Законът за електронната идентификация (по който работихме през с колеги в кабинета на г-жа Бъчварова) вече е внесен в парламента. Целият текст можете да видите тук. Най-долу в документа са и мотивите, едни от които е създаване на практически правила за приложение на Регламент 910/2014 на Европейския парламент.
Но четенето на закони е скучно, дори четенето на мотиви е скучно, затова ще дам малко разяснения с практическа насоченост (които се надявам да са малко по-малко скучни).
Какво е електронната идентификация – начин за идентифициране на гражданите в електронна среда. Т.е. когато държавата (или бизнесът) се налага да знае с кого точно си комуникира онлайн, електронната идентификация дава тази възможност. Има две понятия, които често се използват паралелно – „електронна идентификация“ и „електронна идентичност“. Второто звучи страшно, но всъщност значи просто електронното представяне на физическата ни идентичност. Не мисля, че има смисъл да навлизаме във философски разсъждения – важното е, че човек има само една идентичност, а електронната такава е само нейно „огледало“ в електронния свят. А идентификацията е процеса по еднозначното установяване на физическо лице. А юридическите лица се идентифицират чрез законните си представители, които са физически лица.
Често „електронна идентификация“ и „електронен подпис“ се бъркат, особено поради факта, че до момента подписът е използван и за идентификация. В хартиения свят идентификацията е аналогична на това да си покажем личната карта на някого, а подписът е саморъчният подпис. Технологично двете могат да бъдат реализирани по един и същи начин, но има съображения, поради които е добре да бъдат разделени.
Как ще изглежда електронната идентификация от гледна точка на гражданите. От момента, в който проектът по изграждането на инфраструктурата завърши (около края на лятото догодина), на гражданите ще могат да се издават карти за електронна идентификация на отделен носител. Такива те най-вероятно ще получават срещу символична сума (или безплатно) при подновяване на личните си карти. Картите ще съдържат чип. След април 2017-та (записано в изменителните разпоредби на закона) чипът ще влезе и в личните карти.
Важно е да се отбележи, че законът не дефинира носителя – той може да е карта, но може и да е мобилен телефон или всякакво друго устройство, което съдържа или има свойствата на криптографска смарткарта. Начините да се реализира това са два – единият (австрийският) е мобилният телефон да служи само за отключване на сертификатите, които стоят на отдалечен сигурен модул (HSM), и в които се извършват криптографските операции. Другият вариант е естонския, при който SIM-картите на телефоните се „upgrade-ват“, така че да могат да оперират с двойка криптографски ключове. Това, и още няколко технологични решения все още не са взети, и очакваме техническа дискусия по въпроса.
След като имаме карта, какво можем да правим с нея? Нищо. Трябва ни четец. Четците са сравнително евтини (15 лв при ниското търсене в момента), а например в Естония могат да се намерят в супермаркети. Тук все още ги няма в супермаркети, но има откъде да се купят. А след като имаме четец, ще можем да се идентифицираме пред всяка институция (вкл. пред частни компании) и да получавате услуги онлайн. Идеята е, че всяка институция решава как гражданите ще получават достъп до услугите ѝ, но задължително трябва да поддържат националната схема, дефинирана в закона. Така че притежаването на средство електронна идентификация означава, че ще може да ползвате всички услуги. И няма да се налага да получавате ПИК, ПИН, няма да има нужда да си купувате електронен подпис и други. Всъщност, последното не е напълно вярно, защото в зависимост от случая, електронен подпис все още ще е необходим. За подписване на документи, там, където се изисква саморъчен подпис в хартиения случай. На пръв поглед изглежда, че с идентификацията ще можете само да правите справки, но заявления за услуги също ще е възможно да се подават така (освен ако администрацията изрично не изисква КЕП). Само че и електронен подпис ще можете да получите заедно с личната си карта (също дефинирано в закона), от доставчик по избор – той просто ще записва удостоверението за електронен подпис и ключовете на същата карта (срещу съответната такса, която обаче върви надолу). Удостоверението за електронна идентичност в картата ще се получава подразбиране (opt-out, освен ако изрично не се откажем), докато електронен подпис – само при изрично поискване (opt-in).
