Návrh programu pre prístup k zdrojovým kódom a bezpečnostným riešeniam spoločnosti Microsoft v rámci nadnárodnej iniciatívy Government Security Program – GSP

1.	Úvod
    Návrh programu pre prístup k zdrojovým kódom a bezpečnostným riešeniam Microsoft  (ďalej len „MS“) v rámci nadnárodnej iniciatívy „Government Security Program“ (ďalej len „GSP“) predkladá Ministerstvo financií Slovenskej republiky (ďalej len „MF SR“)    s cieľom zabezpečenia plnenia strategických úloh v oblasti informačnej bezpečnosti, ktoré sú definované v časti 4.2 Strategických prioritách dokumentu „Národná stratégia pre informačnú bezpečnosť v SR“ (ďalej len „NSIB“), ktorá je v súčasnosti pripravená na medzirezortné pripomienkové konanie (v apríli 2008). Návrh sa orientuje na riešenie vybraných úloh uvedených v oblasti budovania povedomia a kompetentnosti v informačnej bezpečnosti, vytváraniu bezpečného prostredia a prispeje k rozširovaniu národnej a medzinárodnej spolupráce a kompetentnosti Slovenska. Navrhovaná iniciatíva sa priamo dotýka úlohy zabezpečovania systému vzdelávania v oblasti informačnej bezpečnosti v SR z dokumentu NSIB. Celková výška finančných prostriedkov vynaložená na SW a licencie pre organizácie verejnej správy vrátane produktov MS v roku 2007 predstavovala cca 2.2 mld. Sk. V roku 2008 sa predpokladá výdavok na licencie MS cca 0.6 mld. Sk. Vzhľadom na rozsah používania programových produktov MS vo verejnej správe je nevyhnutné zaoberať sa problematikou bezpečnosti v tejto oblasti. Jednou z takýchto iniciatív je aj GSP, ktorý predstavuje súbor postupov  a vzdelávacích činností zameraných na zaistenie ochrany informácií spracovávaných v programových produktoch vytvorených MS. Vo všeobecnosti GSP umožňuje národným vládam vrátane Slovenska prístup k informáciám, ktoré im napomáhajú zhodnocovať a merať bezpečnosť produktov MS v podmienkach verejnej správy, a tak reagovať na kritické situácie.
GSP je postavený na princípe transparentnosti a partnerstva so štátnou správou. Prostredníctvom neho MS ponúka svetovým vládam vrátane slovenskej vlády bezplatný prístup online smart-card k zdrojovým kódom najnovších verzií vybraných produktov. Kvalifikovaní účastníci GSP môžu v prípade potreby a záujmu požiadať o prístup ku kryptografickému kódu a vývojárskym nástrojom používaných produktov. Tento program tak umožní vláde SR transparentný prístup k technickým informáciám MS. Významnou skutočnosťou je bezplatná účasť na tomto programe vrátane prístupov a špecializovaných školení.
Partnerstvo medzi vládou SR a spoločnosťou Microsoft v GSP predpokladá vzájomnú dôveru a výmenu informácii z oblasti informačnej bezpečnosti medzi zúčastnenými stranami.  Prvá spolupráca v tejto oblasti bola podpísaná v roku 2005 na dobu tri roky s Ministerstvom, dopravy, pôšt a telekomunikácií SR. V rámci GSP sa uskutočnilo niekoľko vysoko špecializovaných tréningov určených pre expertov slovenskej štátnej správy v oblasti bezpečnosti. Vzhľadom na vtedajšiu absenciu NSIB v SR a roztrieštenosť kompetencií však bola doposiaľ táto iniciatíva využitá iba sporadicky.  

