Szeptember 11-én életbe lépett az Európai Unió kiberbiztonsági jelentési rendszere, ami az érintett digitális termékek gyártóit gyors hatósági tájékoztatásra kötelezi. A szabály a kereskedelmi forgalomban elérhető hardveres és szoftveres kriptotárcák egy részére is kiterjed, de nem minden tárcaprojekt és biztonsági rés tartozik automatikusan alá.
Az Európai Unió piacán forgalmazott digitális termékek gyártóinak szeptember 11-től 24 órán belül előzetes jelentést kell tenniük, ha aktívan kihasznált sebezhetőségről vagy a termék biztonságát érintő súlyos incidensről szereznek tudomást.
A kötelezettséget az EU kibervédelemről szóló rendelete, a Cyber Resilience Act, röviden CRA vezette be. Az Európai Bizottság tájékoztatója szerint a szabály minden olyan érintett hardverre és szoftverre vonatkozik, amelyet az uniós piacon elérhetővé tesznek, és rendeltetésszerű vagy észszerűen előrelátható használata során közvetlenül vagy közvetve más eszközhöz vagy hálózathoz kapcsolódik.
Ebbe a kategóriába egy USB-n vagy Bluetoothon keresztül kommunikáló hardvertárca, valamint egy alkalmazásboltból letölthető, internetkapcsolatot használó tárcaszoftver is belefér. A szabályozás ugyanakkor nem sorol fel konkrét kriptotárcákat vagy gyártókat, minden terméknél külön kell vizsgálni, hogyan működik, miként kerül piacra, és vonatkozik-e rá valamilyen törvényi kivétel.
Három lépcsőben kell jelenteni az incidenseket
A CRA fokozatos jelentési rendszert ír elő. Az első értesítést indokolatlan késedelem nélkül, legfeljebb 24 órával azután kell elküldeni, hogy a gyártó tudomást szerzett az eseményről.
Ebben az előzetes figyelmeztetésben meg kell jelölni azokat a tagállamokat, ahol az érintett terméket a gyártó tudomása szerint forgalomba hozták. Súlyos biztonsági incidensnél azt is közölni kell, ha felmerül, hogy az esemény mögött jogellenes vagy rosszindulatú tevékenység áll.
A következő határidő 72 óra. Eddig kell benyújtani a részletesebb értesítést, amely már tartalmazza a termék, a sérülékenység vagy az incidens általános leírását, az első kockázatértékelést, valamint az addig elérhető javítási és védekezési lehetőségeket.
A harmadik zárójelentés határideje az esemény típusától függ:
- aktívan kihasznált sebezhetőségnél legfeljebb 14 nappal azután esedékes, hogy javítás vagy kockázatcsökkentő intézkedés történt;
- más, súlyos incidensnél a 72 órás részletes értesítéstől számított egy hónapon belül kell benyújtani a zárójelentést.
A jelentések az ENISA, az Európai Unió kiberbiztonsági ügynöksége által elindított Single Reporting Platformon keresztül kerülnek a hatóságokhoz. A gyártónak egyszer kell feltöltenie az információkat, amelyeket a megfelelő nemzeti incidenskezelő csoport, valamint az ENISA is megkap. Az adatokat ezután továbbíthatják azoknak a tagállamoknak, amelyekben az érintett termék elérhető.
Nem kell minden biztonsági résről beszámolni
A jelentési kötelezettség nem indul el pusztán attól, hogy valaki hibát talál egy tárca szoftverében vagy egy eszköz firmware-ében. A CRA szerint egy sebezhetőség akkor számít aktívan kihasználtnak, ha megbízható bizonyíték áll rendelkezésre arról, hogy egy rosszindulatú szereplő a rendszer tulajdonosának engedélye nélkül már felhasználta azt.
Ha tehát például egy felhasználó, egy etikus hacker vagy a gyártó saját tesztelése során sikerül feltárni és kijavítani egy hibát, az nem kerül bele a kötelező jelentési körbe, ha nincs nyoma annak, hogy azt korábban támadók is kihasználták.
