Вразливості Дії

Експерти з кібербезпеки підсумували проблеми Дії

Два тижні тому ми згадували мобільний застосунок “Дія” в нашому повідомленні про великий витік персональних даних українців. Сьогодні нам стала відома цікава аналітика щодо безпеки “Дії”.

Відомі українські фахівці з кібербезпеки Андрій Баранович, Андрій Перцюх, Артем Карпинський, Костянтин Корсун, Кір Важницький, Олександр Мацько та Роман Хіміч склали перелік поточних проблем застосунку “Дія”. Ми вважаємо, що для багатьох із цих проблем існують вагомі докази їхнього існування. Інші проблеми є тільки потенційними вразливостями та загрозами.

В інформаційній безпеці та управлінні ризиками цілком нормально працювати не лише з доведеними проблемами, але також з потенційними. Принаймні, вони заслуговують на увагу, тому що можливі наслідки реалізації цих проблем дуже великі, навіть якщо ймовірність такої реалізації не є високою.

У матеріалах деяких із перелічених авторів за останні роки прослідковується жорстка критика певних чиновників у галузі цифровізації та прослідковується опозиційна точка зору щодо чинної влади. Ці факти не є на користь об’єктивності цієї статті, але, безперечно, її автори є професіоналами високого рівня в інформаційній безпеці. Тому ми вважаємо цей матеріал достатньо цікавим та гідним публікації. Із дозволу авторів, ми надаємо цей аналіз повністю, в авторській редакції, з мінімальними корекціями правопису та пунктуації. Стилістика документу не коригувалася.

Що не так із Дією?

Громадянам України все більш наполегливо нав’язують застосунок Дія як безальтернативний засіб надання державних електронних послуг. Але в Дії існує ряд серйозних проблем: як з її архітектурною моделлю, так і з якістю її реалізації. Багато українців підсвідомо здогадуються, що щось тут не так.

Українські ж фахівці з кібербезпеки попереджали про можливі проблеми ще до запуску першої версії Дії. Зауважували на серйозні недоліки також після публічного запуску цього застосунку. Публічно та непублічно наполягали на неприпустимості ігнорування наявних проблем. Але розробники та ідеологи Дії продовжують «не помічати» критики, і це вже призводить до реалізації деяких ризиків.

Наразі багато українців вже підсвідомо здогадуються, що щось тут не так, але більшість все ще не розуміє, у чому ж саме полягають проблеми застосунку Дія. Для роз’яснення «що не так із Дією» ми вирішили зібрати усі наявні проблеми даного мобільного застосунку в єдиний документ.

Якщо Ви погоджуєтеся з усіма або більшістю нижче наведених аргументів або з інших причин не задоволені застосунком Дія, – будь ласка, поширюйте посилання на даний документ усіма доступними способами та каналами.

Перелік проблем:

1. Суттєві дефекти архітектури застосунку Дія.
2. Обробка та зберігання персональних даних у застосунку Дія.
3. Можливість перехоплення та накопичення персональних даних під час перевірки е-документів у застосунку Дія.
4. Можливі шахрайства з використанням Дії.
5. Можливість слідкувати за користувачами через застосунок Дія.
6. Ризики дистанційного несанкціонованого проникнення до смартфону (“зламу”) зі встановленим застосунком Дія.
7. Неможливість самостійно заблокувати свій акаунт у Дії (опція Opt-Out).
8. Ризики фальсифікації «виборів у смартфоні» з використанням застосунку Дія.
9. Ризики «повістки через Дію».
10. Ризики відсутності доступу до Інтернет застосунку Дія.
11. Не всі громадяни мають можливість користуватися застосунком Дія.
12. Надмірна централізація системи та агрегація повноважень.
13. Відсутність правил користування застосунком та механізму контролю за дотриманням цих правил.
14. Ігнорування чинного законодавчого регулювання зі створення програмних продуктів.
15. Створення штучної монополії застосунку Дія.
16. Відсутність у публічному доступі документації на застосунок Дія.
17. Відсутність публічного доступу до вихідного коду застосунку Дія.
18. Відсутність інформації про зовнішні незалежні аудити безпеки застосунку Дія.
19. Сумнівність об’єктивності проведення державної експертизи застосунку Дія.
20. Незадовільний рівень комунікації розробників застосунку Дія з користувачами та ІТ-фахівцями.
21. Можливість необмеженого клонування документів у застосунку Дія.
22. Непрозорість порядку використовувати застосунок Дія іншими організаціями.

