Бази “Миротворця”, незахищені персональні дані та безпекові ризики. Що непокоїть українців у застосунку “ТиХто”
Днями в Україні запрацював застосунок для миттєвої перевірки осіб «ТиХто». Програму розробила команда YouControl спільно з Artellence та за підтримки Служби безпеки України. Як зазначають розробники, основна мета застосунку — спростити процедуру перевірки підозрілих осіб на блокпостах, на вулицях під час комендантської години, на вході в укриття чи в інших ситуаціях.
Однак ця ініціатива викликала багато запитань у користувачів, зокрема у спільноти DOU. Ми вирішили розібратися, в чому полягають побоювання користувачів, і поговорили про них з представниками YouControl, а також з експертами з кібербезпеки. Розповідаємо про все за порядком.
Як працює застосунок «ТиХто»
За інформацією пресслужби СБУ, застосунок не містить, не зберігає і не передає персональних даних осіб, а працює з інформацією з відкритих реєстрів.
Завдяки йому можна перевірити:
- чи відповідає фото в паспорті дійсності, чи є паспорт недійсним та чи вважається він втраченим;
- чи перебуває людина в державному розшуку;
- чи накладені на неї санкції РНБО України та чи присутня ця особа в реєстрі терористів;
- чи особа входить до списку воєнних терористів і ДРГ або бази «Миротворець»;
- чи перебуває авто особи в розшуку.
Якщо застосунок виявляє збіг особи з кимось із реєстрів потенційних правопорушників, то повідомляє про «фактор ризику». В СБУ наголошують, що у разі виявлення за допомогою застосунку такого «фактору ризику», необхідно передати цю інформацію представникам силових структур для більш ретельної й додаткової перевірки.
Такий вигляд має застосунок
За допомогою алгоритму від компанії Artellence застосунок вміє зіставляти фотографії людей із тими, що у документах. Якщо збіг нижчий за 60% — є ризик, що документ підроблений або вкрадений.
Далі сервіс хоче інтегрувати пошук акаунтів у Facebook, Instagram та російському «ВКонтакте», а потім аналіз цифрового сліду. Алгоритми оброблятимуть коментарі, лайки, дружні зв’язки тощо.
На розробку пішло майже чотири тижні та кілька десятків тисяч доларів. Застосунок готували для правоохоронців та військових. Проте завантажити його може кожен охочий — для реєстрації потрібен тільки номер телефону.
Далі розберемося, чим саме не задоволені користувачі.
Виявлення «фактора ризику» через збіг ПІБ
Багато хто пише, що їхні ПІБ збігаються з ПІБ осіб, які є в базі «Миротворця», і через це застосунок виявляє «фактор ризику». Користувачі вважають, що це може спричинити небезпеку для них.
За словами Михайла Горобцова, керівника розвитку продуктів YouControl, для мінімізації таких збігів у застосунку є «жовта зона».
«Застосунок може показати збіг за ПІБ та датою народження. Застосунок може показати збіги за різними підозрілими факторами і фактично є експрес-перевіркою. Головна місія „ТиХто“ — поглибити обізнаність про те, хто перед тобою. І таким чином підвищити точність і прискорити перевірку осіб у воєнний час», — каже Горобцов.
Тобто якщо «фактор ризику» спрацював — це не підстава одразу арештувати людину. Це сигнал до того, що працівникам поліції чи інших спецслужб варто звернути увагу і провести більш глибоку і детальну перевірку, кажуть в YouControl.
Недовіра до бази «Миротворця»
Це побоювання також поширене серед користувачів, оскільки до бази «Миротворця» часто потрапляють і ті особи, які не повʼязані з росією чи з криміналом.
Костянтин Корсун, експерт з кібербезпеки, теж звертає увагу на неправовий статус «Миротворця».
«Миротворець, як недержавна волонтерська база даних, не має статусу офіційної і тому не може бути підставою для затримання осіб десь на сільському блокпосту на заході України», — каже він.
Також Корсун звертає увагу на те, що багато українських чиновників, журналістів, суддів, політиків та інших відомих людей фігурують у базі «Миротворця».
Серед них: Данило Гетманцев, Геннадій Труханов, Денис Бігус, Олексій Арестович, Юлія Тимошенко, Михаїл Саакашвілі, Валентин Наливайченко, Олександр Чалий, Руслан Стефанчук та ще з півтора десятки чинних депутатів ВРУ.
«Як відреагує на таку інформацію з „Миротворця“ (через „ТиХто“) умовний дід Степан на блокпосту між селами на, скажімо, Івано-Франківщині? На свій розсуд. В умовах воєнного часу. Бо поліція далеко, а контррозвідка ще далі», — вважає експерт.
За словами Данила Глоби, заступника директора з правових питань YouControl, «Миротворець» є найповнішою базою військових терористів та злочинців.
«Ми вважаємо це джерело вибірково надійним — ним зараз користуються всі правоохоронці. Крім того, варто нагадати, що „Миротворець“ — це одне з колись раніше рекомендованих НБУ джерел для проведення фінансового моніторингу. А фінмон, як відомо, покликаний в тому числі протидіяти тероризму та торгівлі зброєю масового знищення», — зазначив Глоба.
Персональні дані у відкритому доступі
У коментарях на DOU та в коментарях до відповідних новин у Facebook багато хто пише про те, що існують ризики використання персональних даних, які проходять через застосунок, шахраями.