A már forgalomban lévő tárcák is érintettek lehetnek
A CRA több termékbiztonsági követelménye csak 2027. december 11-től válik alkalmazandóvá, de a jelentési kötelezettségnél nincs ilyen általános átmeneti mentesség. A gyártóknak emiatt a már a 2027 decembere előtt piacra kerül termékek aktívan kihasznált hibáiról és súlyos incidenseiről is be kell számolniuk.
A gyártónak a hatóság mellett az érintett felhasználókat is tájékoztatnia kell, és ha a veszély csökkentéséhez felhasználói lépés szükséges, az értesítésnek az elvégezhető intézkedéseket is ismertetnie kell. Kriptotárcánál ez jelenthet sürgős alkalmazásfrissítést vagy akár az eszközök biztonságos áthelyezésére vonatkozó útmutatást.
A nyílt forráskód sem jelent teljes mentességet
A kriptotárcák jelentős része nyílt forráskódú, de ez önmagában nem vonja ki őket a rendelet hatálya alól. Jó példa erre a Trezor: a vállalat kereskedelmi forgalomban értékesíti hardvertárcáit, miközben a készülékek hardvertervei, firmware-e és a kezelésükre szolgáló Trezor Suite kódja is nagyrészt nyilvánosan hozzáférhető. Egy ilyen termék tehát attól még a CRA hatálya alá kerül, hogy a működése külsőleg ellenőrizhető.
Más helyzetet képvisel a Bitcoin Core, amely ingyenes, MIT-licencű szoftver, tárcafunkciót is tartalmaz, fejlesztésében pedig nagyszámú önkéntes és alkalmi közreműködő vesz részt. Azok az egyéni fejlesztők, akik nem vállalnak felelősséget a teljes termékért, pusztán a kódhoz való hozzájárulásuk miatt nem válnak a CRA szerinti gyártóvá. A fejlesztők támogatása vagy az adományok elfogadása sem teszi automatikusan kereskedelmi termékké a programot, de egy nagyobb incidensnél a konkrét finanszírozási és terjesztési modellt külön megvizsgálhatja a hatóság.
Hasonló háttere ellenére egészen más kategóriába tartoznak az úgynevezett open-source steward szervezetek, melyekhez például a BTCPay Server Foundation tartozhat.
A BTCPay Server egy ingyenes, saját szerveren is futtatható, nyílt forráskódú bitcoin fizetési rendszer, amely beépített tárcakezelést is kínál. A steward kategória azt jelenti, hogy van egy konkrét fenntartó, ami jogi személyként tartósan támogatja egy kereskedelmi felhasználásra szánt projekt fejlesztését, és meghatározó szerepet játszik annak fennmaradásában.
A besorolás a távoli szervereket használó tárcáknál is összetett lehet. Az Electrum például egy nyílt forráskódú, helyben telepíthető Bitcoin-tárca, de a blokklánc adatainak lekéréséhez Electrum-szerverekhez kapcsolódik. A CRA szempontjából ilyenkor vizsgálni kellene, hogy ezeket a szervereket ki fejleszti és működteti, a tárca működéséhez nélkülözhetetlenek-e, illetve a tárca készítője felelősséget vállal-e értük.
A most elindult jelentési rendszer a CRA szélesebb bevezetésének első szakasza. A 24 órás határidő bevezetése nem jelenti azt, hogy egy tárcákat érintő incidens okát és teljes kiterjedését egyetlen nap alatt fel kell tárni, csak egy korai figyelmeztetés kiadására kötelez, amelyet a vizsgálat előrehaladtával további információk követnek. A változás célja, hogy szűkítse azt az időszakot, ami alatt egy gyártó kizárólag saját hatáskörben kezelhet egy már támadásokban kihasznált hibát, miközben a sérülékenység közvetlenül veszélyeztetheti a felhasználók privát kulcsait és kriptoeszközeit.
Feltörték a Trezor hírlevélküldő szolgáltatóját, 347 000 címre ment ki a csaló levél