«Уже даже появилась фейковая «Дія», но не волнуйтесь, ее очень легко отличить от оригинальной: если в вашем приложении все работает без ошибок, а сертификат загружается, это фейковая «Дія», — шутит стендапер Антон Тимошенко, и аудитория взрывается смехом, потому что проблемы с настоящей «Дієй» знакомы всем до боли. «Главное в любом проекте — не промо, а качество. Многие из пользователей воспринимает этот продукт сырым. Признаете ли вы справедливость этих претензий?» — спрашивают Михаила Федорова журналисты УП. «Я просто не знаю, о каких именно претензиях вы говорите», — отвечает вице-премьер, министр цифровой трансформации Украины.
Собственно, это одна из самых больших претензий общества к «Дії» — закрытость. Раздраженность пользователей, вопросы специалистов и помощь этичных хакеров в выявлении уязвимости встречает лишь непробиваемый автоответчик Министерства цифровой трансформации: не знаем, о чем вы, у всех все работает. «Под капотом» настолько закрытого продукта могут оказаться как новые разработки, так и склеенные скотчем остатки старых или вообще человек, вертящий педали, чтобы картинка внешне оживала. Никто этого не знает. А несколько десятков людей в стране, которые знают, молчат.
Пользователям «Дія» в основном нравится. Возможность не переживать, что водительские права остались дома вместе с бумажным сертификатом о вакцинации, — это действительно удобно, и многие украинцы искренне признательны за это. Даже если тот, кто крутит педали, устает, и люди теряют доступ к собственным документам.
Здесь и кроется главная проблема: сегодняшняя «Дія» — лишь яркая популистская обертка тех же ржавых государственных механизмов. И в лучшем случае она просто усложняет и откладывает на годы качественную цифровизацию. В худшем — становится удобным инструментом как для российской разведки, так и для узурпации власти. Последний риск — огромный даже для сильных демократий.
Именно поэтому за первым в мире «государством в смартфоне» с искренним любопытством (и попкорном) наблюдают развитые страны. Ведь Украина добровольно станем полигоном для испытания идейно-технологического комплекса, который никто до нас не решился проверить на себе. Так что же может пойти не так?
Автократические манеры
Интересно, что даже с точки зрения IT-специалистов, технические проблемы «Дії» — вторичны, а главная опасность состоит именно в выбранных украинской властью подходах к цифровизации.
«Одна из серьезных опасностей электронного правления, предохранители которой активно ищут во всем мире, — стимулировать аполитичность. Внешняя привлекательность, комбинированная с закрытостью государственных ІТ-систем, может приучать граждан не интересоваться политическими процессами вместо того, чтобы сознательно участвовать в них. Именно на идее неучастия граждан в политике и паразитируют современные автократии», — говорит гендиректор Prozorro Василий Задворный. Украинская онлайн-платформа публичных закупок тоже государственная, но создавалась как раз на идее прозрачности и привлечения бизнеса и граждан.
В мире до сих пор нет четкого понимания, как влияет на демократию анонсированная в Украине тотальная цифровизация, — когда автоматизируются не отдельные сервисы, а весь комплекс государственных функций. Исследования цифровой демократии лишь начинаются. До последнего времени политические философы не обращали особого внимания на информационные технологии, а в сфере ІТ никто глубоко не погружался в политику, поэтому последствия пересечения этих сфер остаются неопределенными даже теоретически.
В то же время практический опыт постепенно накапливается и чаще всего подтверждает опасения ученых: опрометчивая цифровизация работает не в пользу граждан. Как с этим в Украине?
«Принципиально есть два пути: мы делаем цифровые решения, чтобы граждане могли лучше контролировать государство или государство — граждан. Понять, на каком мы пути, довольно просто. Если первая функция в приложении упрощает для граждан контроль над государством, а первым пользователем «Дія.Підпису» становится президент, который подписывает им не ковидный сертификат, а собственные указы, — мы на первом пути. Если же первая функция в приложении упрощает государству проверку гражданина, а функции контроля над государством вообще отсутствуют, то у меня плохие новости», — говорит председатель общественной организации «Электронная демократия» Владимир Флёнц. Это сообщество ІТ-специалистов, юристов и общественных активистов содействовало проведению первого в Украине официального интернет-голосования, первого электронного суда, зарегистрировало первое электронное заявление в госорганы и продолжает заниматься практическим развитием е-демократии и е-правления.
