Що не так з додатком Дія?

Громадянам України все більш наполегливо нав’язують Додаток Дія як безальтернативний засіб надання державних електронних послуг.

Але у Дії існує ряд серйозних проблем: як з її архітектурною моделлю, так і з якістю її реалізації.

Багато українців підсвідомо здогадуються, що щось тут не так.

Українські ж фахівці з кібербезпеки попереджали про можливі проблеми ще до запуску першої версії Дії. Зауважували на серйозні недоліки також після публічного запуску цього додатку. Публічно та непублічно наполягали на неприпустимості ігнорування існуючих проблем.

Але розробники та ідеологи Дії продовжують «не помічати» критики, і це вже призводить до реалізації деяких ризиків.

Наразі багато українців вже підсвідомо здогадуються, що щось тут не так, але більшість все ще не розуміє, у чому ж саме полягають проблеми додатку Дія.

Для роз’яснення «що не так з Дією» ми вирішили зібрати усі існуючі проблеми даного мобільного додатку в єдиний документ.

Якщо Ви погоджуєтеся з усіма або більшістю нижче наведених аргументів або з інших причин не задоволені додатком Дія – будь ласка, поширюйте посилання на даний документ всіма доступними способами та каналами. 

1. Суттєві дефекти архітектури додатку Дія.
2. Обробка та зберігання персональних даних у додатку Дія.
3. Можливість перехоплення та накопичення персональних даних під час перевірки е-документів у додатку Дія.
4. Можливі шахрайства з використанням Дії.
5. Можливість слідкувати за користувачами через додаток Дія.
6. Ризики дистанційного несанкціонованого проникнення до смартфону (“зламу”) зі встановленим додатком Дія.
7. Неможливість самостійно заблокувати свій акаунт в Дії (опція Opt-Out).
8. Ризики фальсифікації «виборів у смартфоні» з використанням додатку Дія.
9. Ризики «повістки через Дію».
10. Ризики відсутності доступу до Інтернет додатку Дія.
11. Не всі громадяни мають можливість користуватися додатком Дія.
12. Надмірна централізація системи та агрегація повноважень.
13. Відсутність правил користування додатком та механізму контролю за дотриманням цих правил.
14. Ігнорування чинного законодавчого регулювання зі створення програмних продуктів.
15. Створення штучної монополії додатку Дія.
16. Відсутність у публічному доступі документації на додаток Дія.
17. Відсутність публічного доступу до вихідного коду додатку Дія.
18. Відсутність інформації про зовнішні незалежні аудити безпеки додатку Дія.
19. Сумнівність об’єктивності проведення державної експертизи додатку Дія.
20. Незадовільний рівень комунікації розробників додатку Дія з користувачами та ІТ-фахівцями.
21. Можливість необмеженого клонування документів у додатку Дія.
22. Непрозорість порядку використовувати додаток Дія іншими організаціями.

 Фахівці та експерти, які склали перелік поточних проблем Дії:

• Андрій Баранович
• Андрій Перцюх
• Артем Карпинський
• Костянтин Корсун
• Кір Важницький
• Олександр Мацько
• Роман Хіміч

1. Суттєві помилки під час проектування архітектури додатку:

В додатку Дія порушений один з базових принципів в царині віддаленої (електроної) ідентифікації - розмежування інструментів ідентифікації за рівнями довіри.

Наприклад, для ідентифікації користувача високого рівня довіри, яким має бути власник цифрового  паспорту, в Дії дозволено використовувати BankID – програмний інструмент з всього лише середнім рівнем довіри. Між тим неодноразово доведено, що BankID в нинішньому вигляді  не забезпечує достатньої безпеки і є вразливим для примітивних атак. У випадку інцидентів з використанням BankID у кредитно-фінансовій сфері, можливі втрати користувачів теоретично можуть бути компенсовано за рахунок фінансових та банківських установ, які підтримують даний інструмент.
Внаслідок використання BankID для ідентифікації користувача Дії, порушено принцип розмежування рівнів  довіри. Інструменти з високим рівнем довіри можуть бути використані для ідентифікації користувачів цифрових сервісів, що потребують  середнього та низького рівнів довіри. Інструменти середнього рівня довіри можуть бути використані для ідентифікації користувачів сервісів, для яких достатньо низького рівня довіри. В Дії все зроблено навпаки: інструментами середнього та низького рівня довіри ідентифікують користувачів найбільш критичних сервісів, а саме цифрових документів, що засвідчують особу.

