Европейский кошелек цифровой идентификации призван сократить количество копий ваших документов, находящихся в обращении. Но хранение нескольких подтверждений на телефоне также вызывает вопросы безопасности. Взломы, фишинг, отслеживание: какие меры защиты предусмотрены и какие уязвимости остаются?

Несколько подтверждений на одном телефоне

Удостоверение личности, водительские права, дипломы: европейский кошелек призван позволить людям предъявлять эти подтверждения с телефона, ограничивая объем передаваемой информации. Но объединение их в одном месте вызывает опасения по поводу риска взлома.

Регламент eIDAS 2 обязывает каждое государство-член предложить кошелек к концу 2026 года. Во Франции его разработают на основе France Identité, хотя Межведомственное управление по цифровым технологиям (DINUM) говорит, что он станет доступен «когда-нибудь в 2027 году».

Система не предусматривает создания единой европейской базы данных с подтверждениями всех граждан. Подтверждения будут храниться в кошельке пользователя, а административные базы данных, из которых они получены, не будут удалены.

Меньше копий, подверженных утечкам

Сегодня для открытия счета или аренды автомобиля часто требуется отправить копию удостоверения личности. Каждая организация, которая хранит ее, становится еще одной мишенью, а данные могут использоваться для мошенничества.

📰 Небезопасность, криптоатаки, ухудшение качества госуслуг: отвергнут ли французы налоги?

В феврале Главное управление государственных финансов Франции (DGFiP) сообщило о мошенническом доступе к FICOBA, который мог затронуть банковские реквизиты, личные данные и адреса владельцев примерно 1,2 млн счетов. Кошелек не устранил бы эту базу данных и потому сам по себе не предотвратил бы это вторжение.

Его ценность заключается в возможности передавать только необходимые сведения. Чтобы подтвердить, что пользователь совершеннолетний, он мог бы предъявить подтверждение о том, что ему больше 18 лет, не раскрывая полную дату рождения. В случае утечки у получателя тогда оказалось бы меньше данных, чем при передаче полной копии документов.

Взломы и фишинг: угрозы сохраняются

Когда подтверждения объединены, их безопасность становится особенно важной. Если злоумышленнику удастся обойти защиту кошелька и получить доступ к информации, ее объединение может облегчить кражу личности или целевые мошеннические атаки. Однако это не означает, что данные непременно окажутся под большей угрозой, чем сейчас.

Доступ придется защищать с помощью механизмов аутентификации. Криптографические ключи необходимо будет хранить на сертифицированном защищенном устройстве, встроенном в телефон или использующем внешнюю инфраструктуру.

Фишинг также останется угрозой, если мошенник убедит пользователя передать информацию в обход защищенного процесса. Сервисам, использующим кошелек, придется зарегистрироваться и сообщать, какие данные они запрашивают. Пользователи, в свою очередь, должны будут иметь возможность установить личность получателя до того, как разрешить передачу данных.

Наконец, некоторые идентификаторы или подписи могут использоваться для связывания нескольких случаев предъявления данных и отслеживания использования. Поэтому защита будет зависеть как от способности противостоять атакам, так и от того, какая информация раскрывается и можно ли сопоставить ее с другими данными.

Источники: Ассоциация Blockchain for Good, Impots.gouv