Законът дефинира два структурни компонента – „център за електронна идентификация“ и „администратор на електронна идентичност“. „Администратор“ е (грубо казано) всеки, който може да приема заявления за издаване на удостоверения за електронна идентичност и да предава тези заявления на МВР, като след това си получаваме картите при администратора. Например консулските служби могат да бъдат администратори, така че българите в чужбина да могат да заявяват картите си и да го получават, без да се разхождат до България.
Центърът за идентификация, от друга страна, е нещо по-специфично. През него минават всички опити за идентификация. Тук е важно и да „разбия“ един мит – в самата карта ще има само електронен идентификатор, уникален за всеки гражданин. Няма да има никакви данни (освен имена, може би дата на раждане и важна медицинска информация, като кръвна група) – всички данни ще се вземат в реално време, след успешна идентификация. Т.е. с вашия браузър правите заявка към центъра за идентификация, той проверява дали картата ви е истинска, дали не сте под запрещение, дали собственикът на картата е жив (а някой друг прави опит да я ползва), след като ви препраща на сайта на доставчика на услугата, който получава начин да прочете данни за вас (но само тези, до които има право по силата на закон) и записва идентификатор, с който следващия път също да може да ви идентифицира. Това може да е серийния номер на удостоверението или самия електронен идентификатор, или пък ЕГН (ако има достъп до него), е технологично решение, което не следва от закона.
Центърът за идентификация изглежда ненужен на пръв поглед, защото идентификацията може да извършите директно към доставчика на услугата, който да получи достъп до данните ви. Само че той е важен по няколко причини. Първата е, че (според закона) е длъжен да пази историята на достъпа. Т.е. винаги може да проверите кога сте ползвали електронната си идентификация, и дали случайно някой не я е ползвал от ваше име. Също така, центърът ще е единната входна точка за трансгранични проверки – ако вие, с вашата карта, искате да се идентифицирате за ползване на услуга в друга страна от Европейския съюз, то тя е длъжна да приеме вашата карта и да изпрати запитване до българския център за съответните данни за вас, от които има нужда. И не на последно място – бизнесът, чрез свои асоциации, например, ще може да инвестира в изграждане на свои центрове, така че да не зависи от държавния (на който може да трябва да плаща такса).
Бизнесът ще може да се възползва от тези карти както реши. При банкиране, при промяна на договор с мобилен оператор, или при купуване на билети за пътуване. Тук е важно да отбележим възможността за „анонимна идентификация“. Ако някоя услуга (например ако можете да ползвате картата си като карта за градски транспорт) няма нужда от никакви данни за вас, а просто да може да ви идентифицира уникално, то тя може и да няма нужда да минава през центъра за идентификация и да иска данни за вас.
Много важен аспект на закона е технологичната му неутралност. Опитахме се да премахнем всякакви предпоставки за избор на едно или друго технологично и архитектурно решение. Защото това кое технологично решение е правилно се променя по-често, отколкото законовата рамка.
Ключов аспект е ползваемостта. Съществуващите решения за идентификация с електронен подпис са ужасни за използване – искат точно определен браузър (Internet Explorer) или пък използват Java applet-и, които в последните версии на браузърите или са забранени, или се пускат трудно и на няколко стъпки. Затова, въпреки че пилотният проект за електронна идентификация, базиран на австрийския проект, разчита на Java applet, законът не предразполага към това. След разговори с ръководителя на австрийския проект, установих някои сериозни минуси на тяхната реализация, които ще опитаме да избегнем. Засега идеята е да се използва стандартната функционалност на браузърите за вход със сертификат (SSL client auth), но дискусия предстои.
Още един аспект са електронните овластявания. Ако имате електронен подпис, ще може да упълномощите някого електронно, без да се налага нотариално заверено пълномощно.
При техническите дискусии ще вземем предвид и електронното гласуване – дали реализацията ще позволява електронно гласуване със запазване на тайната на вота (каквито начини съществуват). Това е доста дългосрочно, но е добре да бъде заложено отсега. Самото наличие на електронна идентификация е основна предпоставка за електронно гласуване, защото гарантира 1 човек – 1 глас в електронния свят.
За накрая съм оставил може би един от най-важните аспекти – личните данни и „следенето“. С откъслечната информация по медиите напълно разбираеми са притесненията, че държавата става Big Brother. Истината е, че държавата вече има всички данни за нас. Т.е. тя има нашия „профил“ (а на картата данни няма). Електронната идентификация обаче ни дава възможност (особено след промените и в закона за електронното управление, които подготвяме) да следим кой и защо получава достъп до тази информация за нас, както и да я коригираме или дори изтриваме. Дали след 10 години някой няма да направи използването на картата задължително за влизане в магазин, на концерт, и т.н., под претекст, че това улеснява проверката за възраст или продаването на билети? Възможно е – но както законът, така и ние като общество, дефинират какви данни държавата пази за нас и какви не. Тук ще дам един интересен пример – САЩ и Великобритания нямат лични карти. Не такива с чип, а изобщо нямат лични карти. Уж за да не може държавата да следи гражданите. В същото време САЩ и Великобритания са точно държавите, които най-много следят гражданите си, по всевъзможни начини. Наличието на карта с чип е както улеснение, така и средство да защитим данните си. Да, улеснява държавата в събирането им, но дали ще го прави или не, не зависи от картата. Или ако мога да използвам понятията на Оруел – Big Brother не е телекранът – телекранът може да бъде счупен или спрян. Big Brother е това, което ни кара да не спрем телекрана.
Надявам се да съм обяснил как ще работи електронната идентификация и какви ще се плюсовете от нея. И че всъщност тя ще е доста важен компонент за въвеждането на истинско електронно управление.
Браво!ЧУдесна работа и отлична статия!
Браво, Божо! Най-искрени поздравления!
Браво!
Малка корекция – твърдението че САЩ нямат лична карта е погрешно. Вярно е че за удобство шофьорската книжка служи също така и като лична карта; но хората които нямат право да управляват автомобил получават лична карта. Разбира се, това не променя факта за следенето на гражданите. 🙂
И един въпрос – как ще се реши ситуацията със използването на електронна идентификация от мобилни устройства към които не е възможно да се закачи четец? Особено за граждани живеещи в чужбина и използващи услугите на мобилен оператор чиито SIM карти не могат да бъдат модифицирани? Или ползват няколко различни телефона поради естеството на работата си? Предвижда ли се изцяло софтуерно решение което позволяв идентификация чрез приложение за мобилен телефон?
За САЩ – да, шофьорската книжка е де-факто документ за самоличност, но не си длъжен да я имаш (ако не шофираш). Поради географските специфики повечето хора шофират, де 🙂
За мобилните телефони – само с приложение не може да стане, защото частният ключ не е защитен. Той трябва да е или на смарткарта или на HSM.
Има една книга identity is the new money (Dave Birch) препоръчвам ти да я прочетеш, със сигурност ще ти дойдат идеи точно за такава голяма схема за идентичност.
Едно от нещата за които се говори в книга са тъй наречените entitlements. Не във всички случаи е нужно доставчика на услугата да получава всички лични данни, а само удостоворение на това от което има нужда. Тоест ако взимаш кола под наем и закона изисква от търговеца да не дава коли на хора без книжки ти по електронен начин ще покажеш на търговеца hasDrivingLicense entitlement подписано със сертификата на МВР. Не е нужно да знае от кой си, от кога имаш книжка и т.н. По същия начин, ако влизаш в клуб и искат да докажеш, че имаш 18 години ще покажеш isAdult entitlement.
Благодарности за разясненията 🙂
По чл.4 – секторни идентификатори:
1. Означават ли те на практика, че при такава идентификация отсрещната страна няма да научава твоето ЕГН?
2. Има ли причина секторните идентификатори да са ограничени до работа с „държавното управление“ само?
@Borislav да, именно такава е концепцията 🙂
@Владо
1. Да, ЕГН-то е данна, до която не всеки ще има достъп.
2. Ами, технологично не е ограничено. Виждам, че е останало в текста – ще се консултирам с юристите и може между първо и второ четене да внесем корекции,
Като за начало е ОТЛИЧНО !!!Все от някъде трябва да се започне !!
Божо, благодаря ти. Продължавай в същия дух!
Блабла 🙂 имплиментацията на биг брадър в куца, наистина, но това е поредното грахово зърно от кофата,чиято цел е: стадото да свиква :)))
Идеята на този „закон“ е всичко друго, но не и удобство.
А ако става дума за честен начин за гласуване : МНОГО лесен и МНОГО ефтин начин има : държавата купува по 1 флашка на всеки гражданин, записва на нея криптирания ключ.. Съществуващата математика и технологии позволяват пълна анонимност + възможност да провериш кога тие приложен вота дори.
Теорията е измислена отдавна.. Би струвало над 1000 пути по-ефтино от организиране на избори в сегашния им вид..
Естествено ноикой няма да го направи 😉
Идеятан а този закон е всичко друго, но не и УДОБСТВО НА ГРАЖДАНИТЕ!!
Ако ви е интересно :
https://en.wikipedia.org/wiki/Pretty_Good_Privacy
http://www.theguardian.com/technology/2015/may/25/philip-zimmermann-king-encryption-reveals-fears-privacy
Браво и поздравления за добрата работа!
Надявам се само, че ще се вземат под внимание и други съществуващи операционни системи, които не са MS Windows – MacOS и Linux. Тъй като „прекрасния“ ми опит с InfoNotary и техните електронни подписи просто ме разбива 🙂
Но нямам търпение да си взема лична карта, в която да имам и електронна идентичност.
Поздрави и продължавай в същия дух!
тая „флашка“ с ключове е именно средство за електронна идентификация, но за да има то юридическа стойност, трябва да бъде облечено в закон. А как преценихте, че идеята на закона не е удобство? Щото моята цел, като участвал в писането на закона, е точно такава.
@Александър Иванов – разбира се 🙂
А?!?! Да не би америка за българия да са спрели да плащат на преводачи, че българи пишат текстове на закони :))) ? ОТКОГА? :)))) ахаха…
А относно „законноста“ на „гласуването с флашка“: нищо по-лесно няма: получаваш я срещу лична карта и подпис, поименно. По този начин едновременно заявяваш, че ще участваш в изборите. Естествено, никой няма да го направи, защото няма как да се окаже, че 5 милиона да са гласували, ако има 2 милиона записани :)))))
Да не говорим за авангардни практики от последните избори: как могат 30% от гласувалите, да са гласували последния час, и т.н. и т.н.: десетки примерни ма мушангии..
Прдполагам, този закон има за идея да осигури условия за централизация с цел: улесняване на предстоящите манипулации :))) Сега знаете как е: по общини, че пък там кой ще квествал.. Лади Ниви с полицаи там с чували .. тука има тука нема.. :)) Организация. Полуправляеми полуграмотни хрантутници за целта: там моторджийски купубове ли не щеш, скинари ли не щеш на общинските хранилки…
Така ще е къде къде по-ефтино :)))
Александър Иванов: дето нямаш търпение: за какво са ти тез лични карти? Направо отивай да ти слагат чипа и не само че ще си постоянно „точка на екрана“, ми направо да могат да те shutdown-ват 🙂
А, да не забравиш и на децата си да сложиш! :)))
Два въпроса имам, ако е възможно да поясниш как стоят нещата там:
1) Какво се случва ако някой ти открадне картата за идентификация?
2) С какво въпросната карта е по-добра от token устройствата, които ползват банките за електронно банкиране?
Чета и препрочитам, но не ми се изяснява ;(
Хем закона е общ, хем сроковете в него налагат конкретика на технологиите. Божо, може ли малко пояснения?
1. Какво ще представлява ЕИ картата – Цифров сертификат ли?
2. Доколкото разбирам ще има един „Центърът за идентификация“, който ще има някакво API. Искаме да се идентифицираме пред някаква услуга, тя ни праща към този център, той ни идентифицира и след това ни връща обратно при услугата, като и дава информацията, която тя има право да знае. Така ли е?
3. „Центърът за идентификация“ ще предоставя ли услугите си (API-то) си на частни организации?
4. Цифровия сертификат вероятно ще бъде подписан от някакъв държавен орган. Кой ще съхранява сертификата на този орган? Всъщност негово копие ще трябва да има в „Центърът за идентификация“, така ли е?
5. От този пасаж:
„Тук е важно и да „разбия“ един мит – в самата карта ще има само електронен идентификатор, уникален за всеки гражданин. Няма да има никакви данни (освен имена, може би дата на раждане и важна медицинска информация, като кръвна група) – всички данни ще се вземат в реално време, след успешна идентификация. “
аз не успях да разбера, кои данни ще се виждат от картата и кои, центърът ще извлича от някаква база данни. Ако някой се идентифицира пред частен сайт със сертификата от картата, какво ще вижда сървъра?
6. Ще бъде ли възможно да се ползва тази идентичност без Java аплети и други подобни глупости? Ще трябва ли да се инсталира някакъв допълнителен софтуер?
1. Картата е носител. На нея ще има цифров сертификат, двойка ключове, и евентуално още неща, в зависимост от конкретната имплементация
2. Да
3. Определено да. Може да е срещу заплащане. А дори частни организации (асоциации, клъстери) могат да си направят свой. Кодът на държавния ще е отворен, така че ще могат да си го deploy-нат директно.
4. МВР е органът, който издава (и подписва) сертификатите. Центърът ще има само сертификата на МВР (който е публичен и ще е root-a на certificate chain-а).
5. Сървърът ще вижда само един идентификатор (примерно UUID) и евентуално две/три имена. Нищо друго (това пак не е дефинирано в закона, а ще е в наредбата, но целта е да има минимално количество данни на картата – хем против злоупотреби, хем защото те се сменят по-често от картата)
6. 100% без java аплети 🙂 това е изискване номер 1. Надявам се да може и без допълнителен софтуер (освен драйверите за четеца), но може да трябва browser add-on / pkcs11 модул да се импортне в браузъра. И да има нещо такова, ще е one-click one-time thing. Usability е основна цел.
Мерси много. Понеже ми отговори за много кратко време ще понахалствам с още 2-3 въпроса:
1. Предполагам съхранението на частният ключ на МВР ще е много отговорна задача, изискваща стриктни и скъпи процедури, защото който се добере до него ще може да получи богата информация за даден гражданин. Ще може ли да се вярва на МВР за опазването на този ключ?
2. Замяната на EGN с UUID (или нещо подобно) не е ли необходима стъпка към електронизация на администрацията? В момента има противоречие – в България, често има съвпадение на хора с 3 еднакви имена. За да се поддържат публични регистри с информация за конкретни хора (търговски, кадастър и имотен, ….) е необходимо хората да се идентифицират уникално. ЕГН (което е създадено преди доста години) съдържа в себе си персонални данни (рожден ден, място на раждане, пол) и някои защитници на личните данни искат то да не е публично. Обаче от друга страна трябва публичен уникален идентификатор за гражданите, защото иначе не може да се постигне голямо доверие в бизнеса (между непознати).
Има различни регистри, някои поддържани от държавата, други от частни фирми. За да се използваеми тези регистри, трябва хората, които присъстват в тях да могат да се идентифицират уникално. Няма ли да е по-добре да се въведе такъв номер и данните в регистрите да мигрират от ЕГН към новия номер? Същия UUID да се използва и в документите за ЕИ и по този начин когато някой ми се идентифицира с ЕИ, аз да мога да проверя статуса му в определен публичен регистър?
3. Частни центрове за идентификация – не разбирам какъв им е смисъла, при положение, че тя няма да имат никаква информация, свързана със идентификаторите от сертификатите. От къде например частният център да знае, че дадена карта е изгубена или собственикът и е починал?
4. Държавния център за идентификация – какви данни ще предоставя, дори и с платен достъп?
1) МВР вече близо 7 години се справя с тази задача, тихо и кротко, заради биометричните паспорти, като оценките по Шенген са отлични. Защитата на биометричните данни е един порядък по критична задача, защото биометрията не подлежи на смяна :-).
2) От гледна точка на нас техничарите, това би било най-логичната реформа, но не знам, дали си представяте, как всичко ще спре 🙁 Прекалено много процеси са все още хартиени, прекалено много системи разчитат на ЕГН-то като основен уникален идентификатор и такава трансформация би изисквала огромни инвестиции, каквито не можем да си позволим. Това го мислим и си го мечтаем вече повече от 1 година…
3) Смисълът на частните центрове за идентификация е да се даде възможност на определени сектори да възприемат националното еИД като универсално средство за идентификация, без да трябва да заплащат такси на държавния валидиращ орган. Самия процес по валидация предполага да има и регистър на услугите – такъв държавата има, но за собствените си „услуги“. Ако например банките бъдат задължени да си регистрират банковите услуги в държавния регистър и от там да получават сертификати, то това вече е увеличаване на броя на регистрационните режими и увеличаване на административната тежест. Асоциацията на търговските банки вече обсъжда с Борика-Банксервиз възможностите еИД да се използва и за банкови услуги, а и да стане достъпно за използване през банкоматите.