Детальний опис проблем

1. Суттєві помилки під час проектування архітектури застосунку

У застосунку Дія порушений один із базових принципів у царині віддаленої (електронної) ідентифікації – розмежування інструментів ідентифікації за рівнями довіри.

Наприклад, для ідентифікації користувача високого рівня довіри, яким має бути власник цифрового паспорта, в Дії дозволено використовувати BankID – програмний інструмент із всього лише середнім рівнем довіри. Між тим, неодноразово доведено, що BankID у нинішньому вигляді не забезпечує достатньої безпеки та є вразливим для примітивних атак. У випадку інцидентів із використанням BankID в кредитно-фінансовій сфері, можливі втрати користувачів теоретично можуть бути компенсовані за рахунок фінансових та банківських установ, які підтримують даний інструмент.

Унаслідок використання BankID для ідентифікації користувача Дії, порушено принцип розмежування рівнів довіри. Інструменти з високим рівнем довіри можуть бути використані для ідентифікації користувачів цифрових сервісів, що потребують середнього та низького рівнів довіри. Інструменти середнього рівня довіри можуть бути використані для ідентифікації користувачів сервісів, для яких достатньо низького рівня довіри. В Дії все зроблено навпаки: інструментами середнього та низького рівня довіри ідентифікуються користувачі найбільш критичних сервісів, а саме цифрових документів, що засвідчують особу.

Подібні помилки становлять потенційну загрозу для користувачів програм та мобільних застосунків, де порушено вищезгаданий принцип розмежування рівнів довіри. За будь-яких обставин електронний ідентифікаційний документ, наприклад, електронний паспорт для виїзду за кордон, – повинен бути захищеним виключно засобами найвищого рівня довіри, чого не можна сказати про чинний застосунок Дія.

2. Застосунок Дія обробляє та зберігає персональні дані

Попри численні заяви різних чиновників, Дія збирає, зберігає та обробляє персональні дані. А саме, реєструє, накопичує, адаптує, змінює, поновлює, використовує та поширює. Про це прямо написано на сайті Дії та у розділі «Меню/Повідомлення про обробку персональних даних» мобільного застосунку Дія.

Цитата:

«7. Персональні дані зберігаються Міністерством цифрової трансформації України протягом строку функціонування електронного кабінету суб’єкта персональних даних на Порталі Дія, але не довше 5 років, якщо законодавством не визначено інший строк їх зберігання».

Портал Дія та мобільний застосунок Дія є частинами однієї системи, в якій відбувається синхронізація наявної інформації, а тому інформація з порталу також дублюється у мобільному застосунку.

Також персональні дані передаються з одного пристрою на другий під час перевірки цифрових документів, що неодноразово публічно демонструвалося експертами.

3. Існує можливість перехопити дані під час перевірки е-документів

Під час надання цифрових документів паспортні дані людини можуть приховано копіюватись до телефону того, хто зчитує, тому давати на зчитування своїх даних Дію можна тільки працівникам поліції в одностроях, за умови пред’явлення службового посвідчення або значка з номером. Ці ж дані проходять через інфраструктуру Мінцифри, але невідомо, яким чином вони обробляються.

4. Можливе шахрайство з використанням Дії

Наразі існує можливість віддалено відкрити банківський рахунок із використанням застосунку Дія. Наразі відомо про щонайменше кілька випадків несанкціонованого входу зловмисників в облікові записи жертв застосунку Дія та з подальшим скоєнням протиправних дій стосовно постраждалих із корисливою метою (оформити кредит на власника телефону, купити товар у магазині в розстрочку, здійснити інші зловживання).

Ті самі можливості для шахраїв існують у разі викрадення телефону. Таких випадків лише за офіційною статистикою в середньому 4566 на місяць (дані за 2021 рік).

5. Можливість слідкувати за користувачами

Мінцифри в особі Державного підприємства “Дія” (яке розробляє та підтримує застосунок Дія та цифрові документи) має технічну можливість слідкувати за власником смартфону, на якому встановлено застосунок Дія. Слідкування може бути реалізоване як у самому застосунку Дія, як окрема функція, так і на стороні серверів, що обслуговують застосунок та логують кожну дію користувача, час та місце використання будь-якої функції застосунку. Таке слідкування, зберігання логів активності та їх обробка – нічим не регламентовані, а ДП Дія, яке випускає застосунок, не проходить регулярні незалежні перевірки та постійно від них відмовляється, що не є підтвердженням добрих намірів із боку команди, що розробляє та підтримує функціонування застосунку Дія.

