Невловимий Joe, або що відбувається з петиціями на офіційному сайті Президента України
17 червня, на офіційному сайті Президента України підписантом під петицією про звільнення Олега Татарова став Joe Biden, − можливо варто привітати команду офісу президента та Мінцифри з таким чудовим прикладом транскордонної взаємодії, або навпаки, висловити співчуття у зв’язку зі зламом системи електронних петицій?
Що трапилось, аналізує Володимир Фльонц, керівник ГО “Електронна демократія”.
***
Як виявилось, підпис Joe Biden це не найбільша проблема, офіційний веб-сайт Президента України приймає навіть “пусті” підписи. По результатам перевірки 20+ петицій знайшлось ще багато цікавого.
1. Офіційна позиція
Минуло понад 24 годин з моменту оприлюднення підпису Joe Biden на офіційному веб-сайті Президента України, жодної заяви чи позиції офісу Президента з цього приводу досі не озвучено. Згідно порядку перевірки підписів, “На час перевірки голоси, які додатково перевіряються, фіксуються, але не враховується у загальній кількості відданих за петицію (не оприлюднюються).” −, проте підпис Joe Biden оприлюднено, і це поки єдина офіційна позиція.
2. Законодавство про електронні петиції
Електронні петиції — це особлива форма колективного звернення громадян до Президента України, право на які гарантується 40-ю статтею Конституції та регулюються Законом України “Про звернення громадян”.
Перша стаття цього закону гарантує, що Громадяни України мають право звертатись до органів державної влади. Проте та ж стаття зазначає, що особи, які не є громадянами України і законно знаходяться на її території, мають таке ж право на подання звернення, як і громадяни України, якщо інше не передбачено міжнародними договорами.
Стаття 23-1 передбачає, що (будь-які) громадяни можуть звернутися до Президента України, з електронними петиціями через офіційний вебсайт, — проте не уточнює громадяни якої саме країни.
Чи означає це, що петиції можуть підписати хоч Joe Biden, хоч громадянин держави-агресора? Фактично так.
Цікавий нюанс, Указ Президента України № 523/2015 забули оновити і він досі приписує всі обов’язки по оприлюдненню та опрацюванню петиції вже давно не існуючому органу — Адміністрації Президента.
3. Перевірка підписів
Закон прямо вимагає недопущення автоматичного введення інформації, у тому числі підписання електронної петиції, без участі громадянина;
Офіційний сайт Президента України з цього приводу оприлюднив пояснення “Щодо впровадження додаткової перевірки голосів”
Цим поясненням, замість “недопущення автоматичного введення інформації” фактично визнається, що така можливість на офіційному сайті Президента України існує, тому проводиться перевірка підписів постфактум, проте на підставі чого і в який спосіб здійснюється ця перевірка — не уточнюється.
4. Електронна ідентифікація
Офіційний сайт Президента України для електронної ідентифікації громадян, що бажають підписати електронну петицію, використовує Інтегровану систему електронної ідентифікації (далі – ІСЕІ) ДП “ДІЯ” також відому як ID.GOV.UA
ID.GOV.UA призначена для електронної ідентифікації користувачів системи, якими є фізичні та юридичні особи, або фізичні особи-підприємці, без жодної прив’язки до громадянства.
Ця система має можливість верифікації з використанням інформації Єдиного державного демографічного реєстру відомостей про прізвище, ім’я та по батькові (за наявності) особи, унікальний номер запису в Єдиному державному демографічному реєстрі, реквізити паспорта громадянина України, паспорта громадянина України для виїзду за кордон, посвідки на постійне проживання та посвідки на тимчасове проживання, оформлених із застосуванням засобів Єдиного державного демографічного реєстру, дійсність зазначених документів.
Проте стандартні схеми електронної ідентифікації, описані в технічній документації системи, не передбачають передачі інформації про громадянство, крім випадків ідентифікації за BankID, коли можлива передача даних про паспорт (хоч і не обов’язкова) за якими можна спробувати зробити висновок про громадянство.
Чи використовує Офіційний сайт Президента України можливості верифікації даних користувача, описані вище — наразі невідомо.
5. Joe Biden
То звідки взявся “неуловимий джо”? Для цього давайте поглянемо на 20 популярних петицій за цей та минулий рік. Для зручності я зібрав їх в одну таблицю.
Виявляється, Joe Biden не поодинокий випадок. Ба більше, сайт петицій реєструе підписи взагалі без прізвища та імені. Серед 20 досліджених петицій рівно в половині петицій присутні підписи без імені.
В петиції № 114822 крім Joe Biden також присутній Izzo Mario. Майже в кожній петиції присутні підписи з мішаниною латинки+кирилиці в імені та прізвищі (використання латинських і, о, а в українських прізвищах навіть не вносились в таблицю) — такі прізвища, очевидно, не мали пройти верифікацію через реєстри.
