«Дія»: про що не розповідають українцям

«Уже навіть з’явилася фейкова «Дія», але не хвилюйтесь, її дуже легко відрізнити від оригінальної: якщо у вашому додатку все працює без помилок, а сертифікат завантажується, це фейкова «Дія», — жартує стендапер Антон Тимошенко, і аудиторія вибухає сміхом, бо проблеми зі справжньою «Дією» всім знайомі до болю. «Головне в будь-якому проєкті — не промо, а якість. Багато хто з користувачів сприймає цей продукт сирим. Чи визнаєте ви справедливість цих претензій?» — запитують у Михайла Федорова журналісти УП. «Я просто не знаю, про які саме претензії ви говорите», — відповідає віцепрем’єр, міністр цифрової трансформації України.

Михайло Федоров

Михайло Федоров/Facebook

Власне, це одна з найбільших претензій суспільства до «Дії» — закритість. Роздратування користувачів, запитання фахівців і допомога етичних хакерів у виявленні вразливостей зустрічають тільки непробивний автовідповідач Міністерства цифрової трансформації: не знаємо, про що ви, в усіх усе працює. «Під капотом» настільки закритого продукту можуть виявитись як новітні розробки, так і склеєні скотчем залишки старих чи взагалі людина, що крутить педалі, аби картинка зовні оживала. Ніхто цього не знає. А кількадесят людей у країні, які знають, мовчать.

Користувачам «Дія» назагал подобається. Можливість не переживати, що водійські права залишилися вдома разом із паперовим сертифікатом про вакцинацію, — це дійсно зручно, і багато українців щиро вдячні за це. Навіть якщо той, хто крутить педалі, втомлюється, і люди втрачають доступ до власних документів.

Тут і криється головна проблема: сьогоднішня «Дія» — лише яскрава популістська обгортка тих самих іржавих державних механізмів. І в найкращому випадку вона просто ускладнює й відкладає на роки якісну цифровізацію. У найгіршому — стає зручним інструментом як для російської розвідки, так і для узурпації влади. Останній ризик є величезним навіть для сильних демократій.

Саме тому за першою в світі «державою у смартфоні» зі щирою цікавістю (і попкорном) спостерігають розвинені країни. Адже Україна добровільно стала полігоном для випробування ідейно-технологічного комплексу, який ніхто до нас не наважився перевірити на собі. То що ж може піти не так?

Автократичні манери

Цікаво, що навіть з погляду IT-фахівців, технічні проблеми «Дії» є вторинними, а головна небезпека полягає саме в обраних українською владою підходах до цифровізації.

«Одна із серйозних небезпек електронного урядування, запобіжники якій активно шукають у всьому світі, — стимулювати аполітичність. Зовнішня привабливість, комбінована із закритістю державних ІТ-систем, може привчати громадян не цікавитися політичними процесами замість того, щоб свідомо брати участь у них. Саме на ідеї неучасті громадян у політиці й паразитують сучасні автократії», — каже гендиректор Prozorro Василь Задворний. Українська онлайн-платформа публічних закупівель теж державна, але створювалась якраз на ідеї прозорості та залученості бізнесу і громадян.

Василь Задворний

Главком

У світі досі нема чіткого розуміння, як впливає на демократію анонсована в Україні тотальна цифровізація, — коли автоматизуються не окремі сервіси, а весь комплекс державних функцій. Дослідження цифрової демократії тільки починаються. До останнього часу політичні філософи не звертали особливої уваги на інформаційні технології, а у сфері ІТ ніхто глибоко не занурювався в політику, тому наслідки перетину цих сфер залишаються непевними навіть теоретично.

Тим часом практичний досвід поступово накопичується і здебільшого підтверджує побоювання вчених: необачна цифровізація працює не на користь громадян. Як із цим в Україні?

«Принципово є два шляхи: ми робимо цифрові рішення для того, щоб громадяни могли краще контролювати державу або держава — громадян. Зрозуміти, на якому ми шляху, досить просто. Якщо перша функція у додатку спрощує для громадян контроль за державою, а першим користувачем «Дія.Підпису» стає президент, який підписує ним не ковідний сертифікат, а власні укази, — то ми на першому шляху. Якщо ж перша функція у додатку спрощує державі перевірку громадянина, а функції контролю над державою взагалі відсутні, то у мене погані новини», — каже голова громадської організації «Електронна демократія» Володимир Фльонц. Ця спільнота ІТ-фахівців, юристів і громадських активістів сприяла проведенню першого в Україні офіційного інтернет-голосування, першого електронного суду, зареєструвала першу електронну заяву до держорганів і продовжує займатися практичним розвитком е-демократії та е-урядування.

