma­cja o fu­zja­ch, prze­ję­cia­ch lub pro­ble­ma­ch z płyn­no­ścią.

  Kla­sycz­na sztucz­ka obron­na Mi­ni­ster­stwa Fi­nan­sów brz­mi: Im­pe­rva nie wi­dzi tre­ści fak­tur, więc nie ma pro­ble­mu. To je­st dys­ku­sja o in­nym obiek­cie. Pro­ble­mem nie mu­si być tre­ść. Pro­ble­mem mo­że być me­ta­po­ziom, czy­li to, co dla ana­li­ty­ka je­st cen­niej­sze niż jed­na fak­tu­ra. Jed­na fak­tu­ra je­st in­for­ma­cją lo­kal­ną. Me­ta­da­ne wszyst­ki­ch fak­tur w kra­ju to je­st in­for­ma­cja stra­te­gicz­na.

  Pań­stwo, któ­re od­da­je brzeg ko­mu­ni­ka­cji go­spo­dar­cze­go sys­te­mu fak­tu­ro­wa­nia ze­wnętrz­ne­mu ope­ra­to­ro­wi, od­da­je ze­wnętrz­ne­mu ope­ra­to­ro­wi me­ta­da­no­wą kon­tro­lę nad ru­chem. Tre­ść moż­na scho­wać w E2E. Me­ta­da­ny­ch scho­wać się nie da, bo sys­tem bez me­ta­da­ny­ch nie dzia­ła.

  Moż­na dys­ku­to­wać, czy ktoś te­go nad­uży­je. Moż­na spie­rać się o in­ten­cje. Ale ar­chi­tek­tu­ra je­st jak pra­wo fi­zy­ki. Je­śli ist­nie­je moż­li­wo­ść tech­nicz­na, to w świe­cie re­al­nym ist­nie­je też ry­zy­ko wy­ko­rzy­sta­nia. Cza­sem przez ry­nek, cza­sem przez służ­by, cza­sem przez wy­cie­ki, cza­sem przez błę­dy ludz­kie, cza­sem przez zwy­kłą po­ku­sę, bo da­ne są war­te du­ży­ch pie­nię­dzy.

  W KSeF nie cho­dzi więc wy­łącz­nie o to, czy ktoś czy­ta fak­tu­ry. Cho­dzi o to, kto sły­szy szum krwi w ży­ła­ch go­spo­dar­ki. Bo kto to sły­szy, ten wcze­śniej wie wię­cej. A kto wie wcze­śniej, ten ma wła­dzę, na­wet je­śli nie do­ty­ka tre­ści. Więc wszyst­kie przy­kła­dy firm zbro­je­nio­wy­ch, któ­re opi­sa­łem w po­przed­niej czę­ści, po­zo­sta­ją w mo­cy.

  Jed­nak naj­gor­sze w ca­łej tej spra­wie z KSeF je­st to, że Mi­ni­ster­stwo Fi­nan­sów ukry­wa to, że fir­ma Im­pe­rva re­ali­zu­je usłu­gę WAF. W sys­te­mie e-Za­mó­wie­nia ani w BIP CIRF nie ma żad­ne­go prze­tar­gu ani umo­wy do­ty­czą­cej Im­pe­rvy. Nie ist­nie­ją pu­blicz­nie do­stęp­ne do­ku­men­ty do­ty­czą­ce wa­run­ków współ­pra­cy z Im­pe­rvą, za­kre­su do­stę­pu do da­ny­ch, czy za­bez­pie­czeń umow­ny­ch.

  Mi­ni­ster­stwo Fi­nan­sów nie pu­bli­ku­je umo­wy z Im­pe­rvą, nie in­for­mo­wa­ło ofi­cjal­nie o jej ro­li w KSeF, a w ko­mu­ni­ka­ta­ch uży­wa wy­łącz­nie ogól­ny­ch okre­śleń ty­pu "sys­te­my bez­pie­czeń­stwa" czy "ope­ra­tor usług bez­pie­czeń­stwa", świa­do­mie uni­ka­jąc kon­kret­nej na­zwy do­staw­cy i tech­nicz­ny­ch szcze­gó­łów ar­chi­tek­tu­ry. In­for­ma­cja o Im­pe­rvie wy­szła od dzien­ni­ka­rzy oraz z nie­za­leż­ny­ch au­dy­tów tech­nicz­ny­ch, a nie z trans­pa­rent­nej ko­mu­ni­ka­cji re­sor­tu. Ja to od­kry­łem ja­ko je­den z pierw­szy­ch informatyków i blogerów. Już sa­mo to, że Imperva jest ukrywana, za­słu­gu­je na dy­mi­sję Tu­ska.

  Tu są audyty, na podstawie których napisałem to, co powyżej: Nauka i Technologie

Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65

PS. Poprzednie części:

• Czę­ść I. KSeF nie po­sze­rza in­wi­gi­la­cji. KSeF zwięk­sza roz­dziel­czo­ść.
• Czę­ść II. Prak­ty­ka KSeF: Hurt­Pol kon­tra Ko­wal­ski i Sy­no­wie.
• Czę­ść III. Ad­mi­ni­stra­tor KSeF. Czy­li gdzie na­praw­dę le­ży wła­dza.
• Czę­ść IV. Tech­no­lo­gia KSeF – su­we­ren­no­ść koń­czy się tam, gdzie koń­czy się ka­bel!
• Część V. Część V. KSeF i ciągłość decyzji. Imperva, czyli suwerenność sprzedana na raty!
• Część VI. Część VI. KSeF - wyjaśnienie techniczne i praktyczne przykłady

Tagi: gps65, KSeF, Imperva