В действительности мы настолько не привыкли, что каждый гражданин может обыденно контролировать государство, что и не представляем целиком, как это. Но есть Эстония, где государство цифровизировалось едва ли не первым в мире и сразу на принципах максимальной защиты граждан от чиновничьих злоупотреблений. Первая услуга в кабинете эстонского гражданина — возможность следить за тем, какое из госучреждений, когда и какие именно его данные просматривало в реестрах. Причем эту услугу государство предоставляет даже электронным резидентам — негражданам Эстонии, имеющим право на предпринимательскую деятельность в стране. Они спокойно могут увидеть, например, как эстонская полиция проверяла их данные, чтобы решить, предоставлять ли им статус е-резидента.
Если бы по этому пути пошла Украина, уже сегодня не только полицейские проверяли бы наши ковид-сертификаты, но и мы имели бы возможность проверить их. Например, на каждом полицейском был бы QR-код, а у нас первой услугой в «Дії» — возможность проверить того, кто хочет проверить тебя. Фантастика? Вовсе нет. Ну, разве лишь там, где государство хочет контролировать граждан и закрыться от их контроля. Как, например, в Китае, где у государства монополия на все данные о гражданах и доступ к ним: достаточно улыбнуться в камеру или назвать номер, и исчерпывающие данные подтянутся автоматически. Даже мобильного приложения не надо, потому что гражданин в этом никак не участвует и ничего не контролирует. Зато его отследить и проконтролировать можно легко.
Что же касается электронных выборов в Украине в ближайшей перспективе, к этой идее крайне отрицательно относится и профильная общественность, и другие ІТ-специалисты вне команды президента. Несистемная цифровизация и закрытость создают идеальное поле для злоупотреблений, неотслеживаемого перераспределения голосов, создания «нужной» картинки — под видом, конечно, высокотехнологической демократии. Такой, например, как в России, где во время недавних выборов власть получила свою е-электоральную выгоду от временно оккупированных украинских территорий. Это дешевле, легче и удобнее, чем фальсифицировать по-старому.
Специфический опыт той же Эстонии, где электронные выборы проходят с 2005 года, не стал рабочим решением для остального демократического мира. Не является он таковым и для Украины, в частности потому, что эстонцы внедрили е-выборы через десять лет после начала системной цифровизации. В основе эстонского подхода — выверенный закон о защите персональных данных, гарантирующий гражданину контроль над государством и всеми реестрами, где хранятся его данные. И уже на фундаменте этих принципов выстроены электронные правительство, реестр населения, ID-карточка, школа, социальные выплаты, полиция, портал госуслуг… и только потом — выборы.
Без такой системности «Дія» — всего лишь надувной матрас в фундаменте государства. С соответствующими последствиями при увеличении нагрузки.
И если цифровая поспешность президентской команды — это не отсутствие компетентности, а стратегия, то «государство в смартфоне» — это плохо замаскированный инструмент узурпации власти.
В помощь агрессору
«В нынешнем виде, когда там только несколько услуг, данные в «Дії» не представляют особого интереса для иностранных разведок. Но по мере того, как будут подключаться все новые и новые реестры и услуги, будет расти риск как злоупотреблений со стороны государственных чиновников, так и вмешательства со стороны России, которая, думаю, с большим любопытством наблюдает за тем, что здесь происходит. В наших Сетях, особенно государственных, они и так чувствуют себя, как дома, а здесь им еще и создают дополнительные возможности», — говорит известный под псевдонимом Sean Brian Townsend соучредитель Украинского киберальянса Андрей Баранович. Он не скрывает настоящего имени, хотя непосредственно участвовал в кибероперациях российско-украинской войны, и объясняет на реальных событиях.
Далеко не все операции — охота на персональные данные, но легкая доступность данных всегда может пригодиться.
«Несколько лет подряд мы занимались тем, что взламывали людей в России, чтобы получить данные. Российский портал госуслуг, их аналог «Дії», очень в этом помог, — отмечает Андрей Баранович. — Мне, например, нечего скрывать, — всю информацию обо мне российская разведка уже собрала, но есть люди, которые должны скрывать свои данные: работники спецслужб, военные. В Интернете они обычно маскируются, предоставляют минимум информации о себе, чтобы просто не оставлять следов. Предположим, такой человек по каким-то причинам нам интересен, но мы не знаем, кто это. Предположим, мы получили доступ к его компьютеру или телефону. Если у него «Дія» стоит в телефоне или открыта в компьютере, мы моментально получим его полное имя, номер паспорта и всю ту информацию, которую в ином случае было бы очень непросто найти или собрать».