Направду ми настільки не звикли, що кожен громадянин може буденно контролювати державу, що і не уявляємо цілком, як це. Але є Естонія, де держава цифровізувалася ледь не першою в світі й одразу на принципах максимального захисту громадян від чиновницьких зловживань. Перша послуга в кабінеті естонського громадянина — можливість стежити за тим, яка з держустанов, коли і які саме переглядала його дані у реєстрах. Причому цю послугу держава надає навіть електронним резидентам — негромадянам Естонії, які мають право на підприємницьку діяльність у країні. Вони спокійно можуть побачити, наприклад, як естонська поліція перевіряла їхні дані, щоб вирішити, чи надавати статус е-резидента.

Якби цим шляхом пішла Україна, вже сьогодні не тільки поліцейські перевіряли б наші ковід-сертифікати, але й ми мали би можливість перевірити їхні. Приміром, на кожному поліцейському був би QR-код, а у нас першою послугою в «Дії» — можливість перевірити того, хто хоче перевірити тебе. Фантастика? Зовсім ні. Ну, хіба лише там, де держава хоче контролювати громадян і закритися від їхнього контролю. Як, скажімо, у Китаї, де держава має монополію на всі дані про громадян і доступ до них: достатньо посміхнутися на камеру чи назвати номер, і вичерпні дані підтягнуться автоматично. Навіть мобільний додаток не потрібен, бо громадянин у цьому жодної участі не бере і нічого не контролює. Зате його відстежити і проконтролювати можна легко.

Що стосується електронних виборів в Україні у ближній перспективі, то до цієї ідеї вкрай негативно ставиться і профільна громадськість, й інші ІТ-спеціалісти з-поза команди президента. Несистемна цифровізація та закритість створюють ідеальне поле для зловживань, невідстежуваного перерозподілу голосів, створення «потрібної» картинки — під виглядом, звісно, високотехнологічної демократії. Такої, приміром, як у Росії, де під час нещодавніх виборів влада отримала свій е-електоральний зиск від тимчасово окупованих українських територій. Це дешевше, легше і зручніше, ніж фальсифікувати по-старому.

Специфічний досвід тієї ж Естонії, де електронні вибори відбуваються з 2005 року, не став робочим рішенням для решти демократичного світу. Не є таким і для України, зокрема тому, що естонці впровадили е-вибори через десять років після початку системної цифровізації. В основі естонського підходу — вивірений закон про захист персональних даних, який гарантує громадянину контроль за державою і всіма реєстрами, де зберігаються його дані. І вже на фундаменті цих принципів зведено електронні уряд, реєстр населення, ID-картку, школу, соціальні виплати, поліцію, портал держпослуг… і аж потім — вибори.

Без такої системності «Дія» — це надувний матрац у фундаменті держави. З відповідними наслідками при збільшенні навантаження.

Та якщо цифровий поспіх президентської команди — це не брак компетентності, а стратегія, то «держава у смартфоні» — це погано замаскований інструмент узурпації влади.

У поміч агресору

«У нинішньому вигляді, коли там лише кілька послуг, дані в «Дії» не становлять особливого інтересу для іноземних розвідок. Але по мірі того, як підключатимуться дедалі нові й нові реєстри і послуги, зростатиме ризик як зловживань із боку державних чиновників, так і втручання з боку Росії, яка, я думаю, з великою цікавістю спостерігає за тим, що тут відбувається. У наших мережах, особливо державних, вони і так почуваються, як удома, а тут їм ще й створюють додаткові можливості», — каже відомий за псевдонімом Sean Brian Townsend співзасновник Українського кіберальянсу Андрій Баранович. Він не ховає справжнього імені, хоча брав безпосередню участь у кіберопераціях російсько-української війни, і пояснює на реальних подіях.

Андрій Баранович

Sean Brian Townsend/facebook

Далеко не всі операції — полювання на персональні дані, однак легка доступність даних завжди стає у пригоді.

«Кілька років поспіль ми займалися тим, що зламували людей у Росії, щоб отримати дані. Російський портал держпослуг, їхній аналог «Дії», дуже в цьому допоміг, — відзначає Андрій Баранович. — Мені, наприклад, нічого приховувати, — всю інформацію про мене російська розвідка вже зібрала, але є люди, які мають приховувати свої дані: працівники спецслужб, військові. В Інтернеті вони зазвичай маскуються, надають мінімум інформації про себе, щоб просто не залишати слідів. Припустимо, така людина з якихось причин нам цікава, але ми не знаємо, хто це. Припустимо, ми отримали доступ до її комп’ютера чи телефону. Якщо у неї «Дія» стоїть на телефоні чи відкрита на комп’ютері, то ми в момент отримаємо її повне ім’я, номер паспорта і всю ту інформацію, яку в іншому разі було б дуже непросто знайти чи зібрати».

