Když v roce 1999 do zlínského Monet+ nastoupil, jeho prvním úkolem byla pomoc kolegům v ježdení po Slovensku a ruční přehrávání software v platebních terminálech. Dnes je Milan Hrdlička expertem, který se podílel na vývoji systémů chránící transakce v těch největších českých bankách. Byl u zrodu revoluční platformy CryptoPlus, ustál neférový útok konkurence a spolupracoval na tom, aby se nejvyšší bankovní bezpečnost dostala lidem do kapsy – přímo do jejich chytrých telefonů. Jak se vyvíjí kód, na kterém stojí kritická infrastruktura, a proč je někdy nutné zkoumat čipové karty pod mikroskopem ve Francii?
Milane, když jsi do Monet+ nastoupil, prý tě hned na uvítanou čekal obří výjezd na Slovensko k terminálům sítě Slovnaft. Jak to tehdy vypadalo?
Byla to úplně jiná doba. Internet v dnešní podobě prostě neexistoval. Terminály na benzínkách fungovaly tak, že si každou noc vytáčely spojení přes modem, aby si na centrálu poslaly data. To, že bys dnes udělala nějaký hromadný update softwaru na dálku, bylo absolutně nemyslitelné. Jednou se objevil problém a my jsme museli tisícovky terminálů po celém Slovensku přeinstalovat ručně. Všechno, co mělo v Monet+ ruce, nohy a umělo řídit auto, vyjelo do terénu. Byla to obrovská škola, protože jsme rovnou školili i obsluhu a viděli jsme naši technologii přímo v reálném provozu u zákazníků.
Kde se tehdy z pohledu bezpečnosti nacházel největší problém a jak jste ho řešili?
Trh bojoval s podvody na starých magnetických kartách, které se daly poměrně snadno zkopírovat. Monet+ se proto rozhodl spoléhat na čipové karty. Já jsem nastoupil už do rozjetého vlaku a dostal jsem za úkol podílet se vyvíjení komunikační brány pro takzvaný CASSIS server. Šlo o centrální bezpečnostní šifrovací modul, takovou obrněnou krabici, který u každé transakce z čerpacích stanic ověřoval kryptografické balíčky a bezpečně rozpoznával, zda jde o pravou transakci, čímž podvody de facto eliminoval. A když čipové karty sloužily dobře v ochraně plateb, proč jim nesvěřit i náročnější úkol? To byla myslím primární oblast, na kterou mě tehdy ještě Monet+ s.r.o. najal. Byl to začátek zrodu platformy CryptoPlus, která přinesla PKI čipové karty s nejvyšší úrovní zabezpečení soukromých klíčů pro elektronický podpis.
Tvojí hlavní doménou se tedy stala platforma CryptoPlus, která pro Česko znamenala obrovský skok v digitální bezpečnosti. V čem to tehdy bylo tak přelomové?
Měl jsem za úkol plně zaintegrovat bezpečné čipové karty s kryptografií do operačního systému Windows. Do té doby fungovala softwarová ochrana, kdy lidé měli své privátní klíče k elektronickým podpisům uložené jen někde v paměti počítače, odkud šly teoreticky ukrást nebo zkopírovat. CryptoPlus ten klíč přímo vytvářel ve fyzické čipové kartě. Čipovka pro nás znamenala absolutně spolehlivou ochranu. Když tu kartu totiž máš, tak z ní ten privátní klíč zkrátka nijak nevylomíš. Jediné, co můžeš udělat, je zadat správný PIN, a teprve pak ti karta dovolí vytvořit elektronický podpis.
Tento systém byl asi úspěšný – prý na jeho pozůstatcích fungují ty největší banky u nás i po neuvěřitelných pětadvaceti letech…
Byli jsme tehdy s touto technologií skuteční průkopníci. Začali jsme s první certifikační autoritou (I.CA) a s korporátními klienty ČSOB. Následně se to stalo standardem, dodávali jsme to do Tatrabanky, Komerční banky, České spořitelny a i mimo banky, třeba na Českou správu sociálního zabezpečení. To řešení bylo postavené tak robustně, že některé jeho pohrobky v Komerční bance a České spořitelně spolehlivě fungují dodnes. U korporátního bankovnictví, kde protékají stamilionové platby, to tehdy byla jedna z mála metod, které ty banky skutečně důvěřovaly.
S Komerční bankou se ale pojí i jedna až detektivní zápletka. Konkurence se vás prý v rámci tvrdého boje snažila vyšachovat tím, že vaši nepřekonatelnou čipovou kartu údajně naklonovala. Jak to bylo?