4. Държавният център за идентификация ще предоставя само тези лични данни, които са вписани в регистъра на услугите към МС (Административния регистър) като необходими за предоставяне на съответната услуга, за която се иска идентификация. Така да се каже Server Authoritative предоставяне на лични данни 🙂 Например, за да си направиш справка за дължими глоби, ДЦИ трябва да върне само ЕГН-то, но за да провериш данъчните задължения на фирма, ДЦИ ще трябва да върне и данни за фирмите, за които си овластен да искаш такава справка (дали по силата на представителство вписано в Търговския регистър или по силата на електронно овластяване, което е предвидено в закона).
Относно т.2. Служебното правителство прие цената за базата/АПИ-то на Търговския Регистър да се намали на 100 лв. И тогава се сетиха, че в ТР има лична информация и трябва да я извадят от него (нищо, че има няколко фирми, които имат цялата база + АПИ-то). В момента в Агенция по Вписванията би трябвало да правят нещо, което да премахне ЕГН (и евентуално друга чувствителна информация) от ТР. Не е ли редно още сега да се измисли как ще се мигрира ЕГН към уникален ключ и подобни преработки да се правят по един и същи начин в регистрите, които съдържат публична информация за физически лица? Ако ключа в ЕИ картата е един, на личната карта пише някакви други номера, а в публичните регистри са посочени трети номера – информацията няма да бъде много полезна.
Относно т.3 . Има ли процедура за инвалидиране на ЕИ карта (изгубване, смърт на собственика)? Ако има частен център за идентификация, то той трябва да има на разположение поне услуга за проверка на валидността на картата. Заложено ли е това в закона?
т.2: това е надявам се дългосрочния сценарий. Лошото на eid-то е, че трудно да се диктува, преписпва и т.н. В момента mapping-a eid <-> ЕГН ще го има в регистъра за eid. Първоначално ще се ползва, за да получиш ЕГН срещу eid, но е доста добра идея да се ползва и наобратно – който си подава документите на хартия, си казва ЕГН-то, служителят автоматично намира eid-то и вписва с него. Това, разбира се, ще е възможно след година-две.
т.3 : да. центровете правят проверка по OCSP/CRL. В закона не са заложени протоколи, но инвалидирането е заложено, както и проверката (чл.24)
т2. А защо трябва да е някакво дълго eid ? Защо не е като ЕГН-то, но да няма кодирана в себе си информация? Може би не се сещам в момента за някои случаи на недобросъвестна употреба, но ако трябва да е не-налучкваемо, защо да не е 18 цифрено случайно число, съдържащо в себе си 1-2 контролни разряда?
По-важният ми въпрос е – не е ли сега времето, преди преработката на регистрите и определянето на това, какво ще има в идентификационния сертификат на картата, да се помисли, какъв номер да се използва и да се планира миграцията още от сега? Съгласен съм, че тя ще е бавен процес, но идея за него трябва да има от сега, защото миграцията ще стане още по-скъпа, когато в държавата влязат в обръщение още 5-6 идентификационни номера.
Ще го помислим. Със сигурност при преработка на регистрите ще има поле за eid, защото те ще могат да го пазят, но нормативната уредба, която го изисква е по-тромава.
В Дания ползваме така нареченото NemID ( https://www.nemid.nu/dk-en/ ) искам да кажа, че е голямо улеснение. Надявам се така предложениете промени да бъдат приети, защото удобството е голямо.
И от мен малка корекция … и уточнение относно Разясненията …
Законът за е-идентификацията беше „заченат“ близо 3 години по-рано (а не миналото лято, в един кабинет?), в рамките на успешно изпълнения пилотен проект за „Регистър на е-идентичността“ (т.е., разбирай национална схема за е-идентификация) по един от лотовете на ОП на МТИТС. Пилотният проект за национално еИД плътно следваше австрийския модел за еИД, базиран на технолигично независимата концепция „Citezen Card“. Освен тестовата плтаформа (софтуер и хардуер), колективът подготви работни текстове по (проекто)Закон и (проекто)Наредба за еИД, Рамката и основните текстове на тези два документа следваха пилотната имплементация на платформата за еИД. Рамката на сега внесения и минал на първо четене в НС Закон за е-идентификацията е същата, а текстовете са претърпяли незначителни промении спрямо изготвеното в рамките на пилотния проект. Очаквам същото да се случи с Наредбата по закона, макар че в текстовете на (проекто)Наредбата имаше доста непълноти.
