Hlavní navigace

Druhá šance pro elektronickou občanku. Do dvou let bude muset být bezkontaktní

Luděk Rašek

Už žádné Bluetooth čtečky a speciální software pro používání eOP v mobilech. Nová regulace EU zavádí do národních identifikačních průkazů povinně bezkontaktní technologii.

Doba čtení: 11 minut

Sdílet

Od července 2018 se v ČR plošně vydávají elektronické občanky s čipem. Vydávaný průkaz je ale kvůli zvolené kontaktní technologii obtížně použitelný ve spojení s mobilním telefonem. Na ostatních platformách vyžaduje netriviální instalace ovladačů.

Nová regulace EU zavádí do národních identifikačních průkazů povinně technologii bezkontaktní. Využije Česká republika tuto příležitost a udělá z občanky moderní doklad, který půjde snadno použít nejen v mobilních zařízeních? Dveře k tomu otevírají možnosti technologie WebAuthn prosazované většinou technologických leaderů online světa.

Současnost

V České republice bylo 1. 7. 2018 zahájeno plošné vydávání elektronických občanských průkazů (eOP) s kontaktním čipem. Ve stejném termínu byl spuštěn portál Národní identitní autority. Hlavním důvodem pro zavedení eOP bylo naplnění požadavků nařízení eIDAS. Pro implementaci elektronického občanského průkazu byla vybrána kontaktní technologie.

Použití kontaktní technologie bohužel velmi zkomplikovalo použití eOP v mobilních zařízeních. eObčanka se sice dá v mobilu použít, ale pouze po zakoupení Bluetooth čtečky čipových karet. Kvůli neexistujícímu standardu jsou podporovány pouze vybrané typy čteček.

Další překážkou pro možnost efektivně používat eOP pro zvýšení důvěryhodnosti v digitálním světě je nutnost instalovat specializovaný software, a to jak na počítače, tak do mobilního telefonu. 

Nadcházející změna

Dne 20. června 2019 bylo přijato nové evropské nařízení 2019/1157 o posílení zabezpečení průkazů totožnosti občanů Unie, které předepisuje posílení bezpečnosti národních identifikačních dokladů. Regulace stanovuje jednotné požadavky na dosud neregulovanou elektronickou část národních identifikačních dokladů a dalších dokladů obdobného použití (povolení k pobytu apod.).

Pro národní identifikační doklady předepisuje využití standardů dosud využívaných pro elektronické pasy (ePasy). eOP tedy bude muset nově obsahovat standardizovanou strojově čitelnou zónu a bezkontaktní čip dle ICAO Doc 9303. Do čipu musí být vložené standardní identifikační údaje uvedené na datové stránce ePasu a biometrická fotografie obličeje. Do vyčleněné části čipu se speciálním řízením přístupu pak obrazy otisků dvou prstů.

Ke změně by mělo dojít do dvou let od chvíle, kdy nařízení vejde v platnost, tedy do 2. 8. 2021. Do té doby bude muset i česká eOP obsahovat standardizovaný bezkontaktní čip s rozhraním kompatibilním s NFC.

Jaké se otevírají možnosti?

Nezkopírovatelný identifikátor čitelný mobilem

Již samotná funkcionalita ePasu je zajímavou možností pro identifikaci držitele. ePas obsahuje sadu technologií (viz rámeček na konci článku), které umožňují elektronicky prokázat identitu, kterou svým elektronickým podpisem stvrzuje stát a která při správně navrženém algoritmu čtení ePasu není zkopírovatelná. Sada dat, kterou lze takto z ePasu a budoucí eOP získat, obsahuje:

  • Jméno a příjmení
  • Datum narození
  • Místo narození
  • Stát
  • Barevnou fotografii obličeje optimalizovanou na biometrickou verifikaci
  • Číslo dokladu 
  • Platnost dokladu
  • Pohlaví

Aby nebylo možné tyto údaje z dokladu přečíst bez vědomí držitele, je nezbytné pro jejich čtení zadat buď některé z výše uvedených údajů, které lze vyčíst pomocí OCR ze strojově čitelné zóny, nebo v tzv. CAN (card access number), které je vytištěné na dokladu. ePas ani budoucí občanku tak nikdo bez vědomí držitele nepřečte (v kapse nebo zavazadle).

Už dnes si můžete ověřit na svém ePasu (každý platný pas v ČR), jaké údaje jsou takto dostupné. Stačí k tomu telefon s podporou NFC a některá z volně dostupných aplikací. ePas je konfigurován bez podpory CAN, pro jeho načtení je tedy nezbytné zadat některé údaje ze strojově čitelné zóny manuálně nebo pomocí OCR. Následně uvidíte například svou barevnou fotografii namísto té černobílé, která je gravírovaná do datové stránky ePasu.

