smartcard forum 2009 - elektronické občanské průkazy v eu

Spojujeme software, technologie a služby

Ivo Rosolředitel vývojové divize

1

Elektronické OP v EUPoučíme se ze zkušeností zemí, které vydaly a používají eOP?

Identifikační čipové dokladyPrvním běžně vydávaným čipovým dokladem je

elektronický cestovní pas s biometrickými prvky. Pasů

tohoto typu je v současné době vydáno více než 100

milionů v 50 zemích světa.

Dalším dokladem, který v řadě zemí Evropy i světa čeká

na vybavení čipem, je (národní) elektronický identifikační

doklad (eID); v ČR občanský průkaz(eOP).

eID umožní zajistit podobnou míru ochrany dokladu a

jistotu identifikace držitele jako elektronický cestovní pas,

navíc jej bude možné využít v elektronické komunikaci

prostřednictvím internetu.

SmartCard Forum 2009 2

Oblasti využití eID v EU• Fyzický identifikační doklad umožňující klasickou

i elektronickou identifikaci, volitelně s využitím

biometrických dat

• Schengenský cestovní doklad (ICAO aplikace)

• Nástroj logického přístupu k elektronickým

službám (eID aplikace)

• Nástroj pro vytvoření zaručeného elektronického

podpisu (e-Sign aplikace)

• Multiplikační platforma pro další aplikace.


Přehled vydání eID v Evropě


Země Klasický ID eID vydán eID v plánuBelgie ano ano --Bulharsko ano ne neČeská republika ano ne anoDánsko ne -- neEstonsko ano ano --Finsko ano ano --Francie ano ne anoHolandsko ano ano --Irsko ne -- neIsland ano ne anoItálie ano částečně --Kypr ano ne neLichtenštejnsko ano ne anoLitva ano ne neLotyšsko ne -- anoLucembursko ano ne anoMaďarsko ano ne anoMalta ano ne anoNěmecko ano ne anoNorsko ne -- nePolsko ano ne anoPortugalsko ano ano --Rakousko ano ano --Rumunsko ano ne anoŘecko ano ne neSlovensko ano ne anoSlovinsko ano ne anoŠpanělsko ano ano --Švédsko ano ano --Velká Británie částečně částečně --Celkem 30 24/25 8/10 13

Biometrické údaje


Země Fotografie Otisk prstuFrancie ano anoHolandsko ano neItálie ano anoKypr ano neNěmecko ano anoŠpanělsko ano anoŠvédsko ano neVelká Británie ano ano

Pro externí autentizaci (MoT)

Pro interní autentizaci (MoC)

Portugalsko

Čipová technologie umožňuje uložit, chránit a porovnávat biometrické údaje

držitele eID. Vedle využití pro externí autentizaci je v případě eID vhodné

uvažovat i o interní autentizaci na čipu eID

Relevantní standardy pro eID• CEN TS 15480 – 1 – 4 European Citizen Card. Vznikající standard (díly 1 a

2 vydány, díly 3 a 4 rozpracovány) určuje fyzické vlastnosti, logickou

strukturu dat a služby karty, aplikační rozhraní a profily čipové platformy,

určené pro širokou škálu evropských čipových dokladů a dalších čipových

aplikací. Standard stanoví technickou specifikaci povinných mechanismů a

služeb, na kterých je možné založit například eID. Standard ovšem

nedefinuje logickou strukturu dat, konkrétní bezpečnostní funkce, nebo

personalizační profil pro evropský eID. Tyto specifikace mohou být uvedeny

pouze ve formě profilů, které budou uvedeny v informativních přílohách 4.

dílu tohoto standardu. Důležité je, že jsou již nyní nabízeny čipové moduly

několika významných výrobců vyhovující 2. dílu standardu ECC.

• Technické specifikace BSI TR-03110 Technical Guidline Advanced Security

Mechanism for Machine Readable Travel documents, EAC 2.0

• CEN CWA 14169:2004 Secure signature-creation devices „EAL 4+“

• CEN EN 14890 Application Interface for Smart Card used as Secure

Signature Device

• ISO 24727 (první 4 díly vydány) sada rozhraní pro interakci mezi čipovou

kartou a externí aplikací, pro poskytování generických služeb čipové

platformy pro multisektorové použití.


10 pesimistických důvodůV oblasti elektronických identifikačních dokladů nelze očekávat zopakování úspěšného

příběhu* elektronických pasů (* úspěchem je zatím pouze vydávání...)

