1. Rodzaj zabezpieczeń a niezależność obywatela od państwa
Przekonanie o prawdziwości dowodu elektronicznego nie może opierać się na zapewnieniach urzędu państwowego, że dowody są dobrze zabezpieczone. Obywatel powinien mieć możliwość samodzielnego sprawdzenia czy dowód elektroniczny jest prawdziwy tak jak w przypadku dowodu książeczkowego.
Konstrukcja systemu zabezpieczeń dowodu elektronicznego musi bazować na kompromisie między prostotą a skutecznością. Współczesne technologie umożliwiają wbudowanie w komponent elektroniczny ogromnej liczby funkcji użytkowych i serwisowych. Ilości funkcji dowodu musi być ograniczona do niezbędnego minimum. Im więcej funkcji tym większe ryzyko pojawienia się nieprzewidzianych zastosowań dla dowodu i danych w nim zgromadzonych, które mogłyby być groźne dla jego właściciela lub uderzałyby w jego interesy (szerzej omówiłem ten problem we wpisie o dowodzie wielofunkcyjnym).
Zabezpieczenia nie powinny być oparte na bardzo skomplikowanych technologiach. Konstrukcja systemu zabezpieczeń dla komponentu elektronicznego musi być jawna i zrozumiała dla przeciętnego specjalisty komputerowego. Komponent elektroniczny dowodu nie może być czarną skrzynką, której wnętrze jest utajnione.
2. Uszczelnienie operacji na danych osobowych
Ograniczenie zakresu danych osobowych na dowodzie jest najsilniejszym czynnikiem sprzyjającym prostocie konstrukcji oraz redukcji ryzyk związanych z fałszowaniem dowodu elektronicznego i nieprzewidzianymi zastosowaniami. Poza ograniczeniem ilości danych zostały nałożone restrykcje na zmiany danych w cyklu życia dowodu:
- Dane związane z tożsamością obywatela nie mogą być zmieniane
- Dane związane z statusem prawno-administracyjnym obywatela i „adnotacje urzędowe” mogą być zmieniane przez uprawnione podmioty
oraz restrykcje na miejsca i sposoby zapisywania danych:
- Dane nadrukowane na dowodzie nie będą obejmowały danych o statusie prawno-administracyjnym obywatela. Zmiana danych nadrukowanych będzie pociągała za sobą wydanie nowego dowodu
- Identyfikatory urzędowe i cyfrowe zdjęcie właściciela dowodu będą zapisane na stałe w dedykowanym obszarze pamięci komponentu elektronicznego. Jakakolwiek zmiana tych danych pociągnie za sobą wydanie nowego dowodu.
- Informacje o statusie prawno-administracyjnym i adnotacje urzędowe będą mogły być kasowane i zapisywane wielokrotnie w pamięci komponentu elektronicznego.
- Zapis danych o statusie prawno-administracyjnym będzie kontrolowany przez właściciela dowodu
- Bez zgody właściciela dowodu nie można skasować danych o statusie prawno-administracyjnym
Pamięć komponentu elektronicznego będzie podzielna na obszar jednokrotnego zapisu i obszar wielokrotnego zapisu. W pamięci jednokrotnego zapisu będą umieszczone wszystkie rodzaje danych identyfikacyjnych właściciela dowodu (identyfikatory urzędowe i zdjęcie cyfrowe twarzy). W pamięci wielokrotnego zapisu będą umieszczone dane o statusie prawno-administracyjnym obywatela oraz adnotacje urzędowe.
Zakres danych identyfikacyjnych nadrukowanych (personalizacja wizualna):
- Identyfikatory urzędowe
- Zdjęcie twarzy
- Obraz graficzny odręcznego podpisu właściciela
Zakres danych identyfikacyjnych w komponencie elektronicznym:
- Identyfikatory urzędowe
- Cyfrowe zdjęcie twarzy o dużej precyzji (co najmniej 100kb)
3. Zabezpieczenie integralności danych
Dane w pamięci jednokrotnego zapisu będą umieszczone w trzech niezależnych zbiorach Z1, Z2 i Z3 (np. w formacie XML). Integralność zawartości zbiorów Z1 i Z2 będzie chroniona podpisem elektronicznym wystawcy dowodu.
Zbiór Z1 = {identyfikatory urzędowe, numer PESEL, numer dowodu, numer seryjny komponentu elektronicznego, data ważności dowodu}
Zbiór Z2 = {cyfrowe zdjęcie twarzy z nałożonymi na obraz graficzny: imieniem i nazwiskiem, numerem PESEL, dwoma cyframi oznaczającymi numer dowodu i numerem seryjnym komponentu elektronicznego}
Zbiór Z3 = {certyfikat klucza publicznego dowodu podpisany przez wystawcę dowodu}. (Zakładam, że w komponencie elektronicznym będzie umieszczony klucz prywatny)
Zbiór Z1 podpisany elektronicznie przez wystawcę dowodu będzie mechanizmem bezpieczeństwa, który:
- Utrudni przerabiane danych nadrukowanych i danych w zbiorze Z1. Przerobienie nawet jednego znaku nadrukowanego będzie łatwo wykryte przez porównanie identyfikatorów urzędowych nadrukowanych z ich kopią w zbiorze Z1 oraz sprawdzenie podpisu.
