Tekst ten tłumaczy prostym językiem technicznym spór o bezpieczeństwo Krajowego Systemu e-Faktur.
Co to jest KSeF?
KSeF to rządowy system, przez który od 2026 roku firmy w Polsce muszą wystawiać faktury. Zamiast wysyłać PDF-a mailem, firma wysyła fakturę do systemu Ministerstwa Finansów, a odbiorca może sobie ją pobrać z serwerów tego ministerstwa.
Żeby ten system w ogóle działał w Internecie, ktoś musi pilnować bramy do systemu — sprawdzać ruch sieciowy, blokować ataki, filtrować podejrzane zapytania. Tę funkcję pełni amerykańska firma Imperva, która należy do francuskiego koncernu zbrojeniowo-wywiadowczego Thales. Fachowo taki strażnik bramy nazywa się WAF (Web Application Firewall) — to jak ochroniarz na wejściu do budynku, przez którego musi przejść każda paczka, zanim trafi do środka.
Zamknięta paczka i jawna etykieta
Ministerstwo Finansów uspokaja: „Imperva nie widzi treści Twoich faktur, bo klucze do ich odszyfrowania ma tylko KSeF”. To zdanie jest prawdziwe, ale daje fałszywe poczucie bezpieczeństwa.
Wyobraź sobie, że wysyłasz zamkniętą paczkę kurierem. Kurier rzeczywiście nie może zajrzeć do środka — paczka jest zaklejona i zaplombowana. Jednak na paczce jest etykieta, którą kurier musi przeczytać, żeby ją dostarczyć: kto wysyła, do kogo, jaki jest numer przesyłki, czasem nawet co w niej mniej więcej jest i ile jest warta. Kurier nie musi otwierać paczki — wystarczy, że umie czytać etykiety, którymi się zajmuje na co dzień.
W KSeF tą etykietą są metadane każdej faktury: numer KSeF, numer faktury sprzedawcy, identyfikator podatkowy nabywcy, nazwa nabywcy (jeżeli występuje) i kwota należności ogółem i wiele innych danych. Ta etykieta nie jest szyfrowana — Imperva, jako strażnik bramy, widzi ją w całości, w otwartym tekście, dla każdej faktury, która przechodzi przez system.
Szyfrowany jest tylko tunel, którym to leci do Impervy, ale ona terminuje ten tunel, a zatem odszyfrowywuje dane. Więc z zewnątrz nikt tego nie odczyta, ale na bramce WAF jest to widoczne.
Furtka, o której nikt głośno nie mówi
Tu pojawia się drugi, ważniejszy element układanki. KSeF ma oficjalną, udokumentowaną funkcję: anonimowy dostęp do faktury. Jeśli ktoś zna komplet danych z etykiety, które wyżej wymieniłem, może bez logowania, bez hasła, bez klucza pobrać pełną niezaszyfrowaną treść faktury w pliku XML. To rozwiązanie zostało zrobione z dobrego powodu — żeby osoba bez konta w KSeF mogła sprawdzić fakturę, którą dostała.
Nie trzeba robić żadnego audytu technicznego, by to udowodnić, to jest oficjalnie udokumentowana funkcja systemu KSeF.
Problem w tym, że ta sama etykieta, która otwiera tę furtkę, jest dokładnie tym, co widzi Imperva przy każdej normalnej operacji w systemie. Nie musi niczego łamać ani łączyć się z niczym nielegalnie. Wystarczy, że zbierze dane, które i tak przez nią przepływają, a potem skorzysta z furtki zrobionej oficjalnie dla każdego, kto zna te dane.
Kto stoi za Impervą?
Sam fakt techniczny to jedno. Drugie pytanie brzmi: komu ta firma podlega prawnie?
Imperva w oficjalnych komunikatach prasowych z przejęcia przez Thales (grudzień 2023) jest opisywana wprost jako „US-based cyber champion” — czyli spółka działająca na gruncie prawa amerykańskiego. Ma to znaczenie, bo w Stanach Zjednoczonych obowiązuje prawo zwane CLOUD Act (z 2018 roku). Pozwala ono amerykańskim sądom nakazać amerykańskiej firmie wydanie danych, które ma „w posiadaniu lub pod kontrolą” — niezależnie od tego, gdzie fizycznie te dane leżą. Oznacza to, że nawet gdyby polskie Ministerstwo Finansów podpisało z Impervą najbardziej szczegółową umowę o poufności (czego nie wiemy, bo taka umowa jest trzymana w tajemnicy), to taka umowa nie chroni przed nakazem amerykańskiego sądu — prawo krajowe jednego państwa nie unieważnia prawa innego państwa wobec spółki działającej pod jego jurysdykcją.
Do tego dochodzi własność: od 2023 roku Imperva należy do Thales — francuskiego koncernu wywiadowczo-zbrojeniowego, w którym większościowe udziały ma francuskie państwo. To tworzy dodatkową, strukturalną możliwość dostępu do informacji, którego z zewnątrz nikt nie jest w stanie zweryfikować. Wewnętrzni analitycy Thalesa mogą analizować ruch przechodzący przez ich serwery bez pytania kogokolwiek z zewnątrz o pozwolenie.
Nie wiemy, czy wywiad z tej możliwości korzysta
Nie ma dowodu, że którakolwiek służba wywiadowcza faktycznie korzysta z tej furtki. To jest tak samo, jak nie ma dowodu, że jak głodny wilk dostanie świeże mięso, to je zje. Jest cień szansy, że ten wilk to wegetarianin.