2.	Význam programu GSP
Programové vybavenie súčasných počítačov je veľmi rozsiahle (desiatky miliónov riadkov kódu) a mimoriadne zložité. Napriek pokrokom v sofvérovom inžinierstve a zdokonaleným programátorským technikám sa v takom zložitých systémoch pravidelne vyskytujú chyby, ktoré predstavujú bezpečnostné diery, umožňujúce protivníkovi preniknúť do systému. Keďže prostredníctvom IKT (informačné a komunikačné technológie) systémov sa spracovávajú informácie zaujímavé aj z komerčného hľadiska, počítačová kriminalita sa stáva lukratívnou záležitosťou a rastie počet a sofistikovanosť ekonomicky motivovaných útokov na IKT systémy. Na Slovensku sa používa to isté programové vybavenie ako v iných krajinách a vzhľadom na uzavreté dlhodobé kontrakty pochádza väčšina operačných systémov a bežného aplikačného softvéru vo verejnej správe od toho istého výrobcu. Situácia v komerčnej sfére a v domácich počítačoch je podobná. To vytvára predpoklady na masové využitie odhalenej bezpečnostnej diery v dominantne používanom softvéri v SR (ale na druhej strane aj na relatívne uniformné bezpečnostné riešenia). Chyby programového vybavenia zaznamenalo podľa prieskumu v posledných dvoch rokoch na Slovensku 29 % inštitúcií a vo finančnom vyjadrení predstavujú najzávažnejší bezpečnostný incident (priemerný finančný dopad vyše 1.3 mil. SK). Vzhľadom na množstvo používaných produktov a počet licencií MS vo verejnej správe (vyše 70 000) je preto nevyhnutné riešiť aj otázky interoperability a bezpečnosti, a to nielen z pohľadu vnútroštátneho, ale aj medzištátneho. Reakciou na požiadavky národných vlád je globálna iniciatíva MS vo forme (GSP), ktorá poskytuje národným vládam a nadnárodným organizáciám prístupové práva k zdrojovým kódom pre účely odhaľovania bezpečnostných dier v programovom vybavení výrobcu. Účasť v GSP umožní zapojenie sa štátnej správy Slovenskej republiky do spoločnej bezpečnostnej iniciatívy najvyspelejších krajín sveta.
3.	Prístup k programu GSP
V súčasnosti k programu GSP pristupuje viac ako 47 krajín a organizácií sveta. Zmluvnú účasť  na programe potvrdili aj Anglicko, Čína, Rusko, Poľsko, Česká republika, Slovinsko, Maďarsko, Nórsko, Portugalsko, Taiwan, Turecko a ďalšie krajiny. V každej účastníckej krajine usmerňuje účasť na programe GSP patronátna/gestorská inštitúcia, ktorá sa zaoberá tzv. všeobecnou bezpečnosťou informačných systémov (IS), t. j. bezpečnosťou IS, ktoré neobsahujú utajované skutočnosti a ktorá koná v mene vlády. V Slovenskej republike, v zmysle prenesených kompetencií, je touto gestorskou inštitúciou Ministerstvo financií SR. Táto inštitúcia vykonáva štandardnú trojročnú GSP Licenčnú dohodu o zdrojovom kóde (dohoda o kóde GSP), ktorá stanoví všetky základné podmienky programu. Gestorská inštitúcia taktiež môže vykonať jednu alebo viac GSP splnomocnení počas doby dohody o kóde GSP. Každé GSP splnomocnenie definuje špecifický bezpečnostný projekt, ktorý má byť vykonaný pod programom GSP vrátane jeho cieľov, zahrnujúc možnosti vlády, požadované platformy Microsoftu a produkty; a poskytnuté licenčné práva na zdroj.
Gestorská inštitúcia potom môže rozšíriť výhody GSP na ďalšie vládne organizácie a dovoliť im vykonávať ich vlastné projektovo-špecifické GSP splnomocnenia. Každé GSP splnomocnenie je vykonané na počiatočné obdobie jedného roku. Ak ani jeden strana nepožiada o ukončenie účasti na GSP splnomocnenie, automaticky sa obnovuje počas obdobia dohody o kóde GSP. Dohoda o kóde GSP a GSP splnomocnenie sa vzťahuje na zamestnancov inštitúcie, tak ako aj na schválených dodávateľov a konzultačných odborníkov.
