Európska Únia sa rozhodla zjednotiť technické parametre Osobných Identifikačných Dokladov (u nás občiansky preukaz), používaných v členských krajinách. Blížia sa voľby do europarlamentu a tak sa implementácia tohto opatrenia na Slovensku stala politickou témou. Diskutovalo sa o tom na výbore pre obranu a bezpečnosť NRSR. Témy sa zhostili tzv. „konšpiračné“ médiá, ktoré priniesli záznam diskusie na výbore.

Druhá strana názorového spektra sa „konšpiračnú“ interpretáciu vyhlásila za hoax. A rozhovor  Zuzany Kovačič Hanzelovej s IT odborníkom platformy slovensko.digital, Ľuborom Illekom to má odôvodniť, či dokázať.

Zo spôsobu, akým sa o to dvaja protagonisti snažia, mne, ako v problematike zorientovanému človeku, vstávajú vlasy dupkom. Keďže pán Ľubor Illek je označovaný ako odborník na danú problematiku, budem nepravdivé výroky, ktoré z jeho úst zaznejú, považovať za úmyselné klamstvo s cieľom manipulovať poslucháčom k želanému názoru.

Návrh EÚ je doplniť do občianskych preukazov bezkontaktný čip s biometrickými údajmi držiteľa tak, ako je to už dlhšou dobu v cestovných pasoch.

V čase 4:30 zaznie z úst odborníka toto tvrdenie (doslovný citát):

"Tie biometrické údaje, teda fotografia a odtlačok prsta sú tak chránené, že nikto bez špeciálneho zariadenia, ktoré majú len policajti sa k tým údajom aj tak nedostane, aj keby hneď mal môj občiansky preukaz v ruke"

Toto tvrdenie nie je pravdivé, a teda v zmysle vyššie uvedeného citovaný odborník v merite veci úmyselne klame a zavádza. Vzhľadom na jeho vlastné odporúčanie zo záveru rozhovoru tiež racionálne uzatváram, že ak klame v jednej (zásadnej) veci, je dôvodné predpokladať, že klame aj v iných častiach rozhovoru.

Ale poďme pekne postupne.

Spoločnosť Nethemba možnosť prečítať zo slovenského cestovného pasu biometrické údaje testovala v praxi. Výsledok výskumu / testu:

Prakticky sme demonštrovali načítanie nového slovenského biometrického RFID pasu. Pas je možné načítat ľubovoľnou ISO14443A RFID čítačkou (pre náš experiment sme použili lacnú touchatag čítačku, ktorú je možné zakúpiť za 30 €).

Na prečítanie je potrebný MRZ kód, ktorý je uvedený na predposlednej strane pasu. MRZ sa skladá primárne z čísla pasu, dátumu narodenia a dátumu expirácie pasu. Na základe osobných údajov sa MRZ dá aj vypočítať. So znalosťou MRZ kódu je možné z pasu prečítať:

všetky osobné data uvedené v pase (EF.DG1)

fotografiu vlastníka (uloženú v JPEG) (EF.DG2)

MRZ kód ale nestačí na načítanie:

odtlačku prstu vlastníka pasu (EF.DG3)

„Active Authentication Public Key Info“ (EF.DG15)

Ako červená niť sa celým rozhovorom vinie snaha bagatelizovať bezpečnostné riziká, spojené s používaním bezkontaktných čipov a nielen ich. Bagatelizované sú aj iné riziká, spojené s citlivými osobnými údajmi v on-line priestore. A to je podľa mňa prístup, ktorý nie je možné ospravedlniť „dobrým úmyslom“.

Odborník používa príklad cestovného pasu ako rovnocenného dokladu (ktorý už bezkontaktný čip obsahuje) k navrhovanej novej verzii OP. Kým v technickej rovine je prirovnanie veľmi pravdepodobne presné, v rovine bezpečnostného rizika je medzi pasom a OP zásadný rozdiel:

Cestovný pas nemusíte vlastniť. Cestovať po veľkej časti sveta sa dá bez neho. Život bez OP síce možný je, ale bude to neporovnateľne väčší problém, ako život bez pasu.