• neexistuje významnější globální aplikace národních identifikačních dokladů

• chybí mezinárodní autorita, která by stanovila závazné technické a procesní specifikace

v této oblasti

• Smlouva o založení Evropského společenství (Treaty Establishing the European

Community) v článku 18.3 omezuje koordinovanou právní úpravu pro evropské eID (ale

i pro pasy a povolení k pobytu!)

• Evropská komise je nečinná v oblasti elektronické autentizace a vypracování příslušné

směrnice (obdoba směrnice 1999/93 EC o zásadách Společenství pro elektronické

podpisy)

• chybí infrastruktura pro použití čipových identifikačních dokladů v rámci států i mezi nimi

• zvyšuje se počet států, které již implementovali, nebo jsou ve stádiu přípravy či

probíhající implementace národního schémat elektronických identifikačních dokladů

• oblast použití elektronického identifikačního dokladu je nesjednocená a širší než u

cestovního dokladu. Rozhodující bude použití pro elektronické transakce na internetu,

v nezabezpečeném prostředí držitelem, který není odborník.

• chybí profil ochrany pro bezpečnostní certifikaci

• chybí standardní sady testů pro testování konformity a interoperability

• chybí směrnice, nebo alespoň jednotný postup pro vydávání eID.


Příklad užití – estonské eIDEstonsko

• Počet obyvatel: 1,4 mil.

• 5 bank ovládá 99% trhu, „každý“ občan má

internetový bankovní účet, všechny banky

poskytují autentizační služby třetím stranám

• osmiletý náskok před ČR i řadou dalších

evropských zemí


Základní údaje• Estonský eID je jediného typu, neobsahuje

žádné volitelné prvky a vyhovuje specifikaci

ICAO Doc. 9303 díl 3 - Size 1 and Size 2

Machine Readable Official Travel Documents

z roku 2002 (pouze stranově přehozená

fotografie kvůli čipu).

• eID obsahuje unikátní osobní číslo (identifikátor

držitele), obsažené ve veřejném registru Estonia

National Registry of Certification Service

Providers.


Estonský eID


Lícová strana

podpis a fotografie držitele

jméno

národní identifikátor

datum narození

pohlaví

státní příslušnost

číslo karty

datum konce platnosti

Rubová strana

místo narození

datum vydání karty

data MRZ

Obsah čipu• eOP je osazen kontaktním čipem s 16 KB EEPROM, RSA. Na přání

držitele lze provést deaktivaci elektronických funkcí

• Textová personalizační data vytištěná na kartě jsou rovněž uložena

na čipu, grafické údaje (fotografie a zobrazení podpisu) na čipu

umístěny nejsou

• Na čipu jsou umístěny dva certifikáty X.509v3, určené pro

autentizaci a elektronický podpis, a korespondující privátní klíče

chráněné různými PIN. Certifikáty jsou kvalifikované a neobsahují

žádná autorizační data. Následné certifikáty jsou vydávány zdarma

• Autentizační certifikát obsahuje jméno, národní identifikátor držitele

a jedinečnou e-mailovou adresu ve tvaru [email protected] , která

je přidělena doživotně a slouží jako referenční doručovací adresa,

která je přesměrována serverem na reálnou e-mail adresu (max. 5

adres) držitele. E-mailová adresa je určena pro doručování veřejnou

mocí i firemními a privátními subjekty a je uvedena ve veřejném

registru


mailto:[email protected]

Infrastruktura eID• Certifikační centrum – vydávání a užívání karet

• Dvě hlavní Estonské banky – na pobočkách výdej ID, správa

vydaných ID, čtečky karet

• Telekomunikační operátoři

• Estonian Citizenship and Migration Board – správa schéma, příjem

žádostí o ID, první žádost osobně, další elektronicky nebo poštou

zaslaná žádost s podepsanou každou stranou, o pas a ID lze žádat

najednou. Karta je vydána do 30 dnů, proces lze sledovat na

internetu. Při převzetí se vrací stará karta.

• Kořenová certifikační autorita estonského PKI

• Kořenová certifikační autorita estonského eID


Elektronické volby• První místní volby do obecních zastupitelstev

s možností elektronické volby proběhly v říjnu

2005. Počet „e-voličů“ byl 9 000, což činí 1.8 %

voličů. Jednotkové implementační náklady byly

vyčísleny na 32 EUR/e-voliče.