- Utrudni klonowanie dowodu, „przenoszenie” komponentu elektronicznego między różnymi dowodami oraz wmontowywanie podrobionych komponentów elektronicznych. Związanie podpisem elektronicznym numeru seryjnego komponentu elektronicznego dowodu z numerem dowodu i z numerem PESEL powoduje, że podrobiony dowód musiałby mieć taki sam seryjny numer komponentu elektronicznego co inny legalny dowód.
Zbiór Z2 podpisany elektronicznie przez wystawcę dowodu będzie mechanizmem bezpieczeństwa, który:
- Utrudni podszywanie się osób podobnych do właściciela dowodu. Jeśli na podstawie zdjęcia nadrukowanego nie będzie można rozstrzygnąć wątpliwości to wyświetlenie na dużym ekranie zdjęcia cyfrowego o znacznie większej szczegółowości zmniejszy ryzyko oszustwa
- Radykalnie zmniejszy zagrożenie przerobienia lub podmiany zdjęcia nadrukowanego. Związanie podpisem elektronicznym cyfrowego zdjęcia twarzy z numerem PESEL, numerem seryjnym komponentu elektronicznego i innymi danymi będzie bardzo silnym środkiem zabezpieczającym przed podrobieniem zdjęcia nadrukowanego
Numer dowodu elektronicznego będzie się składał z numeru PESEL i dwóch znaków oznaczających ilość dowodów wydanych temu samemu obywatelowi. Unikalność dowodu z komponentem elektronicznym będzie zapewniona przez trzy parametry:
1. Numer PESEL (wydrukowany na dowodzie)
2. Dwa znaki oznaczające ilość wydanych dowodów (wydrukowane na dowodzie)
3. Numer seryjny komponentu elektronicznego
4. Weryfikacja tożsamości na podstawie dowodu elektronicznego
Weryfikacja tożsamości osoby na podstawie dowodu obejmuje dwa sprawdzenia:
- Sprawdzenie zgodności cech charakterystycznych wyglądu na dowodzie z wyglądem osoby podającej się jego właściciela
- Sprawdzenie prawdziwości dowodu tj. oryginalności blankietu dowodu i komponentu elektronicznego, oryginalności nadruku i integralności danych cyfrowych
4.1 Sprawdzanie zgodności cech charakterystycznych wyglądu
Pewność sprawdzenia zgodności cech charakterystycznych wyglądu na podstawie dowodu elektronicznego będzie zależała od kilku czynników. Poniżej scenariusze sprawdzenia zgodności wyglądu (im niższy numer tym większe ryzyko oszustwa).
1. Sprawdzenie tradycyjne (bez sprawdzania danych w komponencie elektronicznym)
2. Sprawdzenie tradycyjne oraz sprawdzenie zgodności ze zdjęciem w komponencie elektronicznym
3. Sprawdzenie tradycyjne, sprawdzenie zgodności ze zdjęciem w komponencie elektronicznym oraz sprawdzenie prawdziwości podpisu elektronicznego zbioru Z2
4.2 Sprawdzenie prawdziwości dowodu
Sprawdzenie prawdziwości elektronicznego dowodu będzie można przeprowadzić na wiele sposobów. Poniższe algorytmy sprawdzenia dowodu są uporządkowane wg wielkości ryzyka.
1. Sprawdzenie tradycyjne (obejmujące tylko sprawdzenie zabezpieczeń nadruku i ocenę oryginalności blankietu dowodu)
2. Sprawdzenie tradycyjne, porównanie danych nadrukowanych z danymi w zbiorze Z1 oraz porównanie zdjęcia nadrukowanego ze zdjęciem w zbiorze Z2
3. Sprawdzenie tradycyjne, porównaniem danych nadrukowanych z danymi w zbiorze Z1, porównanie zdjęcia nadrukowanego ze zdjęciem w zbiorze Z2 oraz sprawdzenie on-line statusu dowodu w centralnej bazie dowodów (centralna baza dowodów będzie omówiona w następnej części)
4. Sprawdzenie tradycyjne, porównaniem danych nadrukowanych z danymi w zbiorze Z1, porównanie zdjęcia nadrukowanego ze zdjęciem w zbiorze Z2, porównanie numeru seryjnego komponentu elektronicznego z jego wartością w zbiorze Z1, sprawdzenie on-line statusu dowodu oraz sprawdzenie on-line w bazie dowodów sum kontrolnych zbiorów Z1 i Z2 lub ich podpisów elektronicznych
Wybór właściwej metody sprawdzenia powinien zależeć od ryzyka transakcji zawieranej z osobą podszywającą się za kogoś innego. W większości przypadków będzie stosowane tylko sprawdzenie tradycyjne. Scenariusz 4 powinien być stosowany do weryfikacji prawdziwości dowodu przy zawieraniu transakcji o dużym ryzyku (np. u notariusza).
