reklama

ID karta na Internete a ochrana osobných údajov

Síce nie často, ale predsa len v reálnom živote používame ID kartu, aby sme preukázali či už svoju identitu, alebo splnenie nejakej podmienky (občan tejto krajiny, trvalé bydlisko v danom mieste, potrebný vek, a pod.). Pri tom síce druhej strane poskytneme viac osobných údajov, ako je potrebné, ale ak ide o človeka, pomerne spoľahlivo môžme predpokladať, že aj tak si z toho máločo zapamätá. Predpoklad slabšej pamäte však neplatí, ak tou druhou stranou bude počítač... a v prípade, že budeme chcieť využívať služby poskytované cez Internet, sa tomu nevyhneme. Prvého novembra 2010 sa v Nemecku začnú vydávať nPA (neuer Personalausweis) – nové ID karty prispôsobené dobe Internetu (eID karty). Nejde o jediné riešenie eID karty vo svete, ale nakoľko niečo podobné skôr či neskôr postihne aj nás a ochrane osobných údajov sa v Nemecku venuje (na rozdiel od nás) veľká pozornosť, neuškodí pozrieť sa, ako sa s ochranou osobných údajov pri používaní eID karty na Internete vysporiadali Nemci.

Písmo: A- | A+
Diskusia  (2)

Zadanie pre novú identifikačnú kartu požadovalo jej použiteľnosť v troch oblastiach. Prvá požiadavka – možnosť použiť ako obvyklý identifikačný dokument pre identifikáciu osoby „na mieste“, teda ukázaním karty, ktorá na ten účel obsahuje obvyklé údaje - fotografiu, meno, priezvisko, adresu, ... . Ďalšia požiadavka bola na identifikáciu osoby cez Internet – voľne povedané aby držiteľ karty ju mohol „ukázať cez Internet“ (na tento účel bol do karty zabudovaný vhodný čip). Okrem toho má konečný produkt nPA vytvorený priestor pre aplikácie digitálneho podpisovania, ale tým úsilie štátnej správy v tomto smere skončilo ... na prednáške na konferencii bol postoj nemeckej vlády vysvetlený stručne – nech vývoj a nasadenie takých aplikácii financuje ten, kto z toho bude profitovať. Takýto postoj je celkom zaujímavý, nakoľko sa na Slovensku akosi samozrejme predpokladá, že nová eID karta bude vybavená zaručeným elektronickým podpisom.

Základný scénár „ukázania ID karty cez Internet“ je v podstate rovnaký ako v klasickom prípade – predpokladá sa poskytovateľ služby, ktorá je viazaná na overenie identity žiadateľa, resp. či žiadateľ spĺňa predpísané podmienky – teda situácia, ktorá sa v reálnom svete rieši predložením identifikačného dokumentu žiadateľom. V tomto prípade však z pohľadu poskytovateľa služby nie je žiadateľ (ani jeho identifikačný dokument) fyzicky prítomný, ale z neznámeho miesta komunikuje cez Internet. „Ukázanie ID karty cez Internet“ musí byť pritom náležite bezpečné a celkové riešenie musí rešpektovať kľúčové princípy ochrany osobných údajov.

Riešenie vybrané pre nPA vyžaduje na strane žiadateľa len samotnú kartu (a PIN k nej), bezkontaktnú čítačku karty a počítač so špeciálnou aplikáciou (AusweisApp), poskytovateľ okrem webstránky na ktorej ponúka danú službu potrebuje aj služby akreditovaného, špeciálne zabezpečeného tzv. eID servera (ktorý prevádzkuje buď poskytovateľ sám, alebo sa v tomto spoľahne na iného akreditovaného poskytovateľa takýchto služieb). Ak poskytovateľ pred poskytnutím služby požaduje identifikáciu žiadateľa („predloženie ID karty“), najprv po zadaní správneho PIN prebehne vzájomné overenie karty a čítačky a vytvorenie bezpečného (zašifrovaného) spojenia karty s čítačkou. Až po úspešnom overení, že na tejto úrovni je všetko ako má byť, bude karta ochotná vôbec „pustiť“ nejaké údaje, i to v zašifrovanom tvare (opatrenie proti odpočúvaniu komunikácie medzi kartou a čítačkou). Následne prebehne niečo podobné medzi kartou a poskytovateľom služby (pri čom kľúčovú rolu zohráva spomenutý eID server, na ktorého umiestnenie a celkové zabezpečenie sú kladené špeciálne požiadavky).

Takto pripravené „ukázanie karty“ však vôbec neznamená, že poskytovateľ si môže prečítať všetky údaje, ktoré na karte sú. V prípade nPA sa striktne uplatňuje princíp minimalizácie osobných údajov – pri preukazovaní cez Internet sa neposkytujú žiadne biometrické údaje, ale len vybrané údaje ako meno, priezvisko, pseudonym, adresa, namiesto uvedenia dátumu narodenia sa len uvedie vek, alebo potvrdí prekročenie nejakej vekovej hranice, a podobne. Poskytovateľ služby si taktiež nemôže len tak svojvôľne určiť, ktoré údaje z nPA dostane ... certifikát, ktorým karte preukáže svoju legitimitu a oprávnenosť požadovať identifikáciu žiadateľa povinne obsahuje informáciu, ktoré údajové položky z nPA môže vôbec žiadať. Primeranosť požadovaných údajov pre poskytovanú službu pritom pri vydávaní certifikátu poskytovateľovi posudzuje (s ohľadom na zákon o ochrane osobných údajov) špeciálne pracovisko.

Naviac, v prípade nPA sa kládol dôraz na uplatnenie tzv. princípu „informačného sebaurčenia“ držiteľa karty. Znamená to, že je na držiteľovi karty, či si aktivuje jej elektronické funkcie ale aj to, že pri „ukázaní karty cez Internet“ má držiteľ karty možnosť požadovanú podmnožinu údajov ešte zúžiť (jednoduchý interfejs – zobrazí sa, ktoré položky poskytovateľ požaduje a používateľ má možnosť kliknutím „odškrtnúť“ položky, ktoré nechce poskytnúť).

Pre nasadenie tak citlivého prvku, ako je elektronický identifikačný dokument je samozrejme okrem návrhu a implementácie bezpečnostných mechanizmov veľmi dôležitá aj dôveryhodnosť celého riešenia, teda schopnosť presvedčiť držiteľov nPA, že predložené riešenie naozaj funguje tak, ako sa tvrdí a že v ňom nie sú skryté funkcie či slabé miesta oslabujúce jeho bezpečnosť a požadovanú úroveň ochrany osobných údajov. V tomto zmysle dôveryhodnosti nPA napomáha skutočnosť, že aplikácia AusweisApp bola certifikovaná podľa medzinárodných kritérií hodnotenia bezpečnosti Common Criteria a nemeckého zákona o elektronickom podpise.

Za zmienku tiež stojí, že hoci samotný detailný návrh a realizácia boli zverené externému dodávateľovi (konzorcium dvoch komerčných a jedného štátneho subjektu), evidentne nešlo o zadanie typu „chceme eID, urobte to ako chcete a to, čo dodáte, bude eID“. V prípade nPA musel dodávateľ rešpektovať 20 technických dokumentov ako špecifikácie pre nPA – napr. odporúčania pre kryptografické techniky, testy eID dokumentov, e-karty, čítačka e-karty, rozšírená kontrola prístupu, komunikačné protokoly pre rozšírenú kontrolu prístupu, scénáre pre bezpečné komunikačné procesy pre oblasť oficiálnych dokumentov, testy súladu, ... To, že špecifikácie boli vopred známe prispelo tiež k tomu, že poskytovatelia služieb sa na príchod nPA mohli včas pripraviť - od začiatku vydávania nPA má byť dostupných viac ako 170 služieb, v rámci ktorých bude možné nPA využívať.

Ktovie, ako bude vyzerať slovenská eID karta, ako sa pri nej bude myslieť na ochranu osobných údajov, a ako sa k jej návrhu a zavedeniu bude pristupovať...

Poznámka: informácie som čerpal z prednášok a materiálov konferencie Information Security Solutions Europe 2010 v Berlíne.

Jozef Vyskoč

Jozef Vyskoč

Bloger 
  • Počet článkov:  166
  •  | 
  • Páči sa:  1x

Živí sa poradenstvom v oblasti bezpečnosti informačných systémov. Pravidelný prispievateľ do patavedeckých seminárov v Bratislave. Zoznam autorových rubrík:  BezpečnosťOchrana súkromiaPatavedaVzdelávanie a výskumNezaradené

Prémioví blogeri

Post Bellum SK

Post Bellum SK

74 článkov
Yevhen Hessen

Yevhen Hessen

20 článkov
Iveta Rall

Iveta Rall

87 článkov
Juraj Karpiš

Juraj Karpiš

1 článok
Martina Hilbertová

Martina Hilbertová

49 článkov
reklama
reklama
SkryťZatvoriť reklamu