З огляду на це український хакер застерігає також від інтеграції цивільних систем із військовими. Можливо, запізно, бо Мінцифри та Міноборони вже почали реалізовувати доступ до реєстрів призовників, військовозобов’язаних і резервістів через «Дію». А в планах Мінцифри та Мінветеранів — інтеграція в «Дію» сервісів для ветеранів АТО/ООС, членів родин загиблих тощо.

«Я глибоко переконаний, що всі військові системи повинні бути відділені від цивільних, бо це дуже великий ризик. Наразі лише воєнкомати отримуватимуть від «Дії» адреси реєстрації військовозобов’язаних, але ж послуги будуть додаватися. Рано чи пізно це буде використано Росією», — пояснює він.

Небезпечна закритість

Хоч би скільки офіційних коментарів і реплік у соцмережах не видало Мінцифри про безпеку «Дії», її неможливо перевірити. Зокрема й тому, що програмний код «Дії» є закритим, усупереч найкращим практикам.

«Відкритий код — це як доступний текст закону, — пояснює Василь Задворний. — Для прикладу, це те, що ти знаєш, за якими правилами працює МВД, і це добре, це треба знати. Але відкритий код не означає, що тобі доступні матеріали кримінальних справ, це означає тільки те, що ти знаєш, через який час і куди ця справа піде, як використовуються дані. Це про принципи і процеси роботи системи. Якщо казати про Prozorro, у нас відкритий код самого програмного забезпечення, — і зовні всі можуть бачити, як воно працює. Також у нас є закритий код розгортання інфраструктури, і у відкритому доступі немає паролів до серверів, зайти в систему з адмінськими правами будь-хто не зможе».

Чому відкритий код програм вважається безпечнішим, ніж закритий? Бо це можливість залучити необмежену кількість зовнішніх фахівців проти окремих зловмисників: перші часто виявляють вразливість і повідомляють про неї розробників раніше, ніж другі встигають скористатися нею. І це — постійний процес, а не разова акція.

Закритий код відсікає цю можливість. Офіційне залучення етичних хакерів до пошуку вразливостей за винагороду (bug bounty) може бути корисним для перевірки стабільних систем захисту, але не є доказом безпеки. Не є таким доказом і відповідність системи захисту інформації «Дії» державному стандарту Комплексної системи захисту інформації (КСЗІ). А саме цим Мінцифри відбивається від запитань про безпеку.

«Наявність КСЗІ не дає стовідсоткової гарантії захисту від будь-яких загроз. Побудова КСЗІ суттєво знижує ризики, зводить їх до мінімально прийнятного рівня. Проте абсолютної гарантії не дає і жоден інший стандарт — ані ISO 27000, ані NIST. Кіберзахист — це не стан, а процес», — наголошує заступник голови Державної служби спеціального зв’язку та захисту інформації України Олександр Потій.

Державна служба спецзв'язку

Самих заяв Мінцифри про безпеку недостатньо і учасникам ІТ-ринку, що спеціалізуються на захисті інформації.

«Основна (обґрунтована) претензія спеціалістів із кібербезпеки до Мінцифри полягає в непрозорості прийнятих рішень. Питання, де безпекові практики, не знаходить адекватної відповіді. Повторюю: bug bounty, аудити, КСЗІ, пентести — це не відповіді», — коментує підхід Міністерства цифрової трансформації спеціаліст з кібербезпеки Володимир Стиран, який також узяв участь у bug bounty «Дії». Загалом, за його словами, залучення хакерів на старті проєкту є нерелевантним, а заяви представників Мінцифри про «аудити топових компаній» потребують перевірки як «топовості» компаній, так і складу виконуваних практик.

Та навіть в умовах, коли одні заходи нічого не доводять, а результати інших або таємні, або недостатні для висновків, Мінцифри має можливості засвідчити безпеку «Дії», вважає він. «Можна замовити оцінку безпеки програмної розробки, скажімо, на основі моделі зрілості BSIMM від Synopsys, чий позитивний висновок про захищеність «Дії» автоматично припинив би потік критики. Інший варіант — зібрати визнаних професійною спільнотою експертів на закритий брифінг, продемонструвати їм стан справ, отримати об’єктивну рецензію та дієві рекомендації. Це нормальна практика практично скрізь у світі, і такий хід зміг би ураз зупинити тертя з опонентами в кіберспільноті. Питання лише у готовності команди провести такий брифінг і пройти це ревю», — зауважує Володимир Стиран.