Neustály a jednoduchý prístup ku zdrojovému kódu bude uskutočnený cez Microsoft Developer Network (MSDN) – Kód Centrum Premium GSP, online zdroj, ktorý umožňuje oprávneným vládnym zamestnancom vidieť zdrojový kód z odsúhlasených miest. Služba poskytuje okamžitý prístup a schopnosť prehliadať, hľadať a vystavovať kód cez spojenie založené na inteligentnej čipovej karte – Secure Sockets Layer (SSL). Týmto sa vláde umožní uskutočnovať bezpečnostné kontroly zdrojového kódu.
Prístup ku GSP nie je navrhnutý pre  miestne samosprávne úrady. Miestna samospráva so špecifickým záujmom o bezpečnosť môže byť sponzorovaná národnou vládou, ktorá sa zúčastňuje na programe GSP z dôvodov prístupu ku kódu a ktorá sa zaeviduje do formulára o splnomocnení ako patronátna inštitúcia GSP.
4. Rozsah prístupov
Program GSP poskytne online prístup účastníkov ku zdrojovému kódu najnovších verzií, beta verzií a balíkov služieb Windows Vista, Windows XP, Windows Server 2003, Windows CE a Office 2007 a  Windows Server 2008. Špecifické produkty zahŕňajú verzie Personal, Professional, Server, Advanced Server a Datacenter pre x86 až IA64 štruktúry. Prístup k programu GSP môže taktiež zahŕňať CryptoAPI Software Development Kit, ktorý poskytuje kryptografickú realizáciu kódu vo forme zdroja, čo je podriadené určitým požiadavkám vrátane exportného súhlasu USA. Oprávnené vlády, ktoré sa zaujímajú o rozvoj a realizáciu ich vlastných kryptografických modulov môžu získať Crypto Service Provider Development Kit. Na základe podpísania dohody je účastníkom umožnený najmä prístup k zdrojovým kódom produktov:

-	Premium Soruce kit (ďalej len „PSK“) pre Windows Vista,
-	PSK pre Windows XP,
-	PSK pre Windows server 2003,
-	PSK pre Windows server 2000,
-	PSK pre Windows Embedded CE 6.0,
-	PSK pre Windows Embedded CE 5.0,
-	PSK pre Windows Embedded CE 4.2
-	PSK pre Office 2007,
-	ako aj ďalšie nasledujúce verzie alebo súvisiace produkty počas trvania tohto programu.
Je potrebné zdôrazniť, že uvedené sady PSK nezahŕňajú zdrojové kódy tretích strán, ktoré MS nie je oprávnená distribuovať. Program ďalej obsahuje technické informácie o architektúre programových kódov, školenia bezpečnosti a konzultácie s bezpečnostnými expertmi Microsoft. Súčasťou GSP je aj poskytnutie licencie na Microsoft Office 2007 XML (Extensible Markup Language) referenčné schémy formou bezplatnej licencie za poskytnutie práv. Účasť v GSP a prístup k vybraným zdrojovým kódom je umožnený Ministerstvu financií Slovenskej republiky ako  centrálnej koordinujúcej inštitúcii pre uzatvorenú multilicenčnú zmluvu Microsoft Enterprise Agreement. Samotný prístup k zdrojovým kódom a XML referenčným schémam je poskytovaný na základe licencie. Vzhľadom na citlivosť a dôvernosť poskytovaných informácií je poskytnutie licencie prístupu k zdrojovým kódom a XML referenčným schémam viazané na uzatvorenie dohody o programe vládnej bezpečnosti ohľadom zdrojového kódu (príloha č. 1). GSP je plnením uzatvorenej multilicenčnej zmluvy Microsoft Enterprise Agreement v oblasti poskytovania bezplatných školení a technických informácií v oblasti bezpečnosti. Účasť na programe GSP ponúka účastníkom výhody:
-	porozumieť technickým úrovniam výstavby Windows a Office,
-	zvýšenú schopnosť vypracovať bezpečnostné a súkromné audity, a tak čo najoptimálnejšie navrhnúť, vybudovať a podporovať bezpečné výpočtové prostredie,
-	efektívnejšie zlepšiť odstraňovanie problémov a zlepšiť systémovo-optimalizačné schopnosti,
-	možnosť priamej komunikácie a spolupráce s bezpečnostnými odborníkmi Microsoftu,
-	príležitosť pre zástupcov inštitúcie zúčastniť sa rozvojových programov GSP  z centrály Microsoftu v zahraničí,
-	Konferencia o Bezpečnosti v oblasti technológie Microsoft v štátnej správe (pre zástupcov štátnej a verejnej správy (máj 2008),
-	Špeciálny tréning na vybranú oblasť bezpečnosti pre 3 – 4 osoby (september 2008),
-	Workshop na tému Bezpečnosť pri budovaní e-Governmentu VS (november 2008).