Подібні помилки становлять потенційну загрозу для користувачів програм та мобільних додатків, де порушено вищезгаданий принцип розмежування рівнів довіри. За будь-яких обставин електронний ідентифікаційний документ, - наприклад, електронний паспорт для виїзду за кордон – повинен бути захищеним виключно засобами найвищого рівня довіри, чого що не можна сказати про чинний додаток Дія.

2. Додаток Дія обробляє та зберігає персональні дані

Попри численні заяви різних чиновників, Дія збирає, зберігає та обробляє персональні дані. А саме реєструє, накопичує, адаптує, змінює, поновлює, використовує і поширює. Про це прямо написано на сайті Дії та у розділі «Меню/Повідомлення про обробку персональних даних» мобільного додатку Дія.

Цитата:

«7. Персональні дані зберігаються Міністерством цифрової трансформації України протягом строку функціонування електронного кабінету суб’єкта персональних даних на Порталі Дія, але не довше 5 років, якщо законодавством не визначено інший строк їх зберігання.»

Портал Дія та мобільний додаток Дія є частинами однієї системи, в якій відбувається синхронізація наявної інформації, а тому інформація з порталу також дублюється у мобільному додатку.

Також персональні дані передаються з одного пристрою на другий під час перевірки цифрових документів, що неодноразово публічно демонструвалося експертами.

3. Існує можливість перехопити дані під час перевірки е-документів.

Під час надання цифрових документів паспортні дані людини можуть приховано копіюватись до телефону того, хто зчитує, тому давати на зчитування своїх даних Дію можна тільки працівникам поліції з одностроях, за умови пред’явлення службового посвідчення або значка з номером. Ці ж дані проходять через інфраструктуру Мінцифри, але невідомо яким чином вони обробляються.

4. Можливе шахрайство з використанням Дії

Наразі існує можливість віддалено відкрити банківський рахунок з використанням додатку Дія. Наразі відомо про щонайменше кілька випадків несанкціонованого входу зловмисників у облікові записи жертв додатку Дія та з подальшим скоєнням протиправних дій стосовно постраждалих з корисливою метою (оформити кредит на власника телефону, купити товар у магазині в розстрочку, здійснити інші зловживання.)

Та самі можливості для шахраїв існують у разі викрадення телефону.  Таких випадків лише за офіційною статистикою в середньому 4566 на місяць (дані за 2021 рік).

5. Можливість слідкувати за користувачами

Мінцифри в особі Державного підприємства “Дія” (яке розробляє та підтримує додаток Дія та цифрові документи), має технічну можливість слідкувати за власниками смартфону, на якому встановлено додаток Дія. Слідкування може бути реалізоване як в самому додатку Дія, як окрема функція, так і на стороні серверів, що обслуговують додаток та логують кожну дію користувача, час та місце використання любої функції додатку. Таке слідкування, зберігання логів активності та їх обробка - нічим не регламентовані, а ДП Дія, яке випускає додаток, не проходить регулярні незалежні перевірки та постійно від них відмовляється, що не є підтвердженням добрих намірів з боку команди, що розробляє та підтримує функціонування додатку Дія.

Незалежні перевірки - це такі перевірки, які проводять всесвітньо відомі професійні кібербезпекові компанії, які мають бездоганну репутацію та жодним чином не пов’язані ані з розробниками Дії, ані з їхніми політичними керівниками. Результати таких перевірок мають публікуватися із зазначенням що саме і як саме перевірялося.