С учетом этого украинский хакер предостерегает также от интеграции гражданских систем с военными. Возможно, слишком поздно, потому что Минцифры и Минобороны уже начали реализовывать доступ к реестрам призывников, военнообязанных и резервистов через «Дію». А в планах Минцифры и Минветеранов — интеграция в «Дію» сервисов для ветеранов АТО/ООС, членов семей погибших и т.п.
«Я глубоко убежден, что все военные системы должны быть отделены от гражданских, потому что это очень большой риск. Сейчас только военкоматы будут получать от «Дії» адреса регистрации военнообязанных, но услуги же будут добавляться. Рано или поздно это будет использовано Россией», — объясняет он.
Опасная закрытость
Сколько бы официальных комментариев и реплик в соцсетях ни выдало бы Минцифры о безопасности «Дії», ее невозможно проверить. В частности и потому, что программный код «Дії» закрытый, вопреки лучшим практикам.
«Открытый код — это как доступный текст закона, — объясняет Василий Задворный. — Например, это то, что ты знаешь, по каким правилами работает МВД, и это хорошо, это надо знать. Но открытый код не означает, что тебе доступны материалы уголовных дел, это означает лишь то, что ты знаешь, через какое время и куда это дело пойдет, как используются данные. Это о принципах и процессах работы системы. Если говорить о Prozorro, у нас открытый код самого программного обеспечения, — и внешне все могут видеть, как оно работает. Также у нас есть закрытый код развертывания инфраструктуры, и в открытом доступе нет паролей к серверам, зайти в систему с админскими правами кто угодно не сможет».
Почему открытый код программ считается безопаснее, чем закрытый? Потому что это возможность привлечь неограниченное количество внешних специалистов против отдельных злоумышленников: первые часто обнаруживают уязвимость и сообщают о ней разработчикам раньше, чем вторые успевают воспользоваться ею. И это — постоянный процесс, а не разовая акция.
Закрытый код отсекает эту возможность. Официальное привлечение этичных хакеров к поиску уязвимостей за вознаграждение (bug bounty) может быть полезным для проверки стабильных систем защиты, но не является доказательством безопасности. Не является таким доказательством и соответствие системы защиты информации «Дії» государственному стандарту Комплексной системы защиты информации (КСЗИ). А именно этим Минцифры отбивается от вопросов о безопасности.
«Наличие КСЗИ не дает стопроцентной гарантии защиты от каких-либо угроз. Построение КСЗИ значительно снижает риски, сводит их к минимально приемлемому уровню. Но абсолютной гарантии не дает и ни один другой стандарт — ни ISO 27000, ни NIST. Киберзащита — это не состояние, а процесс», — подчеркивает заместитель председателя Государственной службы специальной связи и защиты информации Украины Александр Потий.
Одних заявлений Минцифры о безопасности недостаточно и участникам ІТ-рынка, специализирующегося на защите информации.
«Основная (обоснованная) претензия специалистов по кибербезопасности к Минцифре состоит в непрозрачности принятых решений. Вопрос, где практики безопасности, не находит адекватного ответа. Повторяю: bug bounty, аудиты, КСЗИ, пентесты — это не ответы», — комментирует подход Министерства цифровой трансформации специалист по кибербезопасности Владимир Стыран, также участвовавший в bug bounty «Дії». В целом, по его словам, привлечение хакеров на старте проекта — нерелевантно, а заявления представителей Минцифры об «аудитах топовых компаний» требуют проверки как «топовости» компаний, так и состава выполняемых практик.
И даже в условиях, когда одни мероприятия ничего не доказывают, а результаты других или тайные, или недостаточные для выводов, Минцифры имеет возможности подтвердить безопасность «Дії», считает он. «Можно заказать оценку безопасности программной разработки, скажем, на основе модели зрелости BSIMM от Synopsys, чей положительный вывод о защищенности «Дії» автоматически прекратил бы поток критики. Другой вариант — собрать признанных профессиональным сообществом экспертов на закрытый брифинг, продемонстрировать им состояние дел, получить объективную рецензию и действенные рекомендации. Это — нормальная практика практически везде в мире, и такой ход смог бы сразу прекратить трения с оппонентами в киберсообществе. Вопрос лишь в готовности команды провести такой брифинг и пройти это ревю», — говорит Владимир Стыран.