Незалежні перевірки – це такі перевірки, які проводять всесвітньо відомі професійні кібербезпекові компанії, які мають бездоганну репутацію та жодним чином не пов’язані ані з розробниками Дії, ані з їхніми політичними керівниками. Результати таких перевірок мають публікуватися із зазначенням, що саме і як саме перевірялося.

6. Ризики дистанційного проникнення до смартфону зі встановленим застосунком Дія

З боку держави: у разі зацікавленості, виробник Дії може дистанційно встановити на мобільний телефон користувача Дії “оновлення з додатковими функціями”, іншими словами, шпигунську версію Дії. Таким чином, користувач навіть не матиме гадки про проведення негласних дій спостереження, законність яких може бути поставлена під сумнів. Застосунок Дія запитує найбільші привілеї в мобільному телефоні, від камери (мікрофон у комплекті) до дискового сховища, а отже, всі необхідні права вже надано, та додаткового запиту не буде. З боку третіх осіб: відомі випадки, коли злочинці отримали повний контроль над смартфонами та усіма встановленими в ньому застосунками. Часто користувачі про це навіть не здогадувалися.

Приклад: у 2021 році Служба безпеки України повідомила про затримання групи зловмисників, які спеціалізувалися на дистанційному зламі мобільних пристроїв та незаконному зборі персональних даних. Вартість зламу одного смартфону коштувала 200 доларів США.

“Хакнутий” третіми особами мобільний телефон – це, безумовно, проблема в будь-якому випадку, але “хакнутий” телефон із Дією надає третім особам значно більше можливостей, ніж просто “хакнутий” телефон.

7. Неможливість самостійно заблокувати свій акаунт в Дії (опція Opt-Out)

Фактично, можливість активувати акаунт у застосунку Дія існує у кожного громадянина України, який отримав ID-картку або закордонний паспорт із біометричним чипом (документи, які містять цифрові фото).

При цьому не має значення, чи є у громадянина намір користуватися своїм акаунтом (обліковий запис) у Дії, – така можливість все одно існує, та нею може скористатися стороння особа без відома легального користувача. Наразі цим користуються шахраї для викрадення кредитних коштів, оформлених на людей, які з різних причин не активували свій обліковий запис.

Але в подальшому цю ж можливість “угону” цифрової особистості можна застосувати і для інших юридично значущих дій без відома особи: реєстрації місця проживання, виклику в суд, операцій із нерухомістю, голосування на виборах тощо.

Тобто, наразі у розпорядженні громадян відсутні будь-які інструменти управління ризиками, пов’язаних із цифровими документами:

• можливість заблокувати свій обліковий запис;
• можливість заборонити активацію цифрових документів, що засвідчують особу;
• можливість відмовитися від користування вже активованими цифровими документами;
• сповіщення про несанкціоновану спробу активувати новий примірник вже заблокованих цифрових документів.

Наявність зазначених можливостей/інструментів (так звана опція Opt-Out) могла б стати на захист прав громадянина у вирішенні спірних ситуацій (приклад отримання кредиту третьою особою шляхом маніпуляцій та шахрайських дій, або безпосередньо через викрадення терміналу (смартфону) чи злам комп’ютерної системи (комп’ютера) тощо.

Ефективним рішенням проблеми несанкціонованого використання акаунту в Дії сторонніми особами могла б стати його обов’язкова перша активація шляхом особистого візиту в ЦНАП із паперовим/пластиковим паспортом та відповідною заявою. А також можливість аналогічним чином юридично «заморозити» будь-які операції в Дії шляхом особистого візиту в ЦНАП з документами.

Також бажано запровадження механізму, яким би блокувалась та фіксувалась (з подальшою автоматичною процедурою повідомлення поліції) кожна спроба використання Дії від імені тих громадян, які відмовилися від користування зазначеним державним сервісом.

Технічно та організаційно впровадження подібного захисту не є складним питанням, але чомусь такої можливості громадянам України не пропонується, попри значний соціальний запит та великі ризики.

8. Ризики фальсифікації «виборів у смартфоні»

Безпосередньо В. Зеленський та М. Федоров неодноразово озвучували тези про їхню головну мету – голосування на виборах через смартфон. Ймовірно, мається на увазі використання для цього застосунку Дія.

