"Дія" без міфів. Чому не варто боятися переходу з паперових паспортів на цифрові

У раніше опублікованій на сайті Фокус авторській колонці експерта з кібербезпеки Костянтина Корсуна була поставлена під сумнів безпека шифрування персональних даних, які використовуються в додатку "Дія". Як приклад був використаний кейс громадянки України Людмили Ж., на імʼя якої шахраями через додаток "Дія" був узятий кредит, оформлення якого неможливе без застосування ЕЦП. При цьому, як стверджував автор колонки, сама пані Людмила не брала кредит, не ставила електронний підпис і навіть не має ID-карти — у неї досі звичайний паперовий паспорт, а тому додатком "Дія" вона не користується.

Зі свого боку, представники міністерства в коментарі Фокусу запевнили, що подібний злом "не міг би завершитися отриманням кредиту за допомогою цифрового паспорта, якби фінансова установа грубо не порушила правила, встановлені НБУ. У правилах цієї фінустанови зазначено підтвердження особи людини за допомогою фото, чого, очевидно, не було зроблено". Також у міністерстві наполягають на тому, що після цього інциденту були вжиті необхідні заходи для гарантування безпеки, — "відразу після цього випадку, ще в квітні, Мінцифра відʼєднала всі кредитні установи від програми "Дія" та звернулася в НБУ з проханням здійснити позапланову перевірку фінустанов і надати підтвердження порушень".

Так наскільки надійний і безпечний розроблений фахівцями Мінцифри електронний паспорт громадянина України? Про це — у пропонованій вашій увазі авторській колонці керівника з розвитку електронних послуг Мінцифри Мстислава Баніка.

У 2021 році в українців є вже три законні форми паспорта громадянина: знаменита паспорт-книжечка зразка 1994 року, ID-карта і цифровий паспорт у Дії.

Нагадаю, що 30 березня 2021 року 302-ма голосами народних депутатів був ухвалений закон №1368-IX, який повністю прирівняв цифровий паспорт до паперового або пластикового.

Що ж таке паспорт?

Паспорт громадянина — головний документ людини. Він потрібен майже у всіх життєвих ситуаціях — під час отримання всіх публічних послуг, послуг у бізнесі, починаючи з працевлаштування чи заселення готель, до купівлі пива в супермаркеті. 

Відповідно, питання захисту такого документа — як із боку держави, так і з боку людини — має бути максимальним. По черзі розгляньмо безпеку кожної з форм паспорта українця.

Паспорт-книжечка

Усім знайомий славнозвісний паспорт зразка 1994 року. Безумовно, його "система безпеки" станом на 1994 рік відповідала вимогам. Але вже зараз вона не є непереконливо. Ба навіть банкноти сучасного зразка захищені більше, ніж паспорти-книжечки.

Нагадаю, як перевірити, що паспорт справжній:

1. Відбиток сухого друку — краєчок на фото, все інше — власне на сторінці.
2. Водяні знаки, які видно на просвіті, — написи "УКРАЇНА" по всій площі сторінки. Упевнений, що багато хто з вас взагалі вперше чують про це.
3. Під ультрафіолетом видно люмінесцентний герб та волокна.
4. Чіткість друкованих букв і зрізу отворів перфорації із серією та номером документа. Просто топовий індикатор захисту паспорта, однозначно.

Не бачу сенсу якось коментувати цю систему безпеки сьогодні, у 2021 році. Важливе інше — більшість людей ніколи в житті не чули про пункти 2-4 і просто не стикались з ними. В усіх життєвих ситуаціях дивляться фото, можуть глянути відтиск. У наш час це малозахищений паперовий документ із фото, який приймають просто на віру.

Отже, розуміємо, якими грандіозними є ризики підробки такого документа. І це може бути не просто документ на вигадану особу, а саме ваш підробний паспорт із фото шахрая або шахрайки, щоб підтвердити особу. І ви ніколи не дізнаєтесь, які операції з ними проводились без вашого відома. 

Якісного реєстру таких паспортів немає через застарілість даних у картотеках та архівах. У різних базах є "брудні" дані, які не можуть бути на 100% достовірними. Реєстр втрачених паспортів, щоб довести, що то був не ваш документ, — також містить далеко не всю інформацію за 27 років. 

Крім того, частина безпеки паспорта — це відомості про те, куди й на що йдуть його копії. І зараз йдеться не про "копія вірна" в банківських установах або дитячому садку — тут все більш-менш гаразд. Натомість риторичне питання: чи є у вас скан вашого паспорта в телефоні та скільки разів ви кидали його емейлом або "на вайбер" абсолютно невідомим вам рієлторам для оренди квартири у Львові або для покупки туру в Єгипет тощо? Здається, що навіть сам бог вже не знає, в кого є копії вашого паспорта.

ID-карта

Тут вже все значно оптимістичніше. Форма паспорта громадянина України у формі ID-карти ухвалена в 2016 році, і вже понад 6 мільйонів українців успішно перейшли на сучасну й безпечну форму такого паспорта. 

Зараз тривають баталії, щоб нарешті зробити актуальними саме ID-карти та почати виведення з обігу паспортів-книжечок. Законопроект №3986 може в майбутньому таки зрушити це питання.

Особливості безпеки ID-карти:

1. Усередині картки на максимально захищеному чипі містяться дані громадянина та його біометрія. Підробити чи зламати його захист неможливо.