6. Ризики дистанційного проникнення до смартфону зі встановленим додатком Дія

З боку держави: У разі зацікавленості, виробник Дії може дистанційно встановити на мобільний телефон користувача Дії “оновлення з додатковими функціями”, іншими словами шпигунську версію Дії. Таким чином, користувач навіть не матиме гадки про проведення негласних дій спостереження, законність яких може бути поставлена під сумнів. Додаток Дія запитує найбільші привілеї в мобільному телефоні, від камери (мікрофон в комплекті) до дискового сховища, а отже, всі необхідні права вже надано і додаткового запиту не буде. З боку третіх осіб: відомі випадки, коли злочинці отримали повний контроль над смартфонами та усіма встановленими в ньому додатками. Часто користувачі про це навіть не здогадувалися.

Приклад: у 2021 році Служба безпеки України повідомила про затримання групи зловмисників, які спеціалізувалися на дистанційному зламі мобільних пристроїв та незаконному зборі персональних даних. Вартість зламу одного смартфону коштувала 200 доларів США.

“Хакнутий” третіми особами мобільний телефон - це, безумовно, проблема в будь-якому випадку, але “хакнутий” телефон з Дією надає третім особам значно більше можливостей ніж просто “хакнутий” телефон.

7. Неможливість самостійно заблокувати свій акаунт в Дії (опція Opt-Out)

Фактично, можливість активувати акаунт у додатку Дія існує у кожного громадянина України, який отримав ID-картку або закордонний паспорт з біометричним чипом (документи, які містять цифрові фото). 

При цьому не має значення чи є у громадянина намір користуватися своїм акаунтом (обліковий запис) в Дії – така можливість все одно існує і нею може скористатися стороння особа без відома легального користувача. Наразі цим користуються шахраї для викрадення кредитних коштів, оформлених на людей, які з різних причин не активували свій обліковий запис.

 Але в подальшому цю ж можливість “угону” цифрової особистості можна застосувати і для інших юридично значущих дій без відома особи: реєстрації місця проживання, виклику с суд, операцій з нерухомістю, голосування на виборах тощо. 

Тобто, наразі у розпорядженні громадян відсутні будь-які інструменти управління ризиками, пов’язаних із цифровими документами:

• можливість заблокувати свій обліковий запис;
• можливість заборонити активацію цифрових документів, що засвідчують особу;
• можливість відмовитися від користування вже активованими цифровими документами;
• сповіщення про несанкціоновану спробу активувати новий примірник вже заблокованих цифрових документів.

Наявність зазначених можливостей/інструментів (так звана опція Opt-Out) могла б стати на захист прав громадянина у вирішенні спірних ситуацій (приклад отримання кредиту третьою особою шляхом маніпуляцій та шахрайських дій, або безпосередньо через викрадення терміналу (смартфону) чи злам комп’ютерної системи (комп’ютера), тощо. 

Ефективним рішенням проблеми несанкціонованого використання акаунту в Дії сторонніми особами могла б стати його обов’язкова перша активація шляхом особистого візиту в ЦНАП з паперовим/пластиковим паспортом та відповідною заявою. А також можливість аналогічним чином юридично «заморозити» будь-які операції в Дії шляхом особистого візиту в ЦНАП з документами. 

Також бажано запровадження механізму, яким би блокувалась та фіксувалась (з подальшою автоматичною процедурою повідомлення поліції) кожна спроба використання Дії від імені тих громадян, які відмовилися від користування зазначеним державним сервісом.

Технічно та організаційно впровадження подібного захисту не є складним питанням, але чомусь такої можливості громадянам України не пропонується, попри значний соціальний запит та великі ризики.

8. Ризики фальсифікації «виборів у смартфоні»

Безпосередньо В. Зеленський та М. Федоров неодноразово озвучували тези про їх головну мету - голосування на виборах через смартфон. Ймовірно, мається на увазі використання для цього додатку Дія.

Великий негативний досвід фальсифікацій під час традиційних виборів свідчить про великі ризики. А реалізація такої ідеї містить загрозу національній безпеці та спробу повалення конституційного ладу шляхом фальсифікації виборчого процесу онлайн.

Загалом, під час онлайн-виборів неможливо забезпечити таємність голосування, голосування без примусу, та одночасно провести прозорий перерахунок голосів.

Жодна країна Світу (крім Естонії) поки що не наважилась провести онлайн вибори.