• První parlamentní volby s možností elektronické

volby proběhly v březnu 2007. Počet e-voličů byl

30.000, což činí 5,4 % voličů.


Elektronické formuláře• Základem elektronických aplikačních služeb

státu je více než 300 elektronických formulářů,

dostupných prostřednictvím portálu státu

http://www.eesti.ee.

• Pouze 4(!) z těchto formulářů využívají

elektronický podpis


http://www.eesti.ee/

http://www.eesti.ee/

Základní registryVšichni držitelé eID mají přístup k celkem 20

základním registrům (registr obyvatel, registr

nemovitostí…).

Prostřednictvím autentizace s eID je možné

provést elektronická podání a dotazy do registru,

zjištění informací vedených o vlastní osobě a

přístupů k nim, zaslat upozornění na chyby a

změny, dotazy v určeném rozsahu na jiné

subjekty


Další aplikaceDaňová přiznání

• 86% obyvatel podává daňová přiznání on-line

(!), ale většina využívá autentizaci provedenou

bankou

Hromadná doprava

Elektronické lístky pro hromadnou dopravu byly

zavedeny jako dodatečná aplikace, která je

v současné době nejmasověji používanou

aplikací


Praktické zkušenosti a možná poučeníZákladním paradoxem je poměr 55 000 aktivních

elektronických uživatelů na 1 milion vydaných karet, tedy

přibližně pouze 5% aktivních držitelů.

Původní záměr vydání eID během 14 měsíců se realizoval

v průběhu 5 let.

Mají se eID vydat pouze pro předpokládané budoucí aktivní

uživatele (model ČR)?

Budou v tomto případě vytvářeny aplikace pro držitele eID,

kterých je malé procento?

Jaká je klíčová aplikace pro eID?

Jak načasovat implementaci infrastruktury, aplikací, vydání

eID a „výchovy“ uživatelů v užívání eID?


Plošné nebo omezené vydání eIDPlošné vydání

Výhody: jednotné prostředí, stejné a nediskriminující

možnosti uživatelů, velký potenciál pro aplikace,

spouštěcí mechanismus rozvoje

Nevýhody: vyšší náklady na eID pro držitele, kteří je nikdy

nepoužijí

Omezené vydání

Výhody: úspora státu při vydávání eID

Nevýhody: náklady na infrastrukturu, správu a aplikace

stejné jako pro plošné vydání, nebudou vytvářeny

významné aplikace pro eID, nebudou používané v

komerční sféře, nebudou nakupovány

-> Omezené vydání eID nikdo nebude brát příliš vážně


Co není rozhodující aplikací pro eIDRozhodující aplikací nemůže být žádná, byť sofistikovaná

aplikace, která se nepoužívá dostatečně často. Mezi tyto

aplikace – v kontrastu k obecnému míněním – patří:

• E-government - elektronická komunikace v rámci (C2G &

G2C) - nastává v průměru 1,4x ročně

• Elektronický podpis – běžný občan zřídka podpisuje

cokoli, tím méně elektronicky. Zákon 300/2008 Sb.

(datové schránky) navíc umožňuje nepoužívat

elektronický podpis

• Elektronické volby – v průměru 1x za 2 roky.

-> eGovernment nikdy nebude rozhodující aplikací pro

občany


Kandidát na rozhodující aplikaciDůležitou a často užívanou aplikací může být

elektronická autentizace.

On-line bankovnictví je v Estonsku používáno

v průměru 1x týdně. Současně sílí tlak bank na

zrušení poskytování autentizace třetím stranám

a na omezení transakčního limitu při použití

hesel. Banky ale nejsou ochotny přejít na PKI,

dokud není 100% pokrytí eID.

-> Autentizace musí být použitelná nejen v rámci

eGovernment, ale i v komerčním sektoru.

-> Pro rozhodující aplikaci nesmí být alternativa


Vítězná aplikace – eJízdenkyPro zvýšení využití eID bylo původní určení karty

rozšířeno na multiaplikační a byly

implementovány elektronické jízdenky, které se

v krátké době ukázaly jako nejužívanější

aplikace eID

-> Použití eID pro veřejné a komerční služby s

častou frekvencí je zásadním faktorem úspěchu

a efektivity vydání eID


Situace v ČRV ČR je držitelem klasického občanského průkazu (OP) přibližně 8 mil.

občanů. Záměr vydání nových občanských průkazů, které mohou

být volitelně vybaveny čipem, vyjádřila Česká republika vládním

návrhem novely zákona 328/1999 Sb. o občanských průkazech,

který předložil ministr vnitra sněmovně dne 21. 1. 2009.