Samotná funkcionalita ePasu tedy umožní načtení důvěryhodných (státem podepsaných a nekopírovatelných) dat. Vyžaduje však specializovaný software a nutnost zadávat manuálně dlouhou sadu údajů, nebo alespoň krátký CAN.

WebAuthn – silná autentizace bez hesel 

Zásadní komplikací pro použití současného eOP pro autentizaci je nutnost instalace balíku proprietárních ovladačů. Na mobilním zařízení pak vstupuje do hry ještě dodatečné zařízení – Bluetooth čtečka.

Od roku 2014, kdy začala vznikat současná implementace eOP, se svět v oblasti online autentizace výrazně posunul. Fenoménem letošního roku je standard WebAuthn a s ním související standard CTAP2. Tyto technologie silně prosazované všemi velkými hráči v oboru jsou dnes podporovány ve všech majoritních prohlížečích (Chrome, Firefox, Edge, Safari-preview, Android, Windows 10). Zásadní výhodou těchto technologií je standardizace procesu silné autentizace založené na asymetrické kryptografii, která je vestavěná přímo v každé z uvedených platforem.

Popis těchto technologií je tématem na samostatný článek (blíže viz rámeček na konci článku nebo např. FIDO aliance, WebAuthn Guide, popis od Google, popis od Microsoftu). Z uživatelského hlediska je podstatné, že uvedené technologie jsou již dnes dostupné ve všech výše uvedených platformách. Nejnověji např. v Androidu 7+ je možné je využívat přímo z webových aplikací v prohlížeči Chrome a Firefoxu (preview) a také přímo z instalovaných aplikací. Mezi oběma světy (aplikace, web) je možné s jedním autentikátorem přecházet a zcela eliminovat potřebu používat pro autentizaci heslo.        

Vize nové české eOP

Propojení nové verze české eOP s moderními technologiemi WebAuthn/CTAP2 by výrazně usnadnilo používání eOP pro elektronickou identifikaci a autentizaci. Odpadla by instalace proprietárních ovladačů a aplikací jak na PC, tak v mobilních zařízeních. Nebylo by třeba nákladných čteček čipových karet a výrobně levný adaptér eOP/USB bez elektroniky by mohl být bezplatně přidávaný k eOP. Nejvýrazněji by stoupl komfort u mobilních zařízení vybavených NFC, protože bez jakékoli přípravy by to prostě fungovalo.

Propojení technologií

Nová eOP bude muset obsahovat bezkontaktní část. Česká eOP je dosud postavena na technologii kontaktní. V případě implementace autentizační funkce i do bezkontaktní části by ideální variantou byla volba duálního čipu tak, jak je dnes používán v platebních kartách. Elektronický obsah je tak v kartě pouze jednou a je dostupný prostřednictvím obou rozhraní.

Existuje i varianta tzv. hybridní, kdy se každé rozhraní napojí na vlastní čip. Tato varianta nese nevýhody „schizofrenie“, kdy oba čipy o sobě neví, a přestože držitel má fyzicky jednu kartu, například PIN by musel nastavovat dvakrát. Technologie duálního čipu je dobře zvládnutá a masově využívaná u platebních karet. Jediným rozdílem je doba životnosti eOP (10 let) a platební karty (3–5 let). Výroba eOP je také výrazně nákladnější kvůli fyzickým bezpečnostním prvkům.

Kontaktní rozhraní by pak mělo být schopné využívat přímo fyzické vrstvy USB a interně by občanka měla implementovat protokol CTAP2 pro provedení autentizace. Výsledkem by byla karta, kterou je možné bez jakékoli dodatečné instalace ovladačů s využitím adaptéru (jen propojením drátů bez elektroniky) připojit do libovolného počítače s podporou WebAuthn/CTAP2/USB a provést autentizaci přímo v prohlížeči nebo v libovolné aplikaci.

Přímé využití USB by mohlo být technicky složitější zejména z toho důvodu, že čipy vhodné pro karty sice USB technologií disponují, ale standardně nebude podporována třída zařízení USB HID, která je využívána v CTAP2, aby se eliminovala nutnost instalace ovladačů. Alternativou by mohlo (mělo) být použití standardního ISO7816 USB CCID. Pak je možné namapovat kontaktní komunikaci přímo na NFC část CTAP2. Tuto alternativu ale musí podporovat klienti (prohlížeče).

Bezkontaktní rozhraní pak kromě aplikace ePas bude implementovat CTAP2 NFC. Již dnes existují open source implementace na standardních Java Cards. NFC mapování pro protokol CTAP2 důsledně staví na ISO7816/14443 a mělo by být schopné bez velkých potíží koexistovat s libovolnou další standardní aplikací na kartě. 

