UE chce, by do końca 2026 roku każdy obywatel miał dostęp do cyfrowego portfela tożsamości. Organizacje broniące praw cyfrowych ostrzegają jednak, że zabezpieczenia systemu wciąż są niewystarczające, a jego powszechne wdrożenie może stworzyć nowe możliwości śledzenia Europejczyków.
Do końca 2026 roku każde państwo Unii Europejskiej będzie miało prawny obowiązek udostępnić swoim obywatelom Europejski Portfel Tożsamości Cyfrowej. To aplikacja na smartfon, która ma umożliwiać przechowywanie w jednym miejscu cyfrowego dokumentu tożsamości, prawa jazdy, dyplomów oraz innych zweryfikowanych dokumentów. Portfel ma działać we wszystkich 27 państwach członkowskich UE.
REKLAMA
REKLAMA
Organizacje zajmujące się ochroną praw cyfrowych ostrzegają jednak, że zarówno sama technologia, jak i zabezpieczenia mające ją chronić, nie są jeszcze w pełni gotowe. Ich obawy dotyczą przede wszystkim ryzyka, że portfel stanie się narzędziem masowej kontroli i inwigilacji, przed którą unijne rozwiązania miały właśnie chronić.
„Jesteśmy może na poziomie 50–60 proc. standardów technicznych potrzebnych do zbudowania tego portfela” – mówi Thomas Lohninger, dyrektor wykonawczy austriackiej organizacji epicenter.works i członek zarządu European Digital Rights (EDRi). „Pozostałych 40 proc. nie ma. One po prostu nie istnieją”.
Problem „honeypotu”
Skupienie w jednym miejscu tak wielu wrażliwych informacji – od danych tożsamościowych i medycznych po prawo jazdy czy dane finansowe – oznacza, że pojedyncze naruszenie bezpieczeństwa mogłoby mieć znacznie poważniejsze konsekwencje. Skradziony telefon, złośliwa aplikacja czy wyciek danych z chmury mogłyby potencjalnie umożliwić dostęp do wielu różnych informacji jednocześnie.
Ryzyko jest tym większe, że cyfrowych dokumentów nie można po prostu „zmienić” tak jak hasła. Dokument opatrzony kryptograficznym podpisem potwierdzającym jego autentyczność może stać się znacznie bardziej wartościowym celem dla osób, które chciałyby go przejąć lub wykorzystać w nieuprawniony sposób.
„Jeśli wkładasz wszystkie jajka do jednego koszyka, to musisz mieć nadzieję, że ten koszyk nigdy nie zawiedzie” – mówi Lohninger. „Wyobraźmy sobie, że ten mały portfel zostaje zhakowany albo przestaje działać na kilka godzin czy tydzień. Ludzie nie mogliby wejść na swoje konta w mediach społecznościowych. Nie korzystaliby z transportu publicznego. Nie mieliby przy sobie prawa jazdy”.
Lohninger określa portfel mianem „infrastruktury krytycznej”, która połączy sektor publiczny i prywatny „w sposób, jakiego w Europie jeszcze nie było”. Jego zdaniem może on stać się atrakcyjnym celem nie tylko dla cyberprzestępców, lecz także dla służb państwowych.
Rozporządzenie przewiduje szereg technicznych zabezpieczeń: odporne na manipulacje elementy kryptograficzne służące do przechowywania kluczy, powiązanie poświadczeń z konkretnym urządzeniem, tak aby nie można było ich skopiować, obowiązkową weryfikację każdego podmiotu proszącego o dostęp do danych oraz zasadę, zgodnie z którą użytkownik musi zostać powiadomiony w ciągu 24 godzin o cofnięciu poświadczenia.
Europejski Inspektor Ochrony Danych wskazuje na bezpieczne elementy sprzętowe jako jedną z kluczowych barier chroniących przed kradzieżą danych. Utrata telefonu nadal oznacza jednak wyścig z czasem: portfel trzeba zablokować i odzyskać, zanim przestępca zdąży go wykorzystać. Unijni kontrolerzy zwracają uwagę, że procedury odzyskiwania portfela są na razie tylko częściowo przetestowane.
Śledzenie wpisane w projekt
Jednym z fundamentów obietnicy prywatności portfela ma być selektywne ujawnianie danych. Osoba, która chce potwierdzić, że ukończyła 18 lat, powinna móc przekazać wyłącznie tę informację – bez ujawniania imienia i nazwiska, adresu czy numeru dokumentu. Europejski Inspektor Ochrony Danych określa to mianem „autoryzacji bez identyfikacji” – mechanizmu, który ma chronić użytkowników przed śledzeniem i profilowaniem, czego nie zapewnia tradycyjny, fizyczny dowód osobisty.
Lohninger opisuje związane z tym ryzyko jako „nadmierną identyfikację”. Obecnie potwierdzanie tożsamości w internecie jest stosunkowo powolne i kosztowne. Banki i operatorzy telekomunikacyjni ponoszą takie koszty m.in. w związku z przepisami dotyczącymi przeciwdziałania praniu pieniędzy. Portfel może sprawić, że identyfikacja stanie się znacznie szybsza, tańsza i bardziej powszechna.
To z kolei może stworzyć zachętę do ograniczania anonimowości, która wciąż jest możliwa w niektórych obszarach internetu – choćby w mediach społecznościowych czy przy zakładaniu konta e-mail.