Důvodem pro vydání nových OP je neexistence jednotného nástroje,

kterým by občan mohl prokazovat svoji totožnost a zároveň uplatnit

svá práva a oprávnění prostřednictvím prostředků elektronické

komunikace. Navrhuje se proto zavést nový elektronický OP, který

bude mít formu karty. Tento průkaz bude moci nadále sloužit též

jako cestovní doklad v rámci zemí Evropské unie.

Předpokládaný začátek vydávání eOP (ve zkušebním provozu – web

MV) je 1.7. 2010


Elektronický OP bez čipu?V návrhu novely zákona se předpokládá vydávání

(s výjimkou zvláštních případů OP bez strojově

čitelných údajů) dvou typů OP

• a) OP se strojově čitelnými údaji a s kontaktním

elektronickým čipem,

• b) OP se strojově čitelnými údaji.

Tyto OP slouží k prokázání jména, příjmení,

podoby, státního občanství České republiky a

dalších údajů uvedených v OP a slouží rovněž

k elektronické identifikaci držitele OP při

komunikaci s informačními systémy veřejné

správy.


Strojově čitelný AIFOZákladní elektronická komunikace s OP bez čipu bude založena

na využití části strojově čitelných údajů, ve formě 2D

čárového kódu. 2D kód bude obsahovat agendou identifikátor

fyzické osoby pro agendu občanských průkazů (AIFO) a číslo

občanského průkazu.

Současně s převzetím OP si občan zvolí bezpečnostní osobní

kód, který slouží k identifikaci držitele OP při komunikaci

s informačními systémy veřejné správy. Bezpečnostní kód

(není to PIN k čipu eOP) má délku 4 – 10 číslic a lze jej měnit

na kontaktních místech veřejné správy a odblokovat na

obecních úřadech obcí s rozšířenou působností.

Bezpečnostní kód bude uložen v evidenci OP v zašifrované

podobě. Elektronickou identifikaci bude možné zablokovat a

odblokovat, údaje o této skutečnosti budou rovněž uvedeny

v evidenci OP.


eOP s čipemInformacích vztahujících se k elektronickému čipu v OP je

v novele zákona o OP velmi málo.

• Základní informací je, že čip bude mít pouze kontaktní

rozhraní. Důvodová zpráva uvádí, že využití kontaktního

čipu zabezpečí vyšší míru ochrany proti zneužití údajů

obsažených v čipu

Z hlediska obsahu čipu zákon uvádí pouze dvě specifikace:

• Do kontaktního elektronického čipu lze zapsat údaje,

jejichž zápis a rozsah stanoví jiný právní předpis a se

souhlasem držitele.

• Nelze-li z důvodu nedostatku místa v

kontaktním elektronickém čipu zapsat všechny

požadované údaje, určí občan, které z nich se zapíšou.


Osladíme si to sami?Do doby vydání právního předpisu, který určí zápis

a rozsah údajů, které lze zapsat do

elektronického čipu je (teoreticky) možné

vydávat pouze eOP s čipem připraveným pro

pozdější nahrání určených údajů.

ČR by vydala světovou raritu – eOP s „prázdným

čipem“.

Nutný systém pro správu eOP bude významně

komplikovanější a nákladnější.

Počet občanů, kteří zaplatí správní poplatek za

„prázdný čip“, bez možnosti přímého použití,

bude minimální.


Náměty pro eOP v ČR – 1/3Vydání eOP by nemělo být cílem, ale prostředkem k

dosažení specifických cílů v určitém stavu plošného

rozvoje elektronických služeb, které musí být v předstihu

vybudovány.

Vzhledem ke skutečnosti, že pro eOP neexistují přímo

aplikovatelné standardní specifikace (jako v případě

elektronických pasů), je nutná důkladná analytická

příprava a široce oponovaný návrh technického řešení,

použitých standardů, oblasti využití, nezbytné

infrastruktury a aplikačních rozhraní.

Tato příprava vyžaduje dostatečný čas a měla by být

vybudována v předstihu před přijetím právních předpisů.


Náměty pro eOP v ČR – 2/3• Elektronická autentizace je jednou z klíčových služeb

eID