У квітні 2020 більше 80 керівників та провідних співробітників науково-дослідницьких організацій США, працівники наукових установ та провідних експертів, у тому числі такі всесвітньо відомі експерти як Брюс Шнаєр та Мартін Хеллман, звернулися відкритим листом до держсекретарів штатів та керівників виборчих комісій США з вимогою “утриматися від дозволу використовувати будь-яких систем Інтернет-голосування”.

В Естонії голосують онлайн близько 45% виборців, але ця країна будувала власну модель онлайн-голосування близько 20 років, під ретельним контролем громадськості, місцевих політичних партій та представників Європейського Союзу. За цей час в системі онлайн-голосування було виявлено багато критичних вразливостей, вона постійно доопрацьовується найкращими фахівцями, але наразі цей метод голосування працює на принципах, кардинально відмінних від додатку Дія, а також на основі неймовірно високої довіри громадян до влади.

9. Ризики «повістки через Дію»

Ризик стати жертвою сумнівних та протиправних дій з боку держави чи третіх осіб через впровадження та легітимізацію «автоматичного гарантованого повідомлення» громадян про “попередження”, “повістку”, “виклик в суд” та подібні дії. Це також неодноразово озвучена мета Мінцифри, яка може бути реалізована та додасть громадянам проблем. Уявімо ситуацію, коли за якихось причин громадянин не користується, або більше не користується додатком Дія, на який приходить повідомлення про виклик до суду через позов щодо власності громадянина. Юридично, надіслане таке повідомлення є ознакою фактичного повідомлення. А отже, непоява громадянина в суді, або несвоєчасне подання запиту про перенесення судового засідання з любої причини дає можливість (державі, шахраям, «чорним реєстраторам» і т.п.) маніпуляцій в судовому процесі не на користь громадянина. 

10. Ризики відсутності доступу до Інтернет

Згідно з заявами розробників додатку Дія, додаток не зберігає електронні документи громадян, при цьому зображення з даними документу - зберігаються у смартфоні.

Але легітимність їх відображення у смартфоні користувача можливо перевірити лише за наявності доступу до Інтернет. Недавні події в Казахстані (коли під час протестів влада вимикала доступ до Інтернет) показали, що схожа ситуація цілком може статися за певних умов і в Україні. У разі тривалої відсутності доступу до Інтернет, документи в Дії стануть лише нелегітимними картинками у смартфоні. Аналогічна ситуація є актуальною в деяких районах України, де зараз відсутній або нестабільний доступ до Інтернет.

За таких умов виникає необхідність завжди носити з собою паперові або пластикові документи, що ставить під сумнів доцільність встановлення та використання додатку.

Дія є централізованою системою (частиною якої є мобільних додаток Дія), і у разі відмови одного з елементів зупиняється вся система. Ми вже були свідками численних відмов у обслуговуванні сервісів Дії. Отже на працездатність такого важливого додатку можна легко вплинути через локальне (глушилки), або глобальне відключення доступу до Інтернету для користувачів. 

Легітимність електронних документів не повинна жодним чином залежати від наявності або відсутності доступу до Інтернет, е-документи мають бути самодостатніми.

11. Не всі громадяни мають можливість користуватися Дією

Для використання Дії необхідний сучасний смартфон, але не всі громадяни України мають можливість його придбати. Це є реальною проблемою через примусове обмеження надання певних функцій виключно через додаток (наприклад, сертифікатів про вакцинацію).

Також не скрізь у країні є доступ до Інтернет.

Деяким людям (особливо старшого віку) важко вводити пін-коди, тому для них їхні родичі або всі пін-коди знімають, або ставлять коди типу 1111. Дія з простим пін-кодом - це дуже небезпечно. Розробники не мають можливості контролювати наскільки ефективно користувач захистив свій смартфон, і покладаються на високий рівень обізнаності щодо правил персональної кібербезпеки власника/користувача смартфону.

Належне користування цифровими документами, що засвідчують особу, передбачає наявність багатьох навичок, які геть не очевидні для багатьох громадян, особливо старших вікових категорій. Мінцифри не пропонує ані офіційного керівництва для користувачів, ані офіційних рекомендацій, які містили б вичерпні керівні вказівки для всіх без винятку критичних аспектів користування цифровими паспортами та застосунком Дія. 