Великий негативний досвід фальсифікацій під час традиційних виборів свідчить про великі ризики. А реалізація такої ідеї містить загрозу національній безпеці та спробу повалення конституційного ладу шляхом фальсифікації виборчого процесу онлайн.

Загалом, під час онлайн-виборів неможливо забезпечити таємність голосування, голосування без примусу, та одночасно провести прозорий перерахунок голосів.

Жодна країна Світу (крім Естонії) поки що не наважилась провести онлайн вибори.

У квітні 2020 більше 80 керівників та провідних співробітників науково-дослідницьких організацій США, працівники наукових установ та провідних експертів, у тому числі, такі всесвітньо відомі експерти, як Брюс Шнаєр та Мартін Хеллман, звернулися відкритим листом до держсекретарів штатів та керівників виборчих комісій США з вимогою “утриматися від дозволу використовувати будь-яких систем Інтернет-голосування”.

В Естонії голосують онлайн близько 45% виборців, але ця країна будувала власну модель онлайн-голосування близько 20 років, під ретельним контролем громадськості, місцевих політичних партій та представників Європейського Союзу. За цей час у системі онлайн-голосування було виявлено багато критичних уразливостей, вона постійно доопрацьовується найкращими фахівцями, але наразі цей метод голосування працює на принципах, кардинально відмінних від застосунку Дія, а також на основі неймовірно високої довіри громадян до влади.

9. Ризики «повістки через Дію»

Ризик стати жертвою сумнівних та протиправних дій з боку держави чи третіх осіб через впровадження та легітимізацію «автоматичного гарантованого повідомлення» громадян про “попередження”, “повістку”, “виклик у суд” та подібні дії. Це також неодноразово озвучена мета Мінцифри, яка може бути реалізована та додасть громадянам проблем. Уявімо ситуацію, коли за якихось причин громадянин не користується, або більше не користується застосуном Дія, на який приходить повідомлення про виклик до суду через позов щодо власності громадянина. Юридично, надіслане таке повідомлення є ознакою фактичного повідомлення. А отже, непоява громадянина в суді, або несвоєчасне подання запиту про перенесення судового засідання з будь-якої причини дає можливість (державі, шахраям, «чорним реєстраторам» тощо) маніпуляцій у судовому процесі не на користь громадянина.

10. Ризики відсутності доступу до Інтернет

Згідно з заявами розробників застосунку Дія, застосунок не зберігає електронні документи громадян, при цьому зображення з даними документу – зберігаються у смартфоні.

Але легітимність їх відображення в смартфоні користувача можливо перевірити лише за наявності доступу до Інтернет. Недавні події в Казахстані (коли під час протестів влада вимикала доступ до Інтернет) показали, що схожа ситуація цілком може статися за певних умов і в Україні. У разі тривалої відсутності доступу до Інтернет, документи в Дії стануть лише нелегітимними картинками у смартфоні. Аналогічна ситуація є актуальною в деяких районах України, де зараз відсутній або нестабільний доступ до Інтернет.

За таких умов виникає необхідність завжди носити з собою паперові або пластикові документи, що ставить під сумнів доцільність встановлення та використання застосунку.

Дія є централізованою системою (частиною якої є мобільних застосунок Дія), і у разі відмови одного з елементів зупиняється вся система. Ми вже були свідками численних відмов у обслуговуванні сервісів Дії. Отже на працездатність такого важливого застосунку можна легко вплинути через локальне (глушилки), або глобальне відключення доступу до Інтернету для користувачів.

Легітимність електронних документів не повинна жодним чином залежати від наявності або відсутності доступу до Інтернет, е-документи мають бути самодостатніми.

11. Не всі громадяни мають можливість користуватися Дією

Для використання Дії необхідний сучасний смартфон, але не всі громадяни України мають можливість його придбати. Це є реальною проблемою через примусове обмеження надання певних функцій виключно через застосунок (наприклад, сертифікатів про вакцинацію).

Також не скрізь у країні є доступ до Інтернет.

Деяким людям (особливо старшого віку) важко вводити пін-коди, тому для них їхні родичі або всі пін-коди знімають, або ставлять коди типу 1111. Дія з простим пін-кодом – це дуже небезпечно. Розробники не мають можливості контролювати, наскільки ефективно користувач захистив свій смартфон, і покладаються на високий рівень обізнаності щодо правил персональної кібербезпеки власника/користувача смартфону.