Lohninger zwraca również uwagę na to, co EDRi określa mianem ryzyka „panoptykonu”. Ten sam portfel może być wykorzystywany do rozliczeń podatkowych, korzystania z opieki zdrowotnej i transportu publicznego, obsługi bankowej czy logowania się na Facebooka. Obszary życia, które do tej pory pozostawały od siebie oddzielone, mogą zostać powiązane za pośrednictwem jednego systemu.
„Te sfery życia mogą się połączyć” – mówi. „Istnieje ogromne ryzyko panoptykonu, w którym można praktycznie wszystko zobaczyć o każdym”.
EDRi postuluje wprowadzenie zasady prawnej określanej jako niezauważalność. Ma ona uniemożliwić dostawcom portfela, rządom, a potencjalnie także firmom takim jak Google, śledzenie aktywności użytkowników w systemie. Zdaniem organizacji projekty przepisów wykonawczych osłabiają właśnie to zabezpieczenie, a jednocześnie przewidują obowiązkową biometryczną weryfikację twarzy, której nie zawierała pierwotna wersja przepisów.
Niedokończona kryptografia
Według Lohningera znaczna część technologii, która ma sprawić, że portfel będzie jednocześnie bezpieczny i przyjazny dla prywatności, wciąż nie istnieje w gotowej formie.
Dotyczy to między innymi dowodów o zerowej wiedzy (zero-knowledge proofs) – technik kryptograficznych pozwalających udowodnić określony fakt, na przykład osiągnięcie pełnoletności, bez ujawniania danych, na podstawie których można ten fakt potwierdzić. Lohninger określa je jako rozwiązanie „na granicy współczesnej kryptografii”.
„Mamy trójkąt: prywatność, bezpieczeństwo i wygoda użytkowania” – mówi. „Bardzo trudno doprowadzić wszystkie trzy elementy do 100 proc. Portfel z pewnością będzie tu szukał kompromisów”.
Otwarte pozostaje pytanie, gdzie te kompromisy się pojawią. System poświadczeń może być odporny na ataki z punktu widzenia samej kryptografii – mieć silne klucze, ważne podpisy i nie wykazywać oczywistych luk – a mimo to ujawniać informacje o zachowaniu użytkownika.
Może do tego dojść, jeśli ten sam identyfikator lub atrybut będzie wykorzystywany w różnych usługach. W takim przypadku podmioty weryfikujące mogą być w stanie powiązać ze sobą poszczególne transakcje i przypisać je tej samej osobie, nawet jeśli nie znają jej nazwiska.
Transgraniczne słabe ogniwo
Ponieważ portfel opiera się na zasadzie wzajemnego uznawania, bank lub urząd w jednym państwie będzie musiał ufać wynikom weryfikacji tożsamości przeprowadzonej zgodnie ze standardami rejestracji, certyfikacji i bezpieczeństwa obowiązującymi w innym kraju.
Lohninger nie spodziewa się, że większość krajowych systemów będzie równie dobrze przygotowana w momencie wejścia nowych przepisów w życie.
„Nawet państwa, które wydają na to dużo pieniędzy, jak Francja czy Niemcy, nie są gotowe” – mówi. „Nie dotrą w pełni do mety”.
Różnice między poszczególnymi państwami same w sobie mogą stanowić ryzyko dla bezpieczeństwa. System zaprojektowany z myślą o 27 wzajemnie ufających sobie wdrożeniach może być bowiem tak odporny, jak jego najsłabsza krajowa instalacja, najwolniejsza reakcja na incydent czy najbardziej pobłażliwa procedura rejestracji.
Lohninger apeluje więc o ostrożność. „Wstrzymajmy się i nie zostańmy wcześnymi użytkownikami. Chcę audytu, niezależnej analizy naukowców i organizacji społecznych tego, co rządy nam proponują, zanim wskoczymy do tych systemów”.
Dlaczego stawka rośnie
Debata na temat bezpieczeństwa nabiera znaczenia w związku z tym, że rządy w całej Europie – między innymi we Francji, Danii, Grecji i Austrii – wprowadzają lub rozważają nowe przepisy dotyczące weryfikacji wieku w mediach społecznościowych.
Oczekiwane jest również ogłoszenie ogólnounijnej inicjatywy przez przewodniczącą Komisji Europejskiej Ursulę von der Leyen. Portfel jest wskazywany jako jedno z narzędzi, które mogłyby służyć do egzekwowania tego rodzaju przepisów. Łączy bowiem system tożsamości o bardzo wysokiej wartości z – jak określa to Lohninger – „najbardziej wątpliwymi firmami, z którymi stykamy się na co dzień”.
Aby monitorować funkcjonowanie systemu po jego uruchomieniu, epicenter.works tworzy otwartą platformę danych „Who Identifies Me”. Ma ona umożliwić dziennikarzom i organizacjom społecznym śledzenie tego, jakie firmy i służby graniczne proszą użytkowników o dostęp do danych.
Lohninger uważa taką funkcję kontrolną za szczególnie istotną, gdy tylko pojawią się pierwsze rzeczywiste incydenty związane z bezpieczeństwem.
„Zaufanie społeczne jest tu naprawdę najcenniejszym i najrzadszym zasobem” – mówi. „Widzieliśmy w różnych regionach świata, że gdy rządy uruchamiają wielkie systemy cyfrowej identyfikacji i pojawiają się problemy, ludzie po prostu od nich uciekają”.