Когда два года назад заговорили о «государстве в смартфоне», многие скептически восприняли эту новость. Однако сегодня все больше украинцев устанавливают на смартфоны приложение «Дія». Да, есть технические проблемы, не все еще документы подтягиваются телефоном, но мы стоим лишь в начале пути.
О том, что нас ждет в ближайшем будущем в «Дії», «КП в Украине» рассказал руководитель отдела по развитию электронных услуг в Министерстве цифровой трансформации Мстислав Баник.
Уязвимостей с утечкой данных не обнаружено
- Мстислав, давайте без прелюдий начнем с главного. Возможно ли взломать «Дію»?
- Я бы делил этот вопрос на две части. Первая. Мы говорим о «Дії» как о мобильном приложении. Это, по сути, АРК-файл на Android. Скачать и разобрать АРК-файл не сложно. Но ничего не даст. Если приложение установлено не из маркетов, а с помощью скачанного где-то АРК-файла, «Дія» может не авторизироваться.
Она не авторизируется, если у вас есть доступ к защищенной части хранилища (root-права на Android и Jailbreak на iOS. - Авт.). «Дія» считает такой девайс опасным.
Теперь вторая часть - то, как мобильное приложение взаимодействует с государственными реестрами. Сама по себе «Дія» не сохраняет данные, не дублирует их, не меняет - и это в плане безопасности ключевой момент.
- Знаю, что дважды «этичным хакерам» за вознаграждение предлагали найти ошибки и уязвимости «Дії». Нашли?
- Когда мы первый раз проводили багбаунти (Bug Bounty - программа тестирования. - Авт.), уязвимостей, связанных с утечкой данных, не обнаружили. Лишь выяснили, что по номеру vin-кода можно узнать страховой полис на авто, но эта информация находится в открытом доступе на сайте Моторно-транспортного бюро.
Сейчас идет второй этап багбаунти на предмет уязвимостей, которые можно было бы воссоздать на продуктовой среде «Дії». Это после истории с программой, имитирующей «Дію».
Проверка еще идет, но риска утечки ваших персональных данных - нет.
- Может, наши хакеры просто не смогли ничего найти…
- Не только наши. Второй багбаунти полностью открыт для всего мира, за исключением России и Ирана.
- А вообще фиксировались попытки взлома и кражи данных из «Дії»?
- В самом начале - да. Но сейчас я о них почти ничего не слышу. Но «Дія» не хранит данные украинцев, она отображает данные, которые уже есть в соответствующих реестрах.
QR-код живет три минуты
- Вернемся к нашумевшей истории, когда полиция задержала нескольких «разработчиков» визуальной копии «Дії». Что можете сказать об этих подделках, держали их в руках?
- В руках не держал. Читал отчеты по анализу этих АРК-файлов. Визуально программы действительно похожи на «Дію». Но сейчас любой 10-классник может воссоздать дизайн какой угодно программы. Включая динамические элементы.
Но есть главный способ проверки подлинности - отсканировать QR-код. Тем более это можно сделать другим смартфоном с «Дією».
- На фейковых версиях QR-код не читался?
- Нет. Никаких доступов к реестру или к чему-то еще там не было. В наиболее продвинутой фейковой версии скан QR-кода обычной камерой вел на веб-страницу с надписью «документ справжній».
Кстати, некоторые из этих пиратских приложений были слеплены из открытых библиотек, созданных мошенниками. Они воровали данные. Я уверен, один из ребят, подделавших «Дію», даже не подозревал, что его приложение, если не ошибаюсь, могло записывать скрин экрана его телефона.
- Чем сейчас занимаются эти горе-хакеры?
- Нашли троих. Судьба двоих мне не известна. А самый первый сейчас советник Александра Борнякова, одного из заместителей министра цифровой трансформации Михаила Федорова. Он внештатный сотрудник и не получает зарплату.
- Неужели хакеры не могут написать программу с рабочим QR- кодом? Вы же смогли.
- Как работает QR-код в «Дії»… Он живет три минуты и проверяет документ не с вашего смартфона, а из государственного реестра. Если вы отсканируете QR моего паспорта, то получите ответ от Государственного демографического реестра. Этот QR является одноразовым запросом в Государственный демографический реестр. Это не телефон сообщает о том, что документ настоящий, а реестр по защищенным каналам. И если бы их можно было взломать, их бы давно уже взломали, не дожидаясь появления «Дії».
Три популярные функции
- Назовите топ-3 самых популярных функций в «Дії»?