Належне користування цифровими документами, що засвідчують особу, передбачає наявність багатьох навичок, які геть не очевидні для багатьох громадян, особливо, старших вікових категорій. Мінцифри не пропонує ані офіційного керівництва для користувачів, ані офіційних рекомендацій, які містили б вичерпні керівні вказівки для всіх без винятку критичних аспектів користування цифровими паспортами та застосунком Дія.

Модель надання державних електронних послуг у форматі застосунку Дія або штучно позбавляє таких громадян можливостей отримувати державні цифрові послуги, або наражає їх на ризики, для управління якими не пропонує належних інструментів.

12. Надмірна централізація системи та агрегація повноважень

Зосередження надвеликих прав у адміністраторів Дії та відсутність системи моніторингу та запобіжників їх роботи призводить до появи величезної спокуси для таких адміністраторів, що можуть за певне заохочення, або під примусом зібрати інформацію про певні аспекти життя громадян та передати цю інформацію на користь третіх осіб, або надати власний адміністративний доступ третім особам.

Занепокоєння викликає також можлива надмірна агрегація повноважень.

Інциденти останнього часу, такі, як, наприклад, вразливість Log4Shell, та більш відомі види атак (наприклад, SQL Injection) можуть також бути використані з рівня адміністраторів Дії та призвести до пошкодження або іншого впливу на реєстри персональних даних громадян. Наприклад, існує вірогідність можливості створення запиту до будь-якого підключеного реєстру, який внесе зміни або навіть призведе до втрати даних чи навіть їх знищення, оскільки виконаний він буде з правами адміністраторів Дії.

За результатом зламу великої кількості державних сайтів скомпрометованими виявились не тільки бази даних і програмний код порталу Дія, а ще й приватні ключі SSL-сертифікатів до доменів державних сайтів. Це ті самі сертифікати, що захищають ваше з’єднання з сайтом. Але навіть після відновлення роботи цих ресурсів протягом десяти днів ніхто не потурбувався перевипустити SSL-сертифікати. Така вражаюча некомпетентність ставить під ризик подальшого витоку особливо чутливі автентифікаційні дані користувачів (логіни та паролі).

13. Відсутність правил користування застосунком та механізму контролю за дотриманням цих правил

Мінцифри передбачає покладання значної кількості ризиків використання застосунку Дія на його користувачів. У смартфоні користувача зберігаються усі його е-документи, що засвідчують особу, які Згідно Закону України прирівняні до паперових/пластикових.

При цьому ніде не визначаються у належний спосіб правила користування застосунком, вимоги щодо безпечного доступу до нього, правила кібер-гігієни під час користування смартфоном, потенційні ризики компрометації тощо.

14. Ігнорування чинного законодавчого регулювання зі створення програмних продуктів

Для функціонування застосунку Дія майже відсутнє законодавче регулювання.

Формально електронні документи прирівняно до офіційних нечіткими фразами у Законі України «Про внесення змін до Закону України “Про Єдиний державний демографічний реєстр та документи, що підтверджують громадянство України, посвідчують особу чи її спеціальний статус”:

“е-паспорт – паспорт громадянина України у формі електронного відображення інформації, що міститься у паспорті громадянина України”.

Але в жодному Законі України не визначено технічні та технологічні параметри таких е-документів, вимоги до процесу розробки застосунку та його експлуатації, прийнятні технології та їх узгодженість, можливості незалежного (у тому числі громадського) контролю цих процесів, прив’язка до існуючих міжнародних стандартів та багато іншого.

Також законодавчо не визначено вимоги до безпеки Дії: припустимі підходи та практики, стадії контролю та тестування, критерії оцінки загальної безпеки, кількість та періодичність незалежних оцінок захищеності та ін.

На практиці, розробка та модернізація застосунку Дія відбувається згідно внутрішніх документів Мінцифри, публічний доступ до яких або не надається, або обмежено грифом секретності «Для службового користування».

Також слід зазначити, що створення програмних продуктів на замовлення державних органів регулюється Постановою 869 “Про затвердження загальних вимог до програмних продуктів, які закуповуються та створюються на замовлення державних органів” від 12 серпня 2009 р. Але у випадку розробку застосунку Дія більшість з даних вимог просто проігноровано.