5. Rozsah školení
	GSP iniciatíva okrem všeobecných školení ponúka školenia špecializované na úrovni špecialistu v oblasti informačnej bezpečnosti, ktorý dokáže analyzovať systém, jeho bezpečnostné okolie, spraviť analýzu rizík a navrhnúť opatrenia na ich elimináciu; alebo posúdiť komplexne zabezpečenie systému (audítor). Špecialista by mal mať prehľad o stave a vývoji hrozieb a bezpečnostných riešeniach, manažérskych a právnych aspektoch informačnej bezpečnosti. Rozsah školení a výber účastníkov v spolupráci s účastníckou organizáciou pre VS navrhne gestorská inštitúcia, ktorou je MF SR z nasledovného zoznamu možností:

-	základné vyšetrovanie cez internet - nástroje ako IP adresy, ISPs, DNS, analýza hlavičky emailu, stenografia, chat, sociálne siete, základná kryptológia a anonymizačné techniky,
-	pokročilé vyšetrovanie cez internet - website scraping, internet tracing, výmena súborov cez P2P, anonymizačné techniky, phishing, vyhľadávacie techniky,
-	pokročilá forenzia klienta Windows XP - evidenčné údaje (logy), registre Windows, obnova systému, EFS, analýza USB, skryte súbory Windows a metadáta Office, analýza súborového systému,
-	pokročilá forenzia Windows Vista - forenzia pre nové moduly Vista,
-	základy kybernetického zločinu a najlepšia prax - typy kybernetického zločinu, forenzné metódy, analýza HDiskov, digitálny podpis a hash, dokumentácia prípadu, nástroj na vytváranie digitálnej evidencie, virtualizačné metódy, analýza online/offline,
-	korporátna forenzia s technológiami MS - logy firewallu, architektúra webovej stránky IIS, IIS logy, IIS metabáza, analýza kompromitovaných systémov, mechanizmy internetových útokov,
-	vyšetrovanie botnetov - stratégie a nástroje boja proti botnetovým sieťam,
-	prieskum mobilných zariadení Windows - podstatne informácie ohľadné Windows Mobile,
-	pokročilá detekcia a analýza malveru - identifikácia malveru, reakcia a jeho stopovanie ku zdroju,
-	vyšetrovanie Microsoft Xbox, Xbox 360, Live! - vyšetrovanie zamerane na tieto konzoly,
-	prieskum a vyšetrovanie Zune Player - vyšetrovanie zamerané na tento iPod,
-	pokročilé antiforenzné techniky -  skolenie, ako sa útočníci brania proti forenzným technikám, skrývajú údaje atď.,
-	analýza systému Windows Live - metodika vyšetrovania vzhľadom na riziko straty údajov pri on-line bežiacom systéme, nástroj Computer On-line Forensics Evidence Extractor,
-	zdrojový kód "Legacy" a Code Center Premium - architektúra a výkon OS Windows, zdrojové kódy (podľa Code Center Premium), debugovacie nástroje,
-	to isté pre Vista,
-	zdrojový kód "Legacy" a Internals - kľúčové časti systému + detaily plánovanie hrozieb, multiprocesory, paging, mapovanie virtuálnej pamäte, alokácia fyzickej pamäte,
-	zdrojové kódy Vista - kompletný výklad,
-	vnútorné časti bezpečnosti Vista - všetky bezpečnostné vlastnosti Vista,
-	nová generácia kryptografie Windows pre vývojárov - kryptografia, príprava na Windows Longhorn Server
-	formáty súborov Office  pre Code Center Premium - súbory Office, XML, OpenXML,
-	zdrojové kódy Office pre Code Center Premium – zdrojové texty Access, Excel, Outlook, PowerPoint a Word,
-	podstata vnútorných časti Windows - detailnejšie pohľady rôzne oblasti OS, ktoré vnútorné časti môžu byť odkryté pomocou nástrojov a knižníc.