Zásadný rozdiel je tiež v expozícii dokladu v nedôveryhodnom prostredí. Pas predkladáte na hraniciach Schengenského priestoru, kým OP sa na Slovensku často predkladá aj pri kontrolovanom vstupe do budov. Pretože, a toto je jedna z vecí, ktorá je v rozhovore temer úplne ignorovaná, rizikom nie je len vzdialené čítanie údajov z dokladu, ale aj možnosť čítania údajov v prípade, že doklad vložíte do rúk inej osobe. A to sa práve s OP často stáva.

Jednou z foriem bagatelizácie rizík bezkontaktných čipov je tvrdenie, že predsa každý už má platobnú kartu s týmto druhom čipu. A že ten v OP bude maximálne jeden z ďalších v zbierke.

Zároveň odborník tvrdí (12:45), že žijeme v časti sveta s najprísnejšou ochranou súkromnia. Zrejme myslí reguláciu, známu pod skratkou GDPR, ktorej dôsledky si zažil snáď každý z nás na internete osobne.

No a v tejto súvislosti je preto veľmi zaujímavá práve oblasť platobných kariet s bezkontaktným čipom. Na internete musíte byť zo zákona informovaní a súhlasiť aj s banálnymi použitiami vašich osobných údajov. Ale pamätáte sa, že by ste pri preberaní platobnej karty s bezkontaktným čipom boli informovaní o tom, aké údaje sú na čipe uchovávané a ako je možné si ich prečítať?

Na obrázku sú údaje o transakciách platobnou kartou s bezkontaktným čipom. Získané pomocou bezplatnej aplikácie v bežnom smartfóne s dnes už bežnou funkciou NFC. Medzi zobrazenými transakciami sú aj také, ktoré neboli robené bezkontaktne, ale s použitím kontaktnej časti čipu, zasunutím do POS terminálu. Vedeli ste o tom, že z vašej platobnej karty je týmto spôsobom možné získať dané údaje? Informovala vás o tejto technickej možnosti vaša banka? A prečo si myslíte, že nie? Tu už zrazu regulácie dobrotivej EÚ neexistujú? A prečo vlastne?

V čase 11:50 odborník odpovedá na otázku, či telefón nemôže odpočúvať človeka bez jeho vedomia. Spomína hlasových asistentov, ktorí sú dnes viac-menej bežnou súčasťou iPhone aj Androidových telefónov. A tvrdí, že nevie o tom, že by tieto systémy ľudí odpočúvali. Pričom v tejto časti „zabudne“ spomenúť tretieho najväčšieho výrobcu, ktorý implementuje hlasovú asistentku Alexa, spoločnosť Amazon. Je síce pravda, že tieto zariadenia sú doménou domácností v USA, ale tiež je pravda, že táto konkrétna hlasová asistentka svoje okolie odpočúva, odpočuté nahráva a posiela do centrály! A toto nie je žiadne scifi, ani žiadny hoax. To je realita, o ktorej náš odborník „nepočul“. A hlavne sa to nehodí do rozhovoru, ktorý má rozptýliť obavy z bezpečnostných problémov v on-line svete.

Vyjadrenia odborníka od cca 10:20 ma zo stoličky zdvihli doslovne. Odborník na IT bezpečnosť sa temer až chváli tým, že radí bežným užívateľom, aby aj citlivé otázky dávali do vyhľadávača v otvorenej forme. A že jemu by vadilo, keby niekto zbieral informácie povedzme záznamom týchto otázok, v reálne záznamom v nich uvedených citlivých informácií.