- Сейчас, конечно, генерация ковид-сертификатов. Сейчас в Украине созданы оффлайн-пункты команды поддержки «Дії», где можно получить помощь с генерацией ковид-сертификатов в приложении и на портале «Дія». Проект реализован Минцифрой совместно с региональными командами цифровизации Украины c помощью ПРООН (Diia Support) при поддержке Швеции и при поддержке Программы EGAP Фонда Восточная Европа, финансируемой правительством Швейцарии.
Я сейчас езжу по стране, встречаюсь с местными командами цифровизации, смотрю, как работают эти пункты. За две недели уже посетил 16 городов из 25 запланированных. Всего в Украине уже около 900 таких точек, включая ЦНАПы и центры «Дія. Бізнес». И пользуясь случаем, хочу поблагодарить региональные команды цифровизации, которые поддержали такую инициативу Минцифры, волонтеров, которые проходят обучение в нашем министерстве, чтобы оказывать помощь украинцам.
Вторая по популярности функция - «є Малятко». Девять услуг, связанных с рождением ребенка, объединенных в одну форму.
И третья - открытие бизнеса. Сейчас до 60% бизнеса открывается именно через портал «Дія». Сегодня там вместо 58 полей, которые раньше нужно было заполнять, осталось десять. И заявка обрабатывается полностью автоматически. Без участия чиновника.
- Со временем эти топ-3 будут меняться?
- Думаю, да. В ближайшее время точно, когда запустятся 1000 гривен за вакцинацию от коронавируса. Поэтому ожидаем в первые дни несколько миллионов человек, что радикально изменит статистику использования функций «Дії».
- Кстати, о «президентской тысяче». Как вообще будет работать этот механизм?
- Мы пока работаем над этим. Но точно будет тысяча, она поступит на счет. Мы пока еще не готовы сказать - на какой. Но потратить ее можно только на наиболее пострадавшие виды бизнеса. Больше деталей нет.
- Многие жалуются, что у них не подтягивается ковид-сертификат.
- Это на самом деле единичные случаи, которые происходят по вине врача. Например, если он ошибся в фамилии или ИНН пациента. Знаю случаи, когда врач говорит: «Клянусь, там все правильно написано». Но информацию о том, что проблема на стороне семейного врача, «Дія» берет в электронной системе охраны здоровья, а не сама решает, кому подтягивать сертификат, а кому нет.
Иногда врачи допускают ошибку в номере самой вакцины, партии или еще чего-то. Соответственно, эту информацию может исправить только врач, который проводил вакцинацию.
Сейчас в центрах массовой вакцинации сидят волонтеры из команды поддержки «Дії». Пока сидишь 15 минут после прививки, они помогут создать в смартфоне сертификат.
Пенсионеры дружат с технологиями
- По какому принципу выбирается вектор развития «Дії»?
- Мы ориентируемся на количество людей, пользовавшихся теми или иными госуслугами в течение года. Например, за субсидией обратились 2,7 млн человек. За перерасчетом пенсий - 1,4 млн. Меняют место регистрации приблизительно 1 млн человек в год.
И второй критерий не может существовать без первого, разрабатываются те услуги, где к этому готова система.
- Так какие именно услуги будут доступны в ближайшее время?
- 100% - это субсидия. Тут не только заслуга «Дії», но и работа, проведенная Минсоцполитики по усовершенствованию реестра. Даже если человек лично пойдет в подразделение Минсоцполитики, субсидию оформят быстрее и удобнее, чем раньше.
Также планируется запуск оформления онлайн и пенсионного удостоверения как по возрасту, так и по инвалидности.
- А вы считаете, что все пенсионеры в нашей стране имеют смартфоны и легко освоят работу с приложением?
- Мы ездим по стране. По-моему, в центре массовой вакцинации во Львове я спросил волонтера, были ли у них люди пожилого возраста и без смартфона. Ответил, что - нет, не было.
Это предубеждение, что у людей пожилого возраста только кнопочные телефоны. Да, у моей бабушки такой. Но таким людям уже, как правило, по 80 лет, это, откровенно говоря, немного другая категория. Если говорить о 60-70-летних, они не настолько далеки от реальности.
Если взять статистику, то Android почти у 75% пользователей, iOS - 23,5% и Huawei - 1,5%. У большинства людей Android, потому что это более доступные гаджеты. «Дія» - приложение не только для жителей больших городов или с хорошим достатком. «Дія» - приложение для всех.
Хотя раньше был меньше разрыв между Android и iOS. Я думаю, это связано с ковид-сертификатами.
Повестку из военкомата передавать не планируют
- Когда с помощью «Дії» можно будет регистрировать браки?
- Возможно, в следующем году… Это пока не совсем регистрация брака - так, что face-id подтвердили и уже женаты или разведены. Но, например, возможна онлайн-подача документов на брак. Выбрать время, оплатить через портал. И в назначенное время приехать в загс.
