Firma CryptoTech przeprowadziła testy wytrzymałości karty elektronicznej. Sam pomysł testu związany jest z pogłoskami, które pojawiły się w ostatnim okresie a dotyczącymi rzekomego „wycierania się” kart elektronicznych przy składaniu podpisów elektronicznych.
W ostatnim czasie, przy okazji różnych konferencji dotyczących zagadnień związanych z problematyką podpisu elektronicznego, a szczególnie jego bezpiecznej wersji, potocznie zwanej „podpisem kwalifikowanym”, zaczęła żyć własnym życiem oczywista plotka o charakterze mitu, jakoby karty elektroniczne nie nadawały się do roli komponentu technicznego do składania podpisu elektronicznego, zwłaszcza dla składania podpisów masowych.
Mit ten pierwotnie wygłosił, szanowany w środowisku IT profesor, co dodatkowo nadało mu cechę wiarygodności i oparta na tym „micie 1500 podpisów” plotka jest coraz częściej powtarzana i co gorsza, podejmowane są na jej podstawie decyzje biznesowe dotyczące stosowania kart elektronicznych!
Trudno precyzyjnie określić, czym kierował się oraz jakich technologii używał wspomniany mówca powołujący się na własne eksperymenty wykonywane wraz z grupą studentów, na podstawie, których stwierdził stanowczo, iż karty elektroniczne nie nadają się do masowego podpisywania (np. faktur elektronicznych) gdyż „ulegają zniszczeniu/zużyciu po złożeniu 1500 podpisów”.
Firma CryptoTech i jej konsultanci mający już blisko 10-letnie doświadczenie w projektowaniu i budowaniu systemów IT wykorzystujących karty elektroniczne, nie zauważyli takiego zjawiska oraz nawet nie znajdują dla niego podstaw teoretycznych.
Podstawą operacji składania podpisu jest odczyt klucza prywatnego z pamięci EEPROM przez procesor/kryptoprocesor karty i wykonanie na tym kluczu i danych podpisywanych (właściwe skrótu tych danych) szeregu operacji matematycznych. W efekcie tych danych na zewnątrz układu karty, przez jej interfejs komunikacyjny zwracany jest wynik tych operacji – podpis cyfrowy (zwykle z użyciem algorytmu RSA).
W typowym przypadku cały ten proces NIE WYKONUJE ŻADNYCH operacji zapisu do pamięci EEPROM, czyli nie objawia się zjawisko „wycierania EEPROM”. Oznacza to w praktyce, iż włożona do czytnika karta, realizująca podpis cyfrowy (np. RSA 1024) będzie realizowała go WIECZNIE – przynajmniej do czasu jej awarii, gdyż zachodzące w trakcie podpisywania zjawiska nie powodują żadnej zauważalnej degradacji parametrów układu elektronicznego karty.
Potwierdzeniem tego mogą być szeroko używane w Europie urządzenia do oznaczania czasem, używające… wielu równolegle pracujących kart elektronicznych do generowania podpisów w ramach znacznika czasu (takie rozwiązanie wymuszone zostało w pewnym momencie po wprowadzeniu German Signature Act, gdy nie było na rynku odpowiednio certyfikowanych modułów HSM a dostępne były karty elektroniczne posiadające takie certyfikaty). Urządzenia ta wykonały setki tysięcy/miliony podpisów i działają nadal!
Można sobie oczywiście wyobrazić fatalne implementacje algorytmu RSA w ramach karty, które wykorzystują dla przechowywania chwilowych wyników obliczeń pamięć EEPROM lub czynią tak ze względu na bardzo małą ilość pamięci RAM dostępnej dla mikroprocesora karty. Rozwiązania takie jednak już dawno przeszły do historii i trudno znaleźć obecnie na rynku karty/układy kart kryptograficznych, którym groziły by takie rozwiązania w systemie operacyjnym.
Jeśli by nawet przyjąć, iż twórca „mitu 1500 podpisów” doświadczył zjawiska „wycierania EEPROM” to i tak nie ma podstaw by twierdzić, iż karty elektroniczne mogą wykonać tylko 1500 podpisów gdyż efekt „wycierania EEPROM” nawet w przypadku najstarszych (już nieużywanych) kart elektronicznych objawia się po wykonaniu 100.000 zapisów pojedynczej komórki pamięci!
Trudno wyobrazić sobie tak fatalny system operacyjny, który dla realizacji 1500 podpisów musiał wykonać ponad 100.000 zapisów którejkolwiek, pojedynczej komórki EEPROM! Dodatkowo należy podkreślić, że produkowane od kilku lat układy kart elektronicznych mają gwarantowaną trwałość od 500 tys. to 1 mln zapisów w normalnej temperaturze pokojowej.
Więcej o samym teście można przeczytać tutaj. Cały test przeprowadzany jest on-line, jego aktualne wyniki dostępne są tutaj.
Źródło: CryptoTech, Adam Augustyn