Модель надання державних електронних послуг у форматі додатку Дія або штучно позбавляє таких громадян можливостей отримувати державні цифрові послуги, або наражає їх на ризики, для управління якими не пропонує належних інструментів. 

12. Надмірна централізація системи та агрегація повноважень

Зосередження надвеликих прав у адміністраторів Дії та відсутність системи моніторингу та запобіжників їх роботи призводить до появи величезної спокуси для таких адміністраторів, що можуть за певне заохочення, або під примусом зібрати інформацію про певні аспекти життя громадян та передати цю інформацію на користь третіх осіб, або надати власний адміністративний доступ третім особам.

Занепокоєння викликає також можлива надмірна агрегація повноважень.

Інциденти останнього часу, такі як, наприклад як вразливість Log4Shell, та більш відомі види атак (наприклад SQL Injection) можуть також бути використані з рівня адміністраторів Дії та призвести до пошкодження або іншого впливу на реєстри персональних даних громадян. Наприклад, існує вірогідність існування можливості створення запиту до любого підключеного реєстру, який внесе зміни або навіть призведе до втрати даних чи навіть їх знищення, оскільки виконаний він буде з правами адміністраторів Дії.

За результатом зламу великої кількості державних сайтів скомпрометованими виявились не тільки бази даних і програмний код порталу Дія, а ще й приватні ключі SSL сертифікатів до доменів державних сайтів. Це ті самі сертифікати, що захищають ваше з’єднання з сайтом. Але навіть після відновлення роботи цих ресурсів протягом десяти днів ніхто не потурбувався перевипустити SSL сертифікати. Така вражаюча некомпетентність ставить під ризик подальшого витоку особливо чутливих автентифікаційних даних користувачів (логінів та паролів).

13. Відсутність правил користування додатком та механізму контролю за дотриманням цих правил.

Мінцифри  передбачає покладання значної кількості ризиків використання додатку Дія на його користувачів. У смартфоні користувача зберігаються усі його е-документи, що засвідчують особу, які Згідно Закону України прирівняні до паперових/пластикових. 

При цьому ніде не визначаються у належний спосіб правила користування додатком, вимоги до щодо безпечного доступу до нього, правила кібер-гігієни під час користування смартфоном, потенційні ризики компрометації, тощо. 

14. Ігнорування чинного законодавчого регулювання зі створення програмних продуктів

Для функціонування додатку Дія майже відсутнє законодавче регулювання. 

Формально електронні документи прирівняно до офіційних нечіткими фразами у Законі України «Про внесення змін до Закону України "Про Єдиний державний демографічний реєстр та документи, що підтверджують громадянство України, посвідчують особу чи її спеціальний статус":

“е-паспорт - паспорт громадянина України у формі електронного відображення інформації, що міститься у паспорті громадянина України”.

Але в жодному Законі України не визначено технічні та технологічні параметри таких е-документів, вимоги до процесу розробки додатку та його експлуатації, прийнятні технології та їх узгодженість, можливості незалежного (у тому числі громадського) контролю цих процесів, прив’язка до існуючих міжнародних стандартів та багато іншого.

Також законодавчо не визначено вимоги до безпеки Дії: припустимі підходи та практики, стадії контролю та тестування, критерії оцінки загальної безпеки, кількість та періодичність незалежних оцінок захищеності та ін.

На практиці, розробка та модернізація додатку Дія відбувається згідно внутрішніх документів Мінцифри, публічний доступ до яких або не надається, або обмежено грифом секретності «Для службового користування».

Також слід зазначити, що створення програмних продуктів на замовлення державних органів регулюється Постановою 869 "Про затвердження загальних вимог до програмних продуктів, які закуповуються та створюються на замовлення державних органів" від 12 серпня 2009 р. Але у випадку розробку додатку Дія більшість з даних вимог просто проігноровано.

Законодавча невизначеність вже стала підставою для кримінального переслідування кількох громадян, що створювали додатки візуально схожі на додаток Дія, але не здійснили жодних втручань у ІТ інфраструктуру держави. І хоч їх діяльність сумнівна з етичних питань, з точки зору закону вони не скоїли злочин. Фактично, Мінцифри своїми діями спровокували появу такої активності.