Pro bezpečnost celého řešení je zásadní, že protokol CTAP2 umožňuje (na rozdíl od předchozí verze U2F CTAP) pro provedení autentizace vynutit zadání PINu, který je ověřován přímo v autentikátoru. Z hlediska řízení životního cyklu identity je pak důležitá možnost použití tzv. rezidentních klíčů, tedy klíčů, které jsou skutečně uložené přímo v bezpečné paměti autentikátoru.

Řešení občanky pak projde certifikací FIDO aliance, získá atestační certifikát a budoucí český eOP se tak stane plnohodnotným CTAP2 autentikátorem použitelným na libovolné platformě. 

Uživatelský zážitek s novým eOP dle popsané vize

Pokud by se podařilo technicky zkombinovat vše podle výše uvedeného návrhu, byly by po vydání takové občanky držiteli v elektronickém světě dostupné následující možnosti:

  • Autentizace s využitím NIA – tak jako dosud by držitel eOP mohl provést federalizovanou autentizaci s využitím NIA. WebAuthn zpřístupňuje konkrétní identitu reprezentovanou veřejným klíčem vždy konkrétnímu serveru autentizovanému serverovým TLS certifikátem (NIA). To vše na libovolném zařízení. Na PC s kartou zasunutou do adaptéru, nebo, pokud je k dispozici, bezkontaktní čtečkou. Na mobilu pak pomocí NFC rozhraní bez instalace dodatečných SW. Při autentizaci je vždy vyžadován PIN.
  • Registrace s využitím ePasové aplikace – pomocí specializované aplikace v PC nebo v mobilu bude možné po zadání CAN získat z eOP důvěryhodné a nezkopírovatelné údaje identifikující držitele včetně jeho fotografie. S takovými údaji pak bude možné provést kompletní digitální onboarding, včetně např. videoověření biometrie obličeje (možné i bez CTAP2 podpory).
  • eOP je možné použít ve vstupním systému – zadáním CAN a přiložením eOP je možné získat nezpochybnitelnou identitu vstupujícího. S využitím fotografie obličeje je možné provést i biometrickou verifikaci (možné i bez CTAP2 podpory).
  • eOP je možné využívat jako standardní WebAuthn autentikátor, kdy si každý web může standardním způsobem do eOP „uložit“ své vlastní klíče (ve skutečnosti se klíče do karty neukládají – viz nepersistentní klíč ve vloženém rámečku).
  • eOP autentizace může kombinovat silnou autentizaci skrze NIA s požadovaným zadáním PINu, se kterou je provedena například registrace. Následně pak může vytvořit na eOP vlastní credentials nebo může využít tzv. platform autentikátor (v telefonu typicky vázaný na snímač otisku) a následné autentizace odbavovat s výrazně vyšší mírou komfortu.
  • Na bázi silné autentizace pomocí eOP by mohly vzniknout skutečně bezpečné systémy pro vzdálené vytváření elektronického podpisu. Klíč uložený u poskytovatele služby vytvářející důvěru a jím spravovaný by se dal použít s využitím silné autentizace WebAuthn, která je založena rovněž na asymetrické kryptografii s HW zabezpečeným uložením klíče.

Chytré hlavy s podobným nástrojem určitě dokáží vymyslet hromadu dalších případů, kdy takový pokročilý a bezpečný prostředek autentizace výrazně napomůže bezpečné digitalizaci v Česku. Teď je prostor se nad novým směrem zamyslet a správným způsobem připravit zákony adaptující nové nařízení a posunout Česko kousek výš v oblasti inovací. Tento úkol náleží Ministerstvu vnitra, které má v gesci jak vydávání OP, tak elektronickou identitu.

Co na to ministerstvo vnitra?

Jak budou nové české eOP s bezkontaktním rozhraním vypadat? Na naše otázky odpověděl Jiří Korbel z tiskového odboru Ministerstva vnitra ČR:

Bude nutné provést výměnu současně vydávaných eOP za nové? Pokud ano, má smysl teď vydávat „kontaktní“ eOP? Má už MV ČR plán, jak bude tato výměna probíhat?

Výměna občanek nebude nutná, nařízení nic takového nepředepisuje. Počítá se s implementací nových dokladů během dvou let, což je maximální implementační lhůta, a s přirozenou obměnou průkazů podle doby své platnosti a jejich nahrazování novými již s biometrickými údaji. To znamená, že poslední čeští občané dostanou biometrické průkazy nejpozději za 12 let. Pro nezletilé a občany starší 70 let jsou v nařízení výjimky.