Niemniej wiadomo, że wywiady gospodarcze państw zachodnich mają udokumentowaną historię wykorzystywania dostępnej infrastruktury telekomunikacyjnej do zbierania informacji gospodarczych — najbardziej znanym przykładem jest system Echelon, opisany w raporcie Parlamentu Europejskiego z 2001 roku, oraz wieloletnia, opisywana w mediach i literaturze fachowej tradycja wywiadu gospodarczego francuskiej DGSE. To nie jest dowód, że akurat teraz ktoś czyta polskie faktury — to jest argument, że taka możliwość nie jest czysto teoretyczna, bo podobne rzeczy już się w historii zdarzały.
Dlaczego to ma znaczenie, nawet bez dowodu nadużycia?
W bezpieczeństwie komputerowym obowiązuje prosta zasada: dobre zabezpieczenie nie powinno polegać na tym, że ktoś z dostępem z niego nie skorzysta, jeśli mu umowa tego zabrania. Powinno polegać na tym, że dostępu po prostu nie ma. Jeśli damy klucze do domu sprzątaczce i jej powiemy: „mamy w domu sejf, a w nim złoto, ten sejf jest otwarty, ale nie bierz tego złota, tylko je odkurz”, po czym wyjedziemy na miesiąc na wakacje, to czy możemy zakładać, że złoto nie zostanie ukradzione? Jeśli ufamy ludziom, to po co w ogóle sejf?
Co może oficer wywiadu?
Oficer wywiadu Francji może sobie usiąść w siedzibie Thalesa (44 obiekty, między innymi w Meudon, Paryżu, Tuluzie czy Cannes), oficer wywiadu USA w siedzibie Impervy (Austin w Teksasie, Arlington w Wirgini, Plano w Teksasie czy Waltham w Massachusetts), a oficer Izraela w miejscu, gdzie znajdują się serwery analityczne (Tel Awiw, Rehovot), i korzystając z metadanych, zalogowanych na bramce WAF, mogą ściągnąć na bieżąco z serwerów naszego Ministerstwa Finansów wszystkie faktury dowolnego przedsiębiorstwa (np. producenta broni) oraz wszystkich jego kontrahentów i dostawców podzespołów i to przeanalizować bez pisania jakiegokolwiek wniosku do naszych służb o pozwolenie. Technicznie jest to możliwe i łatwe.
Oficer naszych służb takiej możliwości nie ma. Aby polskie służby specjalne dostały dostęp do danych z KSeF, muszą wystąpić do Szefa KAS, wskazując podstawę ustawową, cel, sprawę oraz zakres potrzebnych danych i wykazać, że są one niezbędne do realizacji ich ustawowych zadań. Natomiast nasze służby oczywiście nie muszą pisać takich podań, by dostać dostęp do francuskich faktur. Tylko że takiego dostępu nie mają, muszą się włamać. Jednak nie muszą prosić żadnych władz, by się móc włamać. A francuskie służby do naszych faktur z KSeF dostęp mają i włamywać się nie muszą.
Izraelski ośrodek (Tel Awiw i Rehovot — łącznie ponad 500 osób) to największy hub rozwojowo-badawczy Impervy w ramach Thales: R&D, innowacje, support i część operacji sieciowych. Analityka zagrożeń i zaplecze produktowe są powiązane z tymi dwoma miastami. Publicznie potwierdzony data center PoP (czyli węzeł chmury Thalesa/Impervy) znajduje się Tel Awiwie (Med-1). Tam są analizowane wszystkie faktury z KSeF. Taka analiza to ułamek promila mocy obliczeniowej infrastruktury komputerowej Thalesa.
Czy wywiady korzystają z tej możliwości?
A czy głodny wilk, który dostanie świeże mięso, skorzysta z tej możliwości i je zje? To oczywista oczywistość, że wilk mięso zje, a szansa, że tego nie zrobi, bo na przykład jest wegetarianinem, jest tak mała, że nie warto jej rozważać.
To oczywista oczywistość, że wywiad Francji, USA i Izraela z dostępu do faktur z KSeF korzysta. By to wiedzieć, nie potrzebujemy żadnych dowodów, że to naprawdę robi, wystarczy, że niezbicie udowodniłem taką techniczną możliwość. A dowód jest prosty — wystarczy przeczytać oficjalną dokumentację i połączyć kropki.
W skrócie ten dowód dla osób rozumiejących technikalia informatyczne:
Dokumentacja API 2.0 potwierdza funkcję: GET /invoices/ksef/{ksefNumber}, która zwraca plain XML — brak tu szyfrowania AES, ono dotyczy tylko eksportu paczek. Imperva terminuje TLS, więc widzi to jawnie, łącznie z nagłówkiem Authorization: Bearer accessToken. Token to zwykły bearer JWT bez powiązania z klientem (brak mTLS/proof-of-possession) — kto go przechwyci, może go użyć sam, tak, jak podatnik. Potwierdza to niezależny audyt techniczny KSeF: "Imperva ma pełny dostęp do zawartości żądań HTTP", "tokeny pozostają jawne".
Imperva, terminując TLS, ma technicznie dostęp do treści nagłówka Authorization w postaci jawnej. Fakt, że token jest powiązany z podmiotem, jest nieistotny dla pytania o poufność wobec Imperva/Thales, bo token bearer (RFC 6750) nie wymaga dowodu posiadania — kto go ma, ten go użyje. Bez mTLS/DPoP wiążącego token z klientem to jest ekspozycja, niezależnie od tego, czy ktoś ją już aktywnie wyeksploatował.
KSeF ma udokumentowaną funkcję anonimowego dostępu do pełnego XML faktury na podstawie krotki: numer KSeF, numer faktury, NIP i suma kwot — bez logowania, bez tokenu. Ta sama krotka przewija się w plaintext przez Impervę przy zwykłym ruchu systemu (potwierdzenia, powiadomienia, zapytania).
Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS