«Громадянин у смартфоні»: наскільки безпечна Дія з точки зору експертів?

Вітаємо вас на «Хмарочосі»! Ми пишемо про розвиток міст вже 7 років та 114 днів. За цей час ми опублікували вже 15532 новин та статей і продовжуємо це робити щодня. Підтримайте нас щомісячним внеском! За ціною лише однієї поїздки у таксі, ви сприятимете незалежній роботі редакції і допоможете робити Київ місцем для гідного життя, а діяльність влади – прозорішою.

Дія («Держава і я») увірвалася в життя українців блискавично — менш як за два роки після запуску «цифрову державу» собі на смартфон встановили вже 8,6 мільйона українців.

До 2023 року Мінцифри планує провести «цифрову трансформацію» у всіх сферах і галузях; у Дії можна буде отримати 100% державних послуг. Запевняючи громадян у перевагах «держави в смартфоні», уряд проводить доволі агресивний маркетинг, часом запускаючи деякі послуги лише для власників застосунку.

Наприклад, на початку вакцинаційної кампанії охочим пропонували записатися на щеплення майже виключно через Дію. Зараз, коли президент пообіцяв заохотити вакцинованих тисячею гривень, гроші першою чергою отримають знов-таки користувачі Дії, а як роздати іншим, в уряді поки що не придумали.

Дві моделі контролю: держава у смартфоні чи громадянин у смартфоні

Водночас низка експертів висловлює сумніви у безпечності Дії. Про це йдеться у матеріалі ZN.ua.

«Принципово є два шляхи: ми робимо цифрові рішення для того, щоб громадяни могли краще контролювати державу або держава — громадян», — наголошує голова ГО «Електронна демократія» Володимир Фльонц.

«Зрозуміти, на якому ми шляху, доволі просто. Якщо перша функція у додатку спрощує для громадян контроль за державою, а першим користувачем “Дія.Підпису” стає президент, який підписує ним не ковідний сертифікат, а власні укази, — то ми на першому шляху. Якщо ж перша функція у додатку спрощує державі перевірку громадянина, а функції контролю над державою взагалі відсутні, то у мене погані новини», — пояснює він.

Прикладом першого шляху можна назвати Естонію. Ця держава одразу цифровізувалася на принципах максимального захисту громадян від чиновницьких зловживань.

Перша послуга в кабінеті естонця — можливість простежити, яка держустанова переглядала його дані у реєстрах, коли і які саме. Цю послугу держава надає й електронним резидентам — негромадянам Естонії, які мають право на підприємницьку діяльність у країні. Вони спокійно можуть побачити, як естонська поліція перевіряла їхні дані, щоб вирішити, чи надавати статус е-резидента.

Приклад другого шляху — Китай, де цифрова держава більше нагадує кіберпанкову антиутопію. Так, китайський уряд має монополію на всі дані про громадян і доступ до них: достатньо посміхнутися на камеру чи назвати номер, і всі дані підтягнуться автоматично.

Про цифровий контроль у Китаї читайте докладніше у нашій статті GPS-браслети, рейтинг довіри —як у китайських містах контролюють своїх жителів.

Кібербезпека

Під питанням — захищеність даних користувачів Дії. Такі сумніви, зокрема, висловлює співзасновник Українського кіберальянсу Андрій Баранович. Він наводить приклад, як його команда кілька років зламувала людей у Росії, щоб отримати дані, і російський портал держпослуг, аналог української Дії, дуже в цьому допоміг.

«Припустімо, людина з якихось причин нам цікава, але ми не знаємо, хто це. Припустимо, ми отримали доступ до її комп’ютера чи телефону. Якщо у неї “Дія” стоїть на телефоні чи відкрита на комп’ютері, то ми в момент отримаємо її повне ім’я, номер паспорту й усю ту інформацію, яку в іншому разі було б дуже непросто знайти чи зібрати», — зазначає Баранович.

У зоні ризику — передусім люди, пов’язані з військовою сферою. Водночас уряд вже почав реалізовувати доступ до реєстрів призовників, військовозобов’язаних і резервістів через Дію. Далі планують інтегрувати сервіси для ветеранів АТО/ООС, членів родин загиблих тощо.

Закритий код

Мінцифрі також закидають закритість програмного коду Дії.

«Відкритий код — це як доступний текст закону. Для прикладу, ти знаєш, за якими правилами працює МВД. Але відкритий код не означає, що тобі доступні матеріали кримінальних справ, це означає тільки те, що ти знаєш, через який час і куди ця справа піде, як використовуються дані», — пояснює гендиректор Prozorro Василь Задворний.

Код програмного забезпечення Prozorro — відкритий. До цього додається закритий код розгортання інфраструктури — будь-хто не зможе зайти в систему з правами адміністратора.

Відкритий код програм вважається безпечнішим, ніж закритий, бо дозволяє залучити необмежену кількість зовнішніх фахівців проти окремих зловмисників. Мінцифри залучає до пошуку вразливостей «етичних хакерів», але, на думку експертів, це не є доказом безпеки.

«Основна (обґрунтована) претензія спеціалістів із кібербезпеки до Мінцифри полягає в непрозорості прийнятих рішень», — зазначає спеціаліст з кібербезпеки Володимир Стиран, який брав участь у багбаунті «Дії».

Наразі фахівці вважають, що безпечніша альтернатива мобільному застосунку — портал Дія. Рекомендують усе, що потрібно, робити через нього. Наприклад, там можна у кілька кліків, не смикаючи головою, згенерувати ковід-сертифікат, а потім зберегти окремим файлом у телефоні або ж роздрукувати.