Implementace příslušné normy ICAO bude podle našich předpokladů trvat podobnou dobu, jako tomu bylo u implementace biometrických pasů, a do té doby musí ČR vydávat prostředek vzdálené elektronické identifikace. Jednak to potřebujeme pro vnitrostátní použití v eGovernmentu a jednak jsme to právě notifikovali EK mechanismem podle nařízení eIDAS. Implementace nařízení si samozřejmě vyžádá značné náklady na úpravy příslušných informačních a výrobních systémů eOP.

Má MV ČR představu o technologiích, na kterých by budoucí bezkontaktní eOP měly běžet? Pokud ano, můžete nám sdělit detaily?

Vše je uvedeno v nařízení. Je velmi pravděpodobné, že nové průkazy budou mít jak stávající kontaktní čip, tak nový bezkontaktní čip na uložení biometrických údajů.

Plánuje MV ČR v budoucích bezkontaktních eOP využití například standardu WebAuthn a s ním souvisejících standardů CTAP2?

cif-tip-digitalizace

V tuto chvíli jde o předčasnou otázku. Aktuálně je stanovena příslušná pracovní skupina složená z odborníků na legislativu i technické otázky, která se implementačními otázkami zabývá.

Technologie skryté v ePasu

Logical data structure (LDS) – standardní datová struktura, ve které jsou uloženy údaje v pasovém čipu. Mimo jiné definuje také formát elektronického podpisu uložených dat. 

Basic Access Control (BAC) – základní řízení přístupu k datům uloženým v ePasu – pro „odemknutí“ přístupu vyžaduje zadání několika prvků načtených z MRZ. Efektivně tak brání nevědomému čtení ePasu uloženého v zavazadle nebo v kapse a odposlechu údajů (ustanovuje bezpečný šifrovaný kanál mezi ePasem a čtečkou).

Active authentication (AA) – mechanizmus prokázání pravosti čipu založený na elektronickém podpisu pomocí privátního klíče bezpečně uloženého v čipu.

Supplemental Access Control (SAC) – mechanizmus obdobný jako BAC, ale se silnějším kryptografickým zabezpečením. Umožňuje využívat CAN místo MRZ.

Extended access control (EAC) – mechanizmus zvýšené ochrany čtení údajů z ePasu, který umožňuje využití silnější kryptografie ochrany přenosového kanálu. 

Chip authentication (CA) – definováno jako součást EAC, pokročilejší náhrada BAC, která výrazně posiluje kryptografickou sílu šifrování, které chrání přenosy mezi čipem a čtečkou. Zároveň slouží jako náhrada aktivní autentizace pro prokázání pravosti čipu, která zlepšuje ochranu soukromí.

Password Based Access Control (PACE) – definováno jako součást EAC, pokročilejší a uživatelsky přívětivější náhrada BAC před neoprávněným čtením. Nahrazuje dlouhou sadu údajů, které je nutné zadat pro provedení BAC kratším náhodným heslem, které je také vytištěné na dokladu.

Terminal authentication (TA) – definováno jako součást EAC, mechanizmus silné autentizace terminálu pro čtení citlivých informací z ePasu (otisky prstů). Pouze terminál, který obsahuje speciální certifikát/klíč od státu vydávajícího ePas, může číst citlivé údaje.

Moderní technologie silné autentizace bez hesla

WebAuthn – standard W3C implementovaný ve všech hlavních prohlížečích. Zpřístupňuje webovým aplikacím CTAP2 autentikátory buď přímo zabudované v systému, nebo do systému připojené pomocí standardizovaného rozhraní CTAP2. Jak funguje technologie WebAuthn, si můžete vyzkoušet na několika testovacích stránkách (např. webauthndemo.appspot.com, webauthn.io).

CTAP2 – standardizovaný protokol pro komunikaci mezi klientským SW (OS, prohlížeč, aplikace) a bezpečným HW autentikátorem pomocí komunikačních protokolů USB HID, NFC a Bluetooth, který umožňuje bez instalace dodatečných ovladačů zpřístupnit silný autentikátor do aplikací.

Persistentní vs. nepersistentní klíče – obvyklým postupem při implementaci CTAP2 autentikátoru je využití nepersistentních klíčů. Privátní klíč je po vygenerování exportován (šifrovaný klíčem autentikátoru a jinde nepoužitelný) z autentikátoru a je uložen na serveru ve formě tzv. key handle. Standard umožňuje vynutit použití klíče persistentního, jehož privátní část je fyzicky uložena uvnitř autentikátoru. 

Disclaimer: Autor pracuje ve firmě, která se podílí na projektech souvisejících s ePas a eOP.