Особливо активним виявився громадянин Gerasimecs Jurijs, підпис якого присутній в 6 з 20 досліджених петицій. Загалом було виявлено 12 випадків підписів цілковито на латинці у 20 петиціях.
5. Зарахування підписів
Як зазначалось вище, сайт петицій передбачає “додаткову перевірку голосів”, можливо, такі підписи потім було виключено?
Справді, в петиції щодо ліквідації окружного адміністративного суду міста Києва лічильник зарахував на 1470 підписів менше ніж в списку. Проте в таких петиціях як № 110356, № 110878, № 111148, № 111202 — враховані всі, в тому числі “пусті” підписи. Отже, вони якимось чином пройшли “додаткову перевірку”.
Це ще раз вказує, що така “додаткова перевірка” носить несистемний, ручний характер, а отже є зручним інструментом для зловживань.
6. Ризики
Звісно не слід відкидати можливість справжнього підпису Joe Biden, який теоретично, може не суперечити вимогам чинного законодавства.
Проте інші фактори, в своїй сукупності, вказують на системну проблему електронної ідентифікації на Офіційному вебсайт Президента України. Враховуючи, що електронна ідентифікація задіює цілий комплекс взаємопов’язаних систем, в тому числі банківських, кваліфікованих надавачів електронних довірчих послуг, мобільних операторів та інших, не кажучи вже про ІСЕІ ДП “ДІЯ”, — фіктивну особистість Joe Biden можна було створити на будь-якому з етапів.
а) Несанкціоновані дії по створенню підпису напряму в базі Офіційного вебсайту Президента України без електронної ідентифікації. Слід розглядати окремо, як дії з боку зовнішніх зловмисників (хакерів), так і з боку адміністратора системи. Оскільки в штатній ідентифікації задіяна умовно “незалежна” ID.GOV.UA то виявити таке втручання простіше за все, по відсутності необхідних артефактів з боку ID.GOV.UA.
б) Злам ID.GOV.UA через баг в системі ідентифікації з наступним переходом на сайт президента. Якщо ID.GOV.UA вразлива, то під ризиком опиняються 200+ державних та комерційних систем підключених до ІСЕІ, починаючи від ідентифікації в кабінеті платника податків, пенсійному фонді до державних послуг на порталі Дія — всі вони використовують ID.GOV.UA для ідентифікації.
в) Штатна ідентифікація на ID.GOV.UA. Цей випадок розпадається на два варіанти використання фейкової особистості Joe Biden в одному з банків, або створення ключа електронного підпису Joe Biden в одному з надавачів електронних довірчих послуг (кейс ключів Рябошапки, 2016).
Якщо це відбулось через BankID — під загрозою всі ваші цифрові документи в Дії, оскільки вона використовує саме такий тип ідентифікації. Привіт, повне прирівняння е-паспорту в Дії до паперового.
Якщо можливо створити, а головне використати, справжній електронний підпис на фейкову особистість — ситуація ще гірша, оскільки ставить під ризик взагалі всю системи електронних довірчих послуг.
І ключове питання в тому, як відреагує система на таку підробку.
7. Довіра
В 2016 році були оприлюднені докази несанкціонованого створення ключів електронного підпису “Рябошапки”, що проходили всі передбачені законодавством валідації аж до Центрального засвідчувального органу, і були використані для ідентифікації та підписання електронної декларації. Не дивлячись на беззаперечні докази, офіційна позиція регулятора у сфері використання ЕЦП, а згодом і позиція слідчих органів, спустили цю справу “на тормозах”.
Невивчені уроки мають властивість повторюватись. Другого такого удару по сфері ДОВІРчих послуг Україна може не витримати. Про транскордонну взаємодію, визнання українських підписів в світі, не кажучи про довіру до електронних послуг, електронного нотаріату, електронного суду і нарешті електронних виборів можна буде забути на десятиліття.
8. Висновки
Підпис Joe Biden викрив дві рівновеликі проблеми сучасної цифровізації:
1) Локальна проблема електронних петицій:
Адміністратор офіційного веб-сайту Президента України на протязі тривалого часу не здатен забезпечити валідацію навіть “пустих” підписів під електронними петиціями, не кажучи вже про підпис Joe Biden. Що разом з відсутністю публічного порядку валідації підписів, неодноразової ручної зачистки тисяч “незручних” підписів, цілковито знищує довіру до інструменту електронних петицій.
2) Глобальна проблема сфери електронних довірчих послуг:
Похована в 2016 році справа з “ключами Рябошапки” через п’ять років знову заставляє з великим скепсисом ставитись до відсутньої реакції на підпис під петицією Joe Biden. Якщо джерело походження цього підпису не буде оприлюднене, якщо відповідні посадові особи не понесуть покарання, зрештою якщо це можливо безкарно провернути з офіційним веб-сайтом Президента України, — жоден з електронних сервісів в Україні не зможе заслуговувати на довіру.