Като участник този пилотен проект за еИД следя внимателно развитието на австрийския модел на националната схема за е-идентификация, особено електронното овластяване (е-мандат), е-авторизацията(на достъпа) и интегрирането в паневропейската платформа за е-идентификация (STORK 1/2). Австрийската схема за е-идентификация (а и пилотната платформа за БГ еИД) е децентарлизирана и позволява един или повече центрове за е-идентификация (за проверка на валидността на еИД) да бъдат изграждани в различни сектории/бизнеси, след като се сертиифицират от комппетентния орган за еИД. Участието на национални децентализирани схеми за е-идентификация (Австрия, Германия) в STORK 1/2 e по MW (midlleware)-модела, a не чрез PEPS-схема, предполагаща централизирана национална схема за е-идентификация. И всички тези нови елементи на австрийския модел, който ние имплементирахме за БГ еИД са достъпни и за пилотната платформа за еИД, изградена преди 3 години.
Искам да взема отношение и към следния абзац от Разясненията …:
„Ключов аспект е ползваемостта. Съществуващите решения за идентификация с електронен подпис са ужасни за използване – искат точно определен браузър (Internet Explorer) или пък използват Java applet-и, които в последните версии на браузърите или са забранени, или се пускат трудно и на няколко стъпки. Затова, въпреки че пилотният проект за електронна идентификация, базиран на австрийския проект, разчита на Java applet, законът не предразполага към това. След разговори с ръководителя на австрийския проект, установих някои сериозни минуси на тяхната реализация, които ще опитаме да избегнем. Засега идеята е да се използва стандартната функционалност на браузърите за вход със сертификат (SSL client auth), но дискусия предстои.“
„Ползваемост“ не е „удобство да ползваш“ … Широката „ползваемост“ на еИД (ше)се обуславя от множество налични административни и/или бизнес е-услуги, които (ще)ползват еИД. А такива липсват или по-скоро доста време ще липсват, защото сегашните следва да се „адаптират“ към националната схема за е-идентификация … „Удобството да ползваш“ е друго нещо … например, клиентът да не ползва четец, да не инсталира и поддържа драйвери за четци и карти и не на последно място – ниска цена на еИД или на е-подписа. Във всички случаи (за сегашните Desk-клиенти) удобството е свързано с браузъра било то за е-подпис/КЕП или за еИ, а утре (а защо не и днес) удобството ще(е) мобилния Интернет. В австрийския модел Citizen Card има мобилна версия! Да се акцентира на „ужасни решения“ или на „някои минуси“ от технологично естество е пресилено и некоректно, а най-вече да се твърди, че „Законът не предразполага за това“ (има се предвид апплет-технологиите). Та нали Законът е технологично неутрален ! Технологиите главоломно се развиват и ако пилотния проект (т.е. австрийския модел) ги следва всичко е ОК. Хайде, да не „преоткриваме топлата вода“ ….
Регламентът за eIDAS „чука на вратата“ на всички страни-членки на ЕС. И ако той не налага срок за имаме и да уведомим в Комисията за национална схема за е-идентификация, регламентът задължава със срок страната да приема еИД на чужди граждани, ако техните страни са уведомили за техните национални схеми за е-идентификация. Ние сме толкова закъснели, че нека да имаме работеща схема, макар и с „някои минуси“.
@Боян Баев, да, законът наистина е леко преработен, с цел да не ореже възможни имплементации и use-case-и.
Ако трябва да съм честен, австрийският модел е счупен по много начини. Не просто има „някои минуси“. В момента няма браузър, на който да подкараш java аплет. В IE иска 4 клика „accept“ / „ok“, в Хром не работи изобщо, във Firefox иска да добавяш специални изключения. Аплетът не е опция. Дори някак да го подкараш, сигурността на цялата схема разчита, че аплетът няма да е подменен с „лош“ аплет (декомпилирах им аплета и поне на пръв поглед имплементацията е наивна..).