Експерт з кібербезпеки Костянтин Корсун також звертає увагу на небезпеку використання персональних даних:
«При введенні перевіряльником ПІБ, номеру паспорту та дати народження — це вже є персональні дані, які застосунок передає відкритими інтернет-каналами на свої сервери, на яких порівнюються ці дані з даними державних баз даних. І це точно є щонайменше „передаванням“ персональних даних.
Чи шифрується цей канал? Яким чином? Якими алгоритмами, з якою надійністю? Розробник не повідомляє. Можливо, це TLS (криптографічний протокол, що надає можливості безпечної передачі даних в інтернеті), але чи розшифровується трафік на серверах застосунку?
Все це важливо знати, якщо вже застосунок пропонують використовувати у відкритому доступі невизначеним колом осіб, у тому числі ворогами та їхньою агентурою.
„Дія“ свого часу також неодноразово наголошувала, що „не зберігає персональних даних“, аж поки її не хакнули росіяни у січні 2022 року і найсвіжіші бази даних не потрапили до лап ворога».
А член ГО «Ukrainian Cyber Alliance» Андрій Баранович вважає застосунок «ТиХто» все ж таки безпечнішим за «Дію».
«Перевірка йде по відкритих базах, і будь-хто може і так пошукати дані в YouControl або „Миротворці“. Нові дані, які з’являються в результаті перевірки — номер паспорта + IP перевіряючого — це, на мій погляд, не дуже критично. Загалом, це набагато безпечніше, ніж „Дія“, і в теперішніх умовах тими ризиками приватності, які є у „ТиХто“, можна знехтувати», — вважає Баранович.
Данило Глоба, заступник директора з правових питань YouControl, зазначає, що перевірка особи в мобільному застосунку «ТиХто» здійснюється на основі офіційної публічної інформації у формі публічних даних.
«Статтею10-1 Закону України „Про доступ до публічної інформації“ визначено, що публічна інформація у формі відкритих даних може вільно використовуватись і поширюватись будь-якою особою, у тому числі в комерційних цілях, у поєднанні з іншою інформацією або шляхом включення до складу власного продукту. Ця інформація може бути отримана із Єдиного державного вебпорталу відкритих даних, з офіційних вебсайтів розпорядників інформації та в межах надання платних сервісних послуг розпорядниками (адміністраторами) даних. Ці відкриті дані апріорі не можуть містити будь-якої інформації з обмеженим доступом, зокрема конфіденційної інформації (персональних даних) фізичних осіб», — вказує Глоба.
За його словами, застосунок не використовує і не зберігає будь-які персональні дані та/або іншу конфіденційну інформацію.
А результат аналізу, говорить Глоба, є лише «сигналом» для вжиття заходів із перевірки: поставити додаткові питання, ретельніше перевірити документи, провести особистий огляд та/або огляд салону авто, затримати для подальшої перевірки спеціальними службами тощо.
Якість роботи застосунку та його захищеність від зламу хакерами
Дехто з користувачів вважає, що застосунок «сирий» та недостатньо протестований, а це критично, оскільки програму використовують з серйозною метою.
У Костянтина Корсуна виникають запитання до технічної захищеності застосунку, його власної кібербезпеки:
«Якщо вже застосунок обробляє персональні дані громадян, — а він однозначно обробляє, — та підключений до державних баз даних з мільйонами персональних даних громадян, то професіоналів з кібербезпеки цікавило б таке: чи розроблявся застосунок з урахуванням вимог безпеки? Чи має технічну документацію, ТЗ, опис функцій? Чи безпечна архітектура додатку та використані технології? Чи проводилися незалежні дослідження його безпеки? Чи не містить він прихованих функцій? Чи є техпідтримка та наскільки якісно вона працює?»
Експерт з кібербезпеки Влад Стиран вважає застосунок джерелом високого ризику, проте не може оцінити, чи переважають ризики користь від його використання у воєнний час.
За словами Михайла Горобцова, команда YouControl працює над застосунком 24/7 та випускає декілька оновлень на день.
«Важко було передбачити два місяці тому, що Україні потрібен буде такий застосунок. Звісно, якби було більше часу на підготовку, то ймовірно, застосунок відразу викликав менше питань. Але зараз війна, і створювали ми його в дуже стислі терміни.
При цьому ми постійно консультувалися з кіберфахівцями СБУ і зараз продовжуємо це робити. Кожного дня вдосконалюємо його. Але критично важливо було якомога скоріше видати цей інструмент експрес-перевірки представникам поліції, нацгвардії, військовим, теробороні», — зазначає Горобцов.
Щодо можливості зламу хакерами, представник YouControl вказує таке:
«Застосунок не має нічого у собі, окрім фронтенду. Взаємодія проходить через зашифроване з’єднання з базами. Окрім цього, був аудит безпеки, і другий буде на початку наступного тижня. Важливо ще те, що застосунок не містить, не передає і не зберігає дані».
Підсумок
Більшість побоювань користувачів пов’язані з тим, що через виявлення «факторів ризику» у них можуть виникнути проблеми на блокпостах та в інших ситуаціях, в яких застосунком користуватимуться для перевірки особи. Однак застосунок має суто інформативну функцію і не є підставою для арешту людини, стверджують розробники.
Щодо небезпеки «зливу» персональних даних, то автори застосунку стверджують, що всі ці дані і так є у відкритому доступі, програма є лише способом спростити пошук цієї інформації. Однак експерт з кіберзахисту Костянтин Корсун висловлює побоювання, що канал передачі персональних даних незахищений, і вважає, що над цим розробникам ще необхідно попрацювати.
