Нито една криптографска защита не помага, ако потребителят доброволно даде своя код
Личната карта, шофьорската книжка, електронният подпис и достъпът до редица държавни регистри скоро могат да се съберат в едно приложение на мобилния телефон. Удобството е огромно, но с него идва и логичният въпрос - колко уязвими ще бъдем, ако устройството бъде откраднато, изгубено или попадне под контрола на хакери?
Затова личната карта, книжката, глобите и данъчните задължения влизат в цифров портфейл, но пластмасовите документи засега остават, пише "Флагман".
България подготвя Закон за европейския портфейл за цифрова самоличност. Проектът премина през обществено обсъждане, но все още не е окончателно приет. След гласуването ще трябва да бъдат разработени приложението, подзаконовите правила и националната система за сертифициране.
Цифровият портфейл няма да представлява папка със снимки на личната карта и книжката. В него ще се съхраняват защитени електронни удостоверения, чрез които човек ще доказва самоличност, възраст, правоспособност или друго конкретно обстоятелство.
Приложението ще осигурява достъп до съобщенията в Системата за сигурно електронно връчване, електронните фишове, актовете и наказателните постановления. През него ще могат да се проверяват данъци и такси, да се проследяват заявени административни услуги и да се получават документи от електронното правосъдие.
Една от най-важните възможности ще бъде представянето на електронен документ за самоличност. Това обаче не означава незабавно отпадане на пластмасовата лична карта. Тя ще продължи да действа, докато новата система бъде изградена, сертифицирана и призната от институциите.
Използването на европейския портфейл трябва да бъде доброволно. Гражданинът ще решава дали да го инсталира и при какви случаи да го използва. За физическите лица приложението се предвижда да бъде безплатно.
Проектът включва и възможност за квалифициран електронен подпис, платен от държавата, когато се използва за лични, а не за професионални или фирмени цели. Така заявления, декларации и договори ще могат да се подписват директно през телефона.
Големият страх е, че загубата на устройството може да даде на непознат достъп до цялата самоличност на притежателя. Европейската система обаче е проектирана така, че отварянето на телефона да не означава автоматично отваряне на портфейла.
Достъпът трябва да бъде защитен с ПИН код, биометрично разпознаване или друга сигурна идентификация. При изгубено или откраднато устройство компрометираният портфейл ще може да бъде спрян, а неговите електронни удостоверения - отменени.
Рискът обаче никога не може да бъде сведен до нула. Ако телефонът е отключен, операционната му система не се обновява или върху него бъде инсталирано зловредно приложение, защитата може да бъде заобиколена.
Особено опасни ще останат фалшивите съобщения от името на държавни институции. Измамниците могат да изпращат линкове за уж задължително активиране, обновяване или потвърждаване на цифровия портфейл.
Най-слабата точка вероятно няма да бъде самото приложение, а човекът пред екрана. Нито една криптографска защита не помага, ако потребителят доброволно даде своя код, разреши дистанционен достъп или инсталира фалшива версия на портфейла
Другото голямо опасение е държавата да получи възможност да проследява кога, къде и пред кого използваме цифровата си самоличност. Европейската комисия твърди, че системата е разработена в обратната посока - информацията да остава под контрола на гражданина и да не се събира в обща европейска база.
Данните трябва да се пазят локално в портфейла. Потребителят ще вижда кой е поискал информация, каква част от нея е предоставена и за каква цел.
Ключова защита е т.нар. избирателно разкриване. При проверка дали човек е пълнолетен няма да е необходимо да се показват името, ЕГН, адресът и датата на раждане. Системата ще потвърди единствено, че лицето е навършило 18 години.
Това може да се окаже по-сигурно от сегашната практика да изпращаме снимка на цялата си лична карта, когато дадена услуга се нуждае само от един конкретен факт.
Портфейлът трябва да има и история на извършените операции. Така гражданинът ще може да проверява на кого е предоставял информация и да сигнализира при съмнение за злоупотреба.
Концентрирането на толкова важни функции в едно устройство все пак увеличава последствията от успешна атака. Пробивът вече няма да застрашава само снимките, контактите и социалните профили, а може да засегне идентификацията, електронния подпис и достъпа до административни услуги.
Затова решаващи ще бъдат техническото изпълнение, независимото сертифициране и ясната процедура за блокиране на портфейла. Необходимо е гражданинът да може незабавно да спре достъпа от друго устройство или чрез държавен канал.
Всеки потребител ще трябва да заключва телефона си, да използва силен код, да активира биометрична защита и да инсталира приложения само от официалните магазини. Линкове, изпратени по SMS, имейл или чат, не трябва да се използват за обновяване на портфейла.
Цифровата самоличност може да спести опашки, копиране на документи и десетки посещения в администрацията. Тя обаче няма да премахне опасността от измами. Ще промени начина, по който те се извършват, и ще направи дигиталната грамотност също толкова важна, колкото пазенето на физическия портфейл, пише "Флагман".
