Jak mohou vývojáři zacházet s certifikáty veřejných klíčů a OpenSSL?
Existuje mnoho studií, které odhalují špatnou použitelnost bezpečnostního softwaru u běžného koncového uživatele. Nicméně jen málokdy se řeší výzvy použitelnosti pokročilejšími uživateli, např. vývojáři. Provedli jsme experiment s cílem posoudit použitelnost rozhraní příkazové řádky OpenSSL, dobře známé a široce používané kryptografické knihovny. Na základě získaných výsledků se pak snažíme se navrhnout konkrétní zlepšení, která by povzbudila bezpečnější chování. Se získanými výsledky považujeme použitelnost OpenSSL za nedostatečnou jak podle názorů uživatelů, tak i standardizovaných metrik. Navíc se zdá, že vnímaná použitelnost koreluje s předchozími zkušenosti a použitými zdroji při práci. Nejvíce šokující byla velká disproporce mezi názory účastníků na úspěšné splnění úkolů a realitu. Dle očekávání se potvrdila obecná nespokojenost s rozhraním OpenSSL i manuálovými stránkami. Jak naznačil jeden účastník, OpenSSL se postupně „změnilo v komplikovanou sadu ostrých kuchyňských nožů“ – tzn. mohou velmi dobře dělat různé úkony, ale laikové riskují to, že se zraní.
V následující studii jsme zkoumali chyby při ověření certifikátu veřejného klíče a pozorovali 75 lidí, kteří zkoumali a hodnotili odlišné chyby ověřovaného certifikátu. Dále jsme se zaměřili na vliv přeformulované chybové zprávy a předělanou dokumentaci. Zjistili jsme, že IT profesionálové mají mírně rozdílné (a většinou správné) názory týkající se testovaných chyb certifikátu. Zdá se však, že příliš důvěřují samo-podepsaným certifikátům a certifikátům s omezením jména (a tyto byly také špatně pochopeny). Přepracované chybové zprávy a dokumentace pomohly zvýšit porozumění v omezení jména a snížit vnímanou důvěryhodnost v samo-podepsaný certifikát. Odkazy na dokumentaci poskytovanou přímo v chybové zprávě měly velký dopad a ukazují na dobrou a efektivní příležitost dovést IT profesionály k důvěryhodnému sjednocenému zdroji dokumentace.
Vašek Matyáš
Vašek Matyáš je profesorem a také proděkanem pro vztahy s průmyslem a absolventy Fakulty informatiky Masarykovy univerzity. Věnuje se aplikované kryptografii, bezpečnosti IT a ochraně informačního soukromí – v těchto oborech publikoval přes 150 peer-reviewed publikací, včetně několika knih. Dříve působil mj. v Red Hat Czech, na Carnegieho-Mellonově univerzitě, na Harvardově univerzitě, v Microsoft Research Cambridge, University College Dublin, ecom-monitor.com, v laboratoři Ubilab u UBS AG, u londýnské certifikační autority Uptime Commerce, také jako Royal Society Postdoctoral Fellow na University of Cambridge. Podílel se i na vývoji Common Criteria a práci v ISO/IEC JTC1 SC27, je členem Association for Computing Machinery (ACM).