Володимир Стиран/facebook

Наразі Мінцифри робить вигляд, що не чує додаткових запитань. І продовжує агресивний маркетинг, за логікою якого немає сенсу відволікатися на претензії наявних користувачів, коли навколо ще стільки потенційних. Хіба тільки на зовсім критичні, щоб не почався відплив користувачів із «Дії».

Якщо стратегія не зміниться, стане руба питання: для чого владі максимально велика й невибаглива база користувачів у стислі терміни?

Ризики і перспективи користувачів

Для щоденного користування «Дія» — це зручно і ризиковано водночас. Найбільше це стосується мобільного додатку, бо всі дані й доступи на телефоні вкрасти набагато легше, ніж будь-який паперовий документ.

«Проблема в масштабі. Скільки ви можете вкрасти паперових паспортів — п’ять, десять, п’ятнадцять? А якщо ви маєте справу з телефонами, то можете вкрасти десять чи двадцять тисяч, скажімо. Власне, красти необов’язково, — достатньо заразити телефон вірусом, дочекатися, коли буде відкрито «Дію», і швиденько, поки користувач не бачить, віддалено щось із нею зробити. Звичайний користувач ніколи цього не помітить і взагалі не знатиме, що відбулось. А вкрадений цифровий паспорт у «Дії» — це не ксерокопія вашого паспорта, якою вже і так володіють десятки установ, це чинний за новим законом документ. При цьому, як він працює, як захищений і що робити, аби його не загубити, люди не знають, а Мінцифри не пояснює. Тому школярі, які вже з чужою «Дією» купують алкоголь, — це лише початок. Попереду справжнє шахрайство, коли відкриватимуть рахунки під відмивання коштів і сумнівні оборудки», — пояснює Андрій Баранович.

Збільшилася також кількість дірок для витоку персональних даних. Звісно, дані й так витікають постійно, але готуйтеся до ще більшої уваги з боку спамерів і шахраїв. Для останніх створено таке ж поживне середовище, як при появі платіжних карток: якщо не дуже розумієш, що робити, щоб тебе не надурили, тебе з великою ймовірністю надурять — вкрадуть картку чи пін, знімуть кошти абощо.

Через те, що «Дія» працює виключно онлайн, завжди є ризик раптово втратити доступ до власних документів. Тим часом Європа вже рухається у бік офлайнових цифрових документів, якими власник може розпоряджатися без зайвих ризиків, що вони кудись раптово зникнуть чи будуть вкрадені. Користувачам «Дії» наразі доведеться ризикувати постійно.

Портал «Дія» — безпечніша альтернатива мобільному додатку, і фахівці рекомендують усе, що потрібно, робити через нього. Включно з найпопулярнішою зараз послугою — ковід-сертифікатами: їх можна згенерувати на порталі та зберегти окремим файлом у телефоні. І не втратити до них доступу, коли «Дія» знову «втомиться».

Коли ж усе нарешті запрацює, як треба? Імовірно, не скоро, бо Україна досі переважно імітує цифровізацію. Маючи можливість створювати справді сучасні рішення, ми — на догоду то популізму, то корупційним звичкам — автоматизуємо морально і технологічно застарілі процеси, яким уже сотні й сотні років.

«Нема сенсу цифровізувати старі аналогові рішення, коли потрібно створювати сучасні цифрові. Наприклад, якщо ти ведеш облік свого підприємства у державній системі, ти не мав би подавати податкову звітність, бо всі дані — вже у податковій. Це системне рішення, яке спростило би життя бізнесу. Тоді як ідеологія нашого бухгалтерського, податкового обліку — взагалі десь із XIII століття з Венеції, вона вже старенька в принципі, її вже можна і треба вдосконалювати», — каже Василь Задворний. І водночас визнає, що у традиційно корупційних сферах якісні цифрові зміни наражаються на шалений опір. Це й не дивно: відкриті дані, прозорі процеси та їхня автоматизація дуже обмежують простір для зловживань.

Що залишається громадянам і бізнесу? Користуватися цифровими здобутками обережно, формувати попит на якісні державні послуги й не проґавити моменту, коли малокорисне перетвориться на справді небезпечне.