6. Etapy realizácie GSP
Realizácia GSP spočíva v schválení predkladaného návrhu vládou SR, podpísaním  dohody o programe vládnej bezpečnosti ohľadom zdrojového kódu k produktom MS a riešením kľúčových úloh v súlade s NSIB v SR. Navrhovaný rámcový sled činností je:

-	podpis GSP dohody a GSP splnomocnenia,
-	prístup do GSP centra “Code Center Premium“,
-	školenie k zdrojom GSP,
-	návšteva Microsoft GSP centra,
-	pokračovanie bezpečnostných projektov na lokálnej úrovni.

7. Záver
GSP je bezplatná iniciatíva, ktorá poskytuje účastníkom programu licenčné práva na prehliadanie zdrojového kódu Windows a Office. Práva prístupového kódu GSP neposkytujú úplné odhalenie všetkých zdrojových kódov Windows, Office  a ani nedovoľujú účastníkom programu jednostranne modifikovať a meniť zdrojový kód. Prístup ku kryptografickému kódu a nástroje na rozvoj sú podriadené reguláciám exportu USA. Program umožňuje účastníkom vyskúšať zdrojový kód Windows a iné technické informácie, tak ako aj možnosť prediskutovať potenciálne projekty s bezpečnostnými odborníkmi Microsoftu.
GSP je určený úzko špecializovaným odborníkom v oblasti počítačovej bezpečnosti (MF SR, MV SR, NBÚ, MO SR, SIS, resp. iné), ktorým bude zabezpečený prístup k znalostným databázam a zdrojovým kódom vybraných programov poskytovaných v rámci multilicenčnej zmluvy Microsoft Enterprise Agreement. Každý účastník programu, ktorý bude mať prístup k programu, musí podpísať vykonávací pokyn účastníka programu GSP (príloha č. 2). Samotná účasť v programe zároveň zvyšuje hodnotu zakúpených licencií MS v rámci multilicenčnej zmluvy Microsoft Enterprise Agreement a prispieva k ich optimálnemu využitiu v podmienkach štátnej správy.
Súčasťou materiálu je slovenská a aj anglická verzia dohody o kóde GSP a splnomocnenie. Dohoda o kóde GSP tvorí rámec na udelenie licencie na zdrojový kód od MS a informácie, ktoré vláda SR dostane o zdrojovom kóde alebo jeho prostredníctvom. Táto dohoda o kóde GSP popisuje podmienky, ktoré vždy platia a musí byť sprevádzaná jedným alebo viacerými dodatkami so špecifickými informáciami („splnomocnenia“). Splnomocnenia popisujú zdrojový kód, spôsob jeho poskytnutia a časové vymedzenie jeho používania. Dohoda o kóde GSP a GSP splnomocnenia spolu tvoria celkovú dohodu („Dohoda“). Licencia na prístup ku zdrojovému kódu nadobúda platnosť dňom podpisu medzi Ministerstvom financií SR a MS. 
Právo k prístupu k zdrojovým kódom poskytnutých MS a ostatné aktivity vyplývajúce z dohody sú bezplatné  (v zmysle bodu F splnomocnenia) a priame náklady spojené so školeniami budú hradené MS (podobne ako bezplatné školenia poskytované v rámci multilicenčnej zmluvy Enterprise Agreement. Náklady v zmysle bodu 2. 3 zmluvy nie sú chápané ako nevyhnutné náklady na výkon činnosti jednotlivých expertov).