2. Для перевірки або отримання даних за NFC використовується PIN-код, який людина встановлює самостійно під час отримання документа. Це записується виключно на чіп і ніхто, крім власника, не зможе скористатись "айдішкою".

Безпека — супер. Це той документ, який точно відповідає сучасності. Людині треба лише бути уважною — не губити його та нікому не повідомляти свій PIN.

Звісно, це питання "гігієни" поводження з документами, але тут як зі стежками — людина завжди ходитиме більш зручною для себе. 

Цифровий паспорт в "Дії"

У "Дії" доступні одразу два цифрові паспорти — ID-картка та біометричний закордонний. Річ у тім, що обидва ці документи мають однакову юридичну силу. Це визначено в статті 13 Закону України №1357-IX "Про Єдиний державний демографічний реєстр та документи, що підтверджують громадянство України, посвідчують особу чи її спеціальний статус". А оскільки ID-карток видано понад 6 мільйонів, а закордонних понад 17 — їхня практична доступність у "Дії" стає очевидною.

Але, будьте уважні: перетинати кордон із цифровим закордонним паспортом не можна.

По суті, цифровий паспорт у "Дії" є прямим відображенням даних із реєстру ДМС. Тобто, для того, щоб документ відобразився в додатку, потрібно отримати один із паспортів.

Особливості безпеки цифрового паспорта в "Дії":

• його не можна загубити;
• його не можуть викрасти і використовувати злодії;
• його неможливо підробити;
• для того, щоб отримати доступ до паспорту у втраченому телефоні, треба зламати код доступу до телефону та код доступу до "Дії";
• навіть якщо зловмисник дістався до "Дії", він нічого не зможе зробити, адже скріншот документа з програми не є копією паспорта і підставою для будь-яких угод.

Що стосується копії цифрового паспорта — ми винайшли зовсім іншу логіку замість "ксероксу" і "копія вірна". Покроково, як це працює:

1. Компанія підключається до "Дії", щоб мати можливість отримувати цифрові копії документів цз програми. Ми перевіряємо, чи має вона право на копії документів громадян, і якщо так — відбувається технічна інтеграція з нашою системою та авторизація компанії.
2. Під час надання послуги співробітник компанії сканує QR-код або штрих-код на звороті картки. Для цього людина розблокує телефон і вводить код доступу в "Дії".
3. Термін життя кодів — 3 хвилини. Тобто, старий код використовувати для запиту на документи не можна.
4. Після скана QR або штрих-коду людина отримує оповіщення в "Дію", де зазначається, хто і коли просить надіслати копію документа. Це важливо, щоб точно розуміти, хто отримає копію, і зафіксувати це в логах.
5. Якщо все гаразд — людина підтверджує запит на копію.
6. Далі в системі формується копія документа у вигляді PDF-файлу та в JSON-форматі (для автозаповнення форм у системі компанії), підписується електронним ключем "Дії" і надсилається шифрованих каналом.
7. Компанія отримує копію документа. Компанія, а не працівник. Він взагалі може не мати доступу до копії документа.
8. Власне копія — це не скан, не скріншот — це A4 з текстом та фото, на якому також зазначено, коли й за чиїм запитом була створена ця копія. Тобто повторно використати її неможливо.

Тож, як бачите, ми зробили процес максимально безпечним — із запитами та підтвердженнями, відсутністю людського фактора, логуванням та водночас у простому інтерфейсі. 

Що стосується перевірки, то дійсніть паспорта в "Дії" перевіряється через той самий QR. Він ініціює запит до реєстру ДМС та показує обмежені дані саме звідти. Тобто підроблений QR не зможе ніяк допомогти ввести в оману та показати несправжній документ. 

Наостанок.

Про безпеку паспорта зразка 1994 говорити особливо нічого — там безпека того ж 1994 року. 

ID-картка захищена, але можуть виникнути незручності з рідерами чіпів у побутових життєвих ситуаціях, тож документ досі ксерять та приймають на віру.

Паспорти в "Дії" та сценарії їхнього використання в життєвих ситуаціях є безпечними, мінімізують ризики та будь-які шанси на викрадення, підробку чи маніпуляції з документами з боку шахраїв. Документ завжди під рукою в телефоні, а перевірка чи запит на копію формуються через запит до реєстру ДМС, чим не може похизуватись ані книжечка, ані "айдішка".

Ми постійно підтверджуємо надійність застосунку. Мобільний застосунок отримав атестат відповідності Комплексної системи захисту інформації (КСЗІ) на мобільний застосунок "Дія 2.0". Ми успішно пройшли 2 pen-тести "Дії" із партнерами USAID та Академією е-урядування Естонії.

У грудні 2020 року команда Міністерства цифрової трансформації на платформі Bugcrowd за підтримки агентства з міжнародного розвитку США (USAID) провела тестування (багбаунті) на пошуки можливих помилок у "Дії" з призовим фондом 1 мільйон гривень. Це був челендж для "етичних" хакерів з усього світу. Ідея — "зламати" копію застосунку і знайти уразливості в "Дії 2.0". 

Етичні хакери зі всього світу підтвердили надійність "Дії" під час проведення програми Bug Bounty. У застосунку не знайшли вразливостей, які б впливали на безпеку. Знайдені два технічні баги найнижчого рівня, які одразу були виправлені фахівцями проекту "Дія".