Законодавча невизначеність вже стала підставою для кримінального переслідування кількох громадян, що створювали застосунки візуально схожі на застосунок Дія, але не здійснили жодних втручань у ІТ інфраструктуру держави. І хоч їхня діяльність сумнівна з етичних питань, з точки зору закону, вони не скоїли злочин. Фактично, Мінцифри своїми діями спровокували появу такої активності.

15. Створення штучної монополії

Користуватися Дією громадян України примушують, не залишаючи їм альтернатив.

Так, сертифікати вакцинації довгий час можна було отримати виключно через застосунок Дія, хоча альтернативне технічне рішення було готове за кілька місяців до запуску такого рішення у Дії.

Заяви на отримання 8000 грн. компенсації для ФОПів у зв’язку з карантинними обмежувальними заходами та “Ковідної” 1000 грн. – також можна було зробити лише через Дію.

Таким чином, створюється штучна монополія, мета якої – залучити до використання Дії якомога більше користувачів.

16. Відсутність у публічному доступі документації на застосунок Дія

На електронний продукт – застосунок Дія – відсутня документація: інструкція користувача, загальний та технічний опис застосунку, опис його структури та функцій, моделі функціонування, застосованих технологій, інфраструктури, схеми каналів передачі даних, правил користування застосунком, гарантійні зобов’язання виробника, відповідність вимогам із захисту персональних даних тощо.

Попри численні спроби фахівців та журналістів отримати ці документи від Мінцифри, подібні запити або ігноруються, або надаються завідомо пошкоджені дані без можливості їх відтворення. Зафіксовано випадок заяви міністерства, що нібито ця інформація є інформацією з обмеженим доступом з грифом ДСК, хоча продукт є публічним та вільно розповсюджується.

17. Відсутність публічного доступу до вихідного коду застосунку Дія

Розробники застосунку Дія не публікують вихідний код свого продукту.

Згідно існуючих міжнародних практик, вихідний код публікують, перш за все, для підтвердження відсутності прихованих програмних функцій продукту.

Такими функціями можуть бути наступні: функція відстеження користувача, збору даних про модель його смартфону, операційну систему, день, час та геолокацію, користування певними функціями застосунку, взаємодії з іншими програмами та застосунками, використання месенджерів, відвідування певних Інтернет-сторінок, довільне зчитування інформації з файлової системи та подібні приховані функції.

Також вихідний код міг би засвідчити наявність або відсутність можливості завантажувати оновлення, які б містили функції стеження за користувачами.

18. Відсутність інформації про зовнішні незалежні аудити безпеки застосунку Дія

Розробники застосунку Дія приховують відомості про незалежний зовнішній аудит (оцінку) безпеки свого продукту.

Згідно з існуючими міжнародними практиками, тестувати продукт повинні фахівці, які не мали та не мають стосунку до його розробки, чим виключається можливий конфлікт інтересів.

Щоб переконати користувачів застосунку у надійності його безпеки, зазвичай публікується загально-описова частина подібного незалежного звіту, де вказується, хто саме проводив тестування (назва компанії, прізвища виконавців), коли проводилося тестування на безпеку, якими інструментами та згідно яких методологій. Як правило, максимально неупередженими та фаховими можуть вважатися відомі міжнародні компанії з бездоганною репутацією та високим рівнем довіри у професійному середовищі.

Ненадання подібних звітів може свідчити про відсутність проведення тестувань (оцінок) безпеки застосунку Дія або ж недотримання вимог до виконавців щодо їх незалежності та професіоналізму, або про негативні висновки та велику кількість критичних зауважень.

19. Сумнівність об’єктивності проведення державної експертизи застосунку Дія

Будь-який державний інформаційний ресурс, яким безперечно є застосунок Дія, повинен пройти державну експертизу та отримати позитивний експертний висновок щодо створення та реалізації Комплексної системи захисту інформації (КСЗІ).

Міністр Федоров неодноразово вводив в оману громадськість стосовно існування такого висновку на КСЗІ, а на запити громадян щодо отримання його копії – надавалися свідомо нечитабельні документи.

Попри наявність очевидного конфлікту інтересів (висновок на КСЗІ підписує Голова Держспецзв’язку, якого призначає Кабінет міністрів України в особі керуючого віце-прем’єр міністра Федорова) та очікуваної необ’єктивності державної експертизи, Мінцифри продовжує приховувати атестат відповідності КСЗІ. На даний час він не доступний для громадськості, хоча не є і не може бути документом з обмеженим доступом.