15. Створення штучної монополії

Користуватися Дією громадян України примушують, не залишаючи їм альтернатив.

Так, сертифікати вакцинації довгий час можна було отримати виключно через додаток Дія, хоча альтернативне технічне рішення було готове до запуску за кілька місяців до запуску такого рішення у Дії.

Заяви на отримання 8000 грн. компенсації для ФОПів у зв’язку з карантинними обмежувальними заходами та “Ковідної” 1000 грн. - також можна було зробити лише через Дію.

Таким чином створюється штучна монополія, мета якої - залучити до використання Дії якомога більше користувачів.

16. Відсутність у публічному доступі документації на додаток Дія

На електронний продукт – додаток Дія – відсутня документація: інструкція користувача, загальний та технічний опис додатку, опис його структури та функцій, моделі функціонування, застосованих технологій, інфраструктури, схеми каналів передачі даних, правил користування додатком, гарантійні зобов’язань виробника, відповідність вимогам із захисту персональних даних, тощо. 

Попри численні спроби фахівців та журналістів отримати ці документи від Мінцифри, подібні запити або ігноруються, або надаються завідомо пошкоджені дані без можливості їх відтворення. Зафіксовано випадок заяви міністерства, що нібито ця інформація є інформацією з обмеженим доступом з грифом ДСК, хоча продукт є публічним та вільно розповсюджується.

17. Відсутність публічного доступу до вихідного коду додатку Дія

Розробники додатку Дія не публікують вихідний код свого продукту. 

Згідно існуючих міжнародних практик, вихідний код публікують, перш за все, для підтвердження відсутності прихованих програмних функцій продукту. 

Такими функціями можуть бути наступні: функція відстеження користувача, збору даних про модель його смартфону, операційну систему, день, час та геолокацію, користування певними функціями додатку, взаємодії з іншими програмами та додатками, використання месенджерів, відвідування певних Інтернет-сторінок, довільне зчитування інформації з файлової системи та подібні приховані функції.

Також вихідний коди міг би засвідчити наявність або відсутність можливості завантажувати оновлення, які б містили функції стеження за користувачами.

18. Відсутність інформації про зовнішні незалежні аудити безпеки додатку Дія

Розробники додатку Дія приховують відомості про незалежний зовнішній аудит (оцінку) безпеки свого продукту.

Згідно з існуючими міжнародними практиками, тестувати продукт повинні фахівці, які не мали та не мають стосунку до його розробки, чим виключається можливий конфлікт інтересів.

Щоб переконати користувачів додатку у надійності його безпеки, зазвичай публікується загально-описова частина подібного незалежного звіту, де вказується хто саме проводив тестування (назва компанії, прізвища виконавців), коли проводилося тестування на безпеку, якими інструментами та згідно яких методологій. Як правило, максимально неупередженими та фаховими можуть вважатися відомі міжнародні компанії з бездоганною репутацією та високим рівнем довіри у професійному середовищі.

Ненадання подібних звітів може свідчити про відсутність проведення тестувань(оцінок) безпеки додатку Дія або ж не дотримання вимог до виконавців щодо їх незалежності та професіоналізму, або про негативні висновки та велику кількість критичних зауважень.

19. Сумнівність об’єктивності проведення державної експертизи додатку Дія

Будь-який державний інформаційний ресурс, яким безперечно є додаток Дія, повинен пройти державну експертизу та отримати позитивний експертний висновок щодо створення та реалізації Комплексної системи захисту інформації (КСЗІ). 

Міністр Федоров неодноразово вводив в оману громадськість стосовно існування такого висновку на КСЗІ, а на запити громадян щодо отримання його копії - надавалися свідомо нечитабельні документи.

Попри наявність очевидного конфлікту інтересів (висновок на КСЗІ підписує Голова Держспецзв’яку, якого призначає Кабінет міністрів України в особі куруючого віце-прем’єр міністра Федорова) та очікуваної необ’єктивності державної експертизи, Мінцифри продовжує приховувати атестат відповідності КСЗІ. На даний час він не доступний для громадськості, хоча не є і не може бути документом з обмеженим доступом. 