Ja vám radím presný opak: Otázky s citlivými informáciami zadávajte aspoň v privátnom (súkromnom) okne prehliadača. Ak je to len trocha možné, používajte pre tieto vyhľadávania iný vyhľadávač, ako je google. Ja používam startpage.com, ale už v konfigurácii vášho prehliadača ľahko zmeníte predvolený google vyhľadávač na iný. No a ak sa rozhodnete vyhľadávať „závadné“ informácie, povedzme za „študijné“ účely, skúste naviac zvážiť použitie nejakého anonymizačného spôsobu. Napríklad VPN, anonymného proxy servera a podobne.

Ku koncu rozhovoru odpovedá odborník na otázku, čo by mal bežný užívateľ robiť pre svoju bezpečnosť na internete. Jeho odpovede sú síce stále aktuálne, ale sú to odpovede z pred 5-10 rokov. V dnešnom virtuálnom svete sú už nové riziká a to práve v oblasti ochrany vašich citlivých údajov.

Bežný klient, ktorý má implementovať bezpečnostné opatrenia v on-line svete sa zväčša spýta, ako konkrétne môže byť zneužité to, čo ono. V snahe vyhnúť sa obmedzeniam, ktoré sú nevyhnutne spojené s každým bezpečnostným opatrením. Lenže dobré a správne bezpečnostné opatrenia by nemali chrániť len pred známymi zraniteľnosťami, ale aj pred tými, o ktorých existencii ešte netušíme. Pritom si treba uvedomiť, že údaje, ktoré dnes vložíte do IT systému, môžu byť zneužité o niekoľko rokov.

Na obrázku je Oddací (sobášny) list z roku 1928. Zaujímavé na ňom je to, že obsahuje údaj, ktorý dnes už v podobnom dokumente nenájdete. Udáva sa tam „Náboženství“, v danom prípade je u oboch uvedené Rímsko katolícke. Predstavte si, že by v roku 1928 niekto požadoval, aby sa tento údaj už ďalej neuvádzal, že predstavuje zbytočné bezpečnostné riziko. Zrejme by sa tiež našli takí, čo by ho vysmiali s poukazom na to, že štát predsa tieto údaje chráni a nebude ich zneužívať (pani Hanzelová 9:45). Aby potom, o 11 až 13 rokov neskôr príslušníci istej náboženskej obce zistili, že ten údaj bol nie nepodstatným vodítkom pre štát k ich likvidácii.

Ak je dnes potrebné niečo v oblasti povedomia o IT bezpečnosti v on-line priestore vysvetľovať, tak sú to riziká a spôsoby ich eliminácie. Batagelizovať existujúce a celkom reálne riziká len preto, že na nich „svojim“ spôsobom upozornili aj tzv. konšpiračné médiá a politici, ktorých nenávidíme je nesprávne, neprofesionálne a nemôže byť na osoh nikomu z nás.

======== Doplnené 12.5. 19:00 - doplním sem nejaké postranné info, keby niekoho zaujímalo, nič extra podstatné

Pán Illek sa jasne vymedzil proti tomu, že by na OP mala byť zdravotná dokumentácia. Ono to skutočne vyzerá, že ten ráčkujúci politik to myslel tak, že by tam mala byť dokumentácia ako taká (texty, nálezy a podobne). Strašil pritom možnosťou, že si podľa toho budú (nejakí zlí ľudia) vyberať deti "na orgány". Čo je nezmysel už len preto, že deti žiadne občianske preukazy nemajú :). Ale tá väzba medzi elektronickou verziou OP a elektronickou zdravotnou dokumentáciou je plánovaná (resp. možno už aj implementovaná). Ja som to vždy chápal tak, že OP sa bude používať na prístup k e-zdravotníctu. A na tom sa skutočne nič nezmenilo a stále je to tak. Pričom ja považujem prípadnú existenciu zdravotných záznamov v elektronickej podobe za tak veľké riziko, že som pripravený to sabotovať a dokonca radšej zaplatím nejakú pokutu, akoby som mal dopustiť elektronizáciu svojich záznamov. Že údaje z elektronického zdravotníctva budú zneužité (nie všetky a nie hneď, samozrejme), to považujem za istotu, to nie je ani len riziko s nejakou pravdepodobnosťou.