20. Незадовільний рівень комунікації розробників застосунку Дія з користувачами

Технічна підтримка застосунку Дія знаходиться на низькому рівні: з нею важко контактувати, а скарги користувачів і більшості випадків залишаються без належної уваги.

При цьому середня зарплата в Державному підприємстві Дія, яке і розробляє однойменний продукт, складає 47211 грн. Це приблизно відповідає середньому рівню зарплат у комерційних ІТ-компаніях.

Зауваження експертів та професіоналів про недоліки побудови та функціонування застосунку – ігноруються, що наводить на думку, що даний проєкт скоріше політичний, ніж технологічний.

Разом з тим, реакція на критику та манера комунікації керівників проекту Дія з експертами є грубою, нетерпимою та хамською. Окремі посадовці дозволяють собі публічно принижувати опонентів та навіть погрожувати їм. Досить часто у якості контр-аргументу на об’єктивну критику лунає: «нас замовили».

21. Можливість необмеженого клонування документів у застосунку Дія

Традиційно держава не дозволяє існування навіть однієї копії паперового/пластикового документу, який посвідчує особу, в першу чергу, паспорта. Причому підробка документів відноситься до серйозних кримінальних злочинів (стаття 358. Підроблення документів, печаток, штампів та бланків, збут чи використання підроблених документів, печаток, штампів).

Натомість у випадку цифрових паспортів держава дозволяєте одночасне співіснування ідентичних екземплярів на різних пристроях, тобто їхнє копіювання/клонування.

З цього приводу у фахівців виникають питання: якими причинами викликано настільки протилежні підходи?

Скільки екземплярів е-паспорта можуть існувати одночасно: п’ять, десять, сто, тисяча?

Де саме зафіксована норма щодо кількості екземплярів, в якому саме документі Мінцифри?

Чому у випадку е-документів відмовилися від принципу особистої присутності, як це зроблено, наприклад в Естонії, на чий досвід регулярно посилається Мінцифри? Традиційні паперові документи видаються виключно за особистої присутності людини, чию особу засвідчують. Це дозволяє реалізувати відповідальність посадової особи, яка ці документи видає.

Чи передбачена персональна відповідальність працівників розробника у випадку заволодіння чужим е-паспортом?

22. Непрозорість порядку використання застосунку Дія організаціями

Мінцифри заборонило використання цифрових паспортів МФО (мікро-кредитні організації) через єдиний задокументований випадок зловживання. При цьому ніяким регуляторним актом не визначено, за яких умов ця заборона буде скасована, і які загалом критерії її застосування в інших випадках (наприклад, поштовими компаніями).

Інформація про авторів

Костянтин Корсун. Експерт з кібербезпеки. Керував підрозділом кібербезпеки в СБУ; створював та очолював CERT-UA (Держспецзв’язку); працював керівником українського офісу міжнародної кібербезпекової компанії iSIGHT Partners; у якості незалежного постачальника надавав кібербезпекові послуги для корпорації Symantec; є співзасновником відомої української кібербезпекової компанії. Спікер на профільних українських та міжнародних конференціях/мітапах з кібербезпеки: OWASP Ukraine, OWASP Kyiv, NoNameCon, BSides Kyiv, BSides Kharkiv, BSides Ukraine, UISGCON, Hack.Lu, RIPE NCC Days, IGF-UA. Блогер, громадський активіст.

Андрій Баранович. Прес-секретар ГО “Український кіберальянс”. Хактивіст. Блогер.

Андрій Перцюх. ІТ-архітектор, волонтер, дослідник, журналіст. Має більше 20 років досвіду з успішної розробки та впровадження банківських систем.

Артем Карпинський. Голова ГО “Український Кіберальянс”.

Кір Важницький. Консультант з безпеки телеком- та fintech-проектів, 20 років досвіду. OSCE.

Олександр Мацько. IT-фахівець, волонтер. Член Ради волонтерів при Міністерстві оборони України.

Роман Хіміч. Дослідник питань безпеки та довіри у цифровому середовищі, консультант учасників ринку телекомунікацій, співзасновник Secure and Trustful Digital Environment Task Force. Автор публікацій та доповідей на PKI Forum Kyiv, BSides Kharkiv тощо.

Підпишіться на наш канал Телеграм, щоб не пропустити нові статті нашого блогу.