Мобилната им версия пък е cloud-based, само че наскоро разбрах, че реализацията ѝ е с доста спорна сигурност (частните ключове не са на storage, вързан към HSM, а в отделна база, криптирани с ключ на HSM). MITM атаки са доста вероятни (особено с некриптирания sms канал).
eIDAS само преди 2 месеца пуснаха технически изисквания към трансграничната идентификация, така че време има.
„Леката“ преработка на текстове в Закона донякъде отчита Регламента eIDAS (частта за еИД), който го нямаше по онова време (преди 3 години), но самият Регламент не се занимава с „възможни имплементации и use-case-и“. Той е неутрален относно вътрешните (на страните) схеми за е-идентификация и има съвсем друга цел – правно да съвмести (правно-оперативна съвместимост) националните/вътрешни схеми (съществуващи или нови). В този вид Законът неявно определя само „високо“ (базирано на карта) ниво на осигуреност/надеждност за претендирана или заявена „електронна“ самоличност пред е-услуга , т.е., не отчита други по-ниски нива, а това може да доведе до проблем. Но както и да е, едва ли е недостатък …все пак се дефинира вътрешната законова „рамка“, а бъдещата Наредба по него трябва да го направи приложим …
Коментар за това, че „има време“. .. Да, преди 2 месеца Joinup-платформата публикува Техническите спецификации (5 бр.) и съответен код за тях относно Регламента за eIDAS. Но те касаят само презграничната техническа оперативна съвместимост на вътрешни схеми за е-идентификация на страните и нямат отношение към конкретни вътрешни реализации, а само ги „отварят“ навън, т.е., те са полезни и вършат работа при работеща вътрешна схема. Тези спецификации буквално са извлечени (консолидирани) от работните Deliverables на STORK 1 и 2. Тепърва да се мисли и реализира на „голо поле“ „наша“ схема изисква време – прагматичния подход е да се ползва готова, работеща такава, максимално отчитаща „националните особености“ (правни, организационни, функционални) с възможност за „отваряне“ навън, какъвто подход следвахме за пилотния проект. Затова казвам, че време няма или по-скоро времето е малко.
Няма да коментирам „счупването“, както и мобилната версия …. Аз не визирам „cloud-based” мобилна версия, а тази, която е имплементирана за е-подписа (още преди 3 години)и няма общо с „cloud-технологията“. Ако се пише за „спорна сигурност“ на последната, така е, но само ако центъра(овете) за валидация на еИД (базирано на мобилната имплементация на Citizen Card) е(са) позиционирани в ПУБЛИЧЕН облак (например,Google). Ако мобилната версия на еИД следва имплементацията на мобилния е-подпис (без cloud-модел или в “административен облак“) нивото на сигурност е това на мобилния е-подпис (QES).
Здравей, как виждаш приложението в детайл на Закона в банковия сектор, където електронната идинтификация е тема.
Благодаря ти.
Според мен банките първи ще започнат да използват електронната идентификация, за електронните си банкирания.
Как може да се установи персонализацията на дадена карта, а не някой друг който е взел на десет човека картите и гласува от тяхно име?
Това става дума за платения вот.
Това е дълга тема, но накратко:
1. чрез cooldown период на клиента (не можеш да гласуваш повече от X пъти за Y часа)
2. чрез засичане на чести гласувания по IP и MAC (неприложимо като забрана, но добро за идентифициране на евентуални нарушители)
3. чрез 2-ри (3-ти) фактор – мобилен телефон, т.е. трябва да съберат и мобилните телефони.
4. този, чиято карта е събрана, може да си промени гласа след това (електронно или в секция)
5. човек ще се замисли дали да си даде картата, ако с нея могат да му източат лични данни например.
Добре, благодаря за информацията.
А да попитам за връзка човек с картата от тип, където на картата е записан пръстовия отпечатък на дадения човек. За такава персонализация имах предвид.
Тук може да видиш datasheet .
Пръстовия отпечатък ще е само по изрично желание на гражданина, защото има потенциални проблеми със сигурността http://techblog.bozho.net/electronic-machine-readable-travel-documents/