Сейчас Минцифры делает вид, что не слышит дополнительных вопросов. И продолжает агрессивный маркетинг, по логике которого нет смысла отвлекаться на претензии существующих пользователей, если вокруг еще столько потенциальных. Разве только на совсем критические, чтобы не начался отток пользователей с «Дії».
Если стратегия не изменится, станет вопрос ребром: для чего власти максимально большая и непритязательная база пользователей в сжатые сроки?
Риски и перспективы пользователей
Для ежедневного пользования «Дія» — это удобно и рискованно одновременно. Больше всего это касается мобильного приложения, потому что все данные и доступы с телефона украсть намного легче, чем какой-либо бумажный документ.
«Проблема в масштабе. Сколько вы можете украсть бумажных паспортов — пять, десять, пятнадцать? А если вы имеете дело с телефонами, то можете украсть десять или двадцать тысяч, например. Собственно, воровать необязательно, — достаточно заразить телефон вирусом, дождаться, когда будет открыта «Дія», и быстро, пока пользователь не видит, удаленно что-то с ней сделать. Обычный пользователь никогда этого не заметит, и вообще не будет знать, что произошло. А украденный цифровой паспорт в «Дії» — это не ксерокопия вашего паспорта, которой уже и так владеют десятки учреждений, это действующий по новому закону документ. При этом, как он работает, как защищен и что делать, чтобы его не утратить, люди не знают, а Минцифры не объясняет. Поэтому школьники, с чужой «Дієй» покупающие алкоголь, — только начало. Впереди настоящее мошенничество, когда будут открывать счета под отмывание средств и сомнительные аферы», — объясняет Андрей Баранович.
Увеличилось также количество дырок для утечки персональных данных. Конечно, утечка данных и так происходит постоянно, но готовьтесь к еще большему вниманию со стороны спамеров и мошенников. Для последних создана такая же питательная среда, как при появлении платежных карточек: если не очень понимаешь, что делать, чтобы тебя не обманули, тебя с большой вероятностью обманут, — украдут карточку или пин, снимут средства или что-либо еще.
Из-за того, что «Дія» работает исключительно онлайн, всегда есть риск внезапно потерять доступ к собственным документам. В то же время Европа уже двигается в сторону офлайновых цифровых документов, которыми владелец может распоряжаться без лишних рисков внезапного исчезновения или кражи. Пользователям «Дії» сейчас придется рисковать постоянно.
Портал «Дія» — более безопасная альтернатива мобильному приложению, и специалисты рекомендуют все, что надо, делать через него. Включительно с очень популярной сейчас услугой — ковид-сертификатами: их можно сгенерировать на портале и сохранить отдельным файлом в телефоне. И не потерять к ним доступ, если «Дія» снова «устанет».
Когда же все наконец заработает, как надо? Вероятно, не скоро, потому что Украина до сих пор преимущественно имитирует цифровизацию. Имея возможность создавать действительно современные решения, мы — в угоду то популизму, то коррупционным привычкам — автоматизируем морально и технологически устаревшие процессы, которым уже сотни и сотни лет.
«Нет смысла цифровизировать старые аналоговые решения, когда надо создавать современные цифровые. Например, если ты ведешь учет своего предприятия в государственной системе, ты не должен был бы подавать налоговую отчетность, потому что все данные — уже в налоговой. Это системное решение, которое упростило бы жизнь бизнеса. В то время как идеология нашего бухгалтерского, налогового учета — вообще где-то с XIII века из Венеции, она уже старенькая в принципе, ее уже можно и надо совершенствовать», — говорит Василий Задворный. И вместе с тем признает, что в традиционно коррупционных сферах качественные цифровые изменения сталкиваются с яростным сопротивлением. Это и не удивительно: открытые данные, прозрачные процессы и их автоматизация сильно ограничивают пространство для злоупотреблений.
Что остается гражданам и бизнесу? Пользоваться цифровыми достижениями осторожно, формировать спрос на качественные государственные услуги и не прозевать момент, когда малополезное превратится в действительно опасное.