20. Незадовільний рівень комунікації розробників додатку Дія з користувачами

Технічна підтримка додатку Дія знаходиться на низькому рівні: з нею важко контактувати, а скарги користувачів і більшості випадків залишаються без належної уваги.

При цьому середня зарплата в Державному підприємстві Дія, яке і розробляє однойменний продукт, складає 47 211 грн. Це приблизно відповідає середньому рівню зарплат у комерційних ІТ-компаніях. 

Зауваження експертів та професіоналів про недоліки побудови та функціонування додатку - ігноруються, що наводить на думку, що даний проект скоріше політичний, ніж технічнологічний.

Разом з тим, реакція на критику та манера комунікації керівників проекту Дія з експертами є грубою, нетерпимою та хамською. Окремі посадовці дозволяють собі публічно принижувати опонентів та навіть погрожувати їм. Досить часто у якості контр-аргументу на об’єктивну критику лунає: «нас замовили».

21. Можливість необмеженого клонування документів у додатку Дія

Традиційно держава не дозволяє існування навіть однієї копії паперового/пластикового документу, який посвідчує особу, в першу чергу паспорта. Причому підробка документів відноситься до серйозних кримінальних злочинів (стаття 358. Підроблення документів, печаток, штампів та бланків, збут чи використання підроблених документів, печаток, штампів). 

Натомість у випадку цифрових паспортів держава дозволяєте одночасне співіснування ідентичних екземплярів на різних пристроях, тобто їхнє копіювання/клонування.

З цього приводу у фахівців виникають питання: якими причинами викликано настільки протилежні підходи?

Скільки екземплярів е-паспорта можуть існувати одночасно: п’ять, десять, сто, тисяча?

Де саме зафіксована норма щодо кількості екземплярів, в якому саме документі Мінцифри?

Чому у випадку е-документів відмовилися від принципу особистої присутності, як це зроблено, наприклад в Естонії, на чий регулярно посилається Мінцифри? Традиційні паперові документи видаються виключно за особистої присутності людини, чию особу засвідчують. Це дозволяє реалізувати відповідальність посадової особи, які ці документи видає.

Чи передбачена персональна відповідальність працівників розробника у випадку заволодіння чужим е-паспортом?

22. Непрозорість порядку використання додатку Дія організаціями

Мінцифри заборонило використання цифрових паспортів МФО (мікро-кредитні організації) через єдиний задокументований випадок зловживання. При цьому ніяким регуляторним актом не визначено: за яких умов ця заборона буде скасована і які загалом критерії її застосування у інших випадках (наприклад, поштовими компаніями).

Костянтин Корсун

Експерт з кібербезпеки.

Керував підрозділом кібербезпеки в СБУ; створював та очолював CERT-UA (Держспецзв’язку); працював керівником українського офісу міжнародної кібербезпекової компанії iSIGHT Partners; у якості незалежного постачальника надавав кібербезпекові послуги для корпорації Symantec; є співзасновником відомої української кібербезпекової компанії.

Спікер на профільних українських та міжнародних конференціях/мітапах з кібербезпеки: OWASP Ukraine, OWASP Kyiv, NoNameCon, BSides Kyiv, BSides Kharkiv, BSides Ukraine, UISGCON, Hack.Lu, RIPE NCC Days, IGF-UA.

Блогер, громадський активіст.

Андрій Баранович
Прес-секретар ГО “Український кіберальянс”
Хактивіст. Блогер.

Андрій Перцюх

ІТ-архітектор, волонтер, дослідник, журналіст.

Має більше 20 років досвіду з успішної розробки та впровадження банківських систем.

Артем Карпинський
Голова ГО “Український Кіберальянс”

Кір Важницький 

Консультант з безпеки телеком- та fintech-проектів, 20 років досвіду.
OSCE

Олександр Мацько

IT-фахівець, волонтер.

Член Ради волонтерів при Міністерстві оборони України.

Роман Хіміч

Дослідник питань безпеки та довіри у цифровому середовищі, консультант учасників ринку телекомунікацій, співзасновник Secure and Trustful Digital Environment Task Force. Автор публікацій та доповідей на PKI Forum Kyiv, BSides Kharkiv etc.