- А что такое строительные услуги в «Дії»?
- Ни для кого не секрет, что строительная сфера - лакомый кусок для коррупции. Когда мы лишь планировали начинать работу в данном направлении, то строительный реестр находился за границей в частных руках. Его привезли в Украину в 2019 году, мы начали работать и обнаружили коррупционные лазейки. С ним не было смысла продолжать работать. Потому разработали новый, прозрачный, безопасный, где фиксируется, когда и какой чиновник вносит своим ключом изменения в данные о собственности.
В идеале - перевести эту услугу полностью в автоматический режим без участия чиновника. А если оно остается - то жестко регламентировано, без возможности люфта для коррупции.
КОНКРЕТНО
Автоматизированными строительными услугами могут воспользоваться ФОПы, физические и юридические лица. Результаты рассмотрения заявлений поступают в кабинет пользователя на портале. Кстати, информация о результатах рассмотрения представленных документов является публичной и доступна в реестре строительной деятельности по ссылке.
Также автоматизированы услуги по объектам строительства класса СС1:
- уведомление о начале строительных работ на основании стройпаспорта - самая популярная услуга на портале;
- уведомление о начале подготовительных работ;
- уведомление о начале строительных работ.
- Есть нововведения по взаимодействию с военкоматом?
- Сейчас заканчивается тестирование онлайн смены места регистрации и жительства. Данные о новом адресе проживания военнообязанного будут передаваться в Минобороны.
Там есть нюанс. Если «военник» выдан после 2014 года, то для смены регистрации нужно пользоваться его номером. Если более старый документ, через «Дію» нужно подать информацию о военном билете, получить номер, который и будет использоваться для смены места регистрации.
- Повестки военкоматы тоже через «Дію» станут присылать?
- Нет, такое мы не рассматриваем.
О выборах и переписи населения
- Президент Владимир Зеленский на пресс-марафоне сообщил, что с помощью «Дії» возможны выборы онлайн…
- Изучаем международный опыт. Например, Эстонию - у них смешанная форма выборов: онлайн и офлайн.
Да, есть политическая воля президента. Что касается реализации - в Украине Центризбирком определяет весь процесс выборов. Если ЦИК поставит нам такую задачу, Минцифра подключится и выполнит.
На самом деле это очень ответственный процесс. Нужно найти баланс между анонимностью голосования и не дать возможности продублировать голос.
Все можно сделать. И разные страны имеют разный опыт использования электронных голосований.
- Будет ли «Дія» использоваться в переписи населения?
- Деталей не знаю, это не мое направление. Но недавно прошла встреча, на которой президент Владимир Зеленский и представитель компании Apple Марк Леннон подписали меморандум о потенциальной поддержке компании Apple в проведении переписи населения.
Все госуслуги онлайн к 2024 году
- Почему сейчас отказались от верификации с помощью поворачивания головой?
- «Поворачивание головой» - это технология электронной подписи. От нее не отказались, она будет использоваться и для госуслуг, и для составления договоров и контрактов, и для операций с недвижимостью. Ведь важно убедиться, что это именно тот человек, который есть в биометрическом документе.
К сожалению, нам пришлось ее внедрять именно на ковид-сертификатах, что оказалось сложновато и выглядело как дополнительное препятствие в создании сертификата.
Мы пошли навстречу людям и вместе с МОЗ нашли техническое и юридическое решение не использовать цифровую подпись на запросе ковид-сертификата. Хотя ковид-сертификат - это медицинские данные, они должны подтверждаться электронной подписью человека.
- Какие технические проблемы есть сейчас у «Дії»?
- Была проблема, когда увеличилось число пользователей. Когда ковид-сертификаты стали ежедневным документом, за месяц добавились 3,5 миллиона пользователей. Соответственно, нагрузка на «Дію» резко увеличилась. Но сейчас эта проблема осталась позади. Мы уже приближаемся к цифре в 11 миллионов пользователей в приложении и столько же на портале.
- Ну и под конец нашего разговора - к чему «Дія» в идеале стремится?
- 100% госуслуг до 2024 года должны быть доступны онлайн.
В ТЕМУ
Аналогов в мире нет
- Есть ли в мире аналоги «Дії»?
- Полных аналогов нет. Если ничего не поменялось, в девяти странах есть мобильное приложение с водительским удостоверением или, как максимум, документами на автомобиль. Паспортов нет ни у кого. Такого большого набора документов тоже нет.
Но, заметьте, мы не просто оцифровываем бесконечные бумажные формы, а превращаем оформление документов в несколько простых шагов. Например, та же замена удостоверения водителя в 3-4 экрана.
Ни одна из стран так не углубляется в упрощение получения госуслуг на веб-порталах, как Украина.