To byl asi ten nejhorší případ neférového konkurenčního boje, se kterým jsem se kdy setkal. Ta konkurenční firma poslala boardu banky dopis, že naše technologie je děravá a dá se naklonovat. Znamenalo to riziko ztráty důvěry v tuto technologii. Povedlo se nám domluvit se s bankou, ať jim dají novou kartu a nechají je to dokázat. Borci za pár dní přišli a přinesli nějaký klon z epoxidu, na kterém ukázali, že z něj jdou použít původní klíče. Původní kartu navíc přinesli rozstřiženou napůl s tím, že ji museli z bezpečnostních důvodů zničit. V bance byli v šoku.
Jak jste z toho nakonec vybruslili? Skutečně ten čip prolomili?
Mě hned napadlo podívat se do systémových logů. Našel jsem si záznam veškeré komunikace s tím jejich takzvaným epoxidovým „klonem“ a zjistil jsem, že to vůbec není klon, ale že do toho epoxidu prostě jen fyzicky museli přendat ten náš originální čip. Původní plastovou kartu pak rozstřihli záměrně tak, aby nebylo poznat, že je čip vyměněný za jiný. Nakonec jsme celou věc vezli pod mikroskopy až do speciálních laboratoří výrobce ve Francii. Tam se ten podvod definitivně prokázal – usvědčilo je odlišné lepidlo na zadní straně toho čipu – původní čip měl mít průhledné, ale měl černé. Banka nakonec samozřejmě zůstala u naší technologie.
Kdy jste si uvědomili, že budoucnost není jen v plastových kartách s čipem, ale v mobilních telefonech?
Ten zlom přišel kolem roku 2012, kdy vznikl náš systém CASE. Myšlenku využít mobilní telefon pro jednorázová hesla jsme měli už mnohem dříve, ale tehdy předběhla svou dobu. Nakonec nás ale poptávka trhu a operátorů donutila najít řešení, které by nevyžadovalo hardwarové karty nebo drahé rozesílání ověřovacích SMS zpráv, za které banky platily obrovské peníze. Vyvinuli jsme mobilní token – aplikaci, do které vám vyskočí notifikace s detailem transakce a vy ji potvrdíte PINem (a dnes otiskem prstu nebo tváří). Bylo to obrovsky úspěšné, například pro ČSOB náš systém Smart klíč tyto SMS zprávy kompletně nahradil.
Byl to odrazový můstek pro to, co dnes známe jako Bank ID?
Přesně tak. My jsme začali prosazovat koncept federace identit. Pointa byla v tom, odtrhnout složité bankovní či byznysové aplikace od procesu ověřování uživatele. Místo toho, aby každá služba banky řešila přihlašování sama, vytvořili jsme centrálního „poskytovatele identity“. Tento systém bezpečně ověří, že jste to skutečně vy, a ostatním aplikacím vydá digitální potvrzenku, které mohou důvěřovat. Na tomto principu dnes funguje jak Bank iD, tak státní identita NIA ID.
Když se podíváš na dnešní kybernetické hrozby, kde vidíš největší slabinu? Jsou to stále technologie?
Paradoxně ne. Dnes jsou autentizační systémy tak silné, že se pro útočníky stalo mnohem jednodušší zacílit na člověka. Lidé dnes přicházejí o stamiliony korun ročně, protože podlehnou sociálnímu inženýrství. Útočníci uměle vyvolají pocit paniky nebo využívají citové vydírání – například předstírají záchranu peněz nebo dítěte v tísni. Jakmile uživatele dostanete do panického stavu, přestane racionálně uvažovat a i sebelépe zabezpečené systémy sám útočníkovi zpřístupní.
Monet+ se z úzké party nadšenců rozrostl na firmu o bezmála 300 lidech. Jak se to odrazilo na způsobu vaší práce?
Museli jsme změnit myšlení. Dříve to bylo o tom, že vývojář v podstatě navrhl, napsal i zprovoznil celý systém sám – vyžadovalo to ale, aby byl každý takovým „supermanem“. Dnes už razím přístup, který připomíná Fordovu pásovou výrobu. Máme specializované architekty, kteří vymýšlí celkový koncept, analytiky na detailní návrhy, vývojáře na psaní kódu a nezávislé testery. Každý dělá s maximální odborností svou část, což nám umožňuje tvořit neuvěřitelně robustní, bezpečné a kvalitní systémy i bez toho, abychom museli hledat tým poskládaný čistě ze superhrdinů.
V Monet+ jsi pětadvacet let. Co tě na tom kódu a kyberbezpečnosti dodnes tak drží?
Nejvíce mě na tom vždycky bavila ta komunikace v reálném čase a hlavně obrovský dopad na realitu. Ty systémy jsou v ostré produkci a dělají věci, které jsou pro fungování společnosti a milionů lidí naprosto klíčové. Dobře vím, že kdyby naše technologie najednou přestaly fungovat, byl by to venku opravdu obrovský problém. To je prostě adrenalin a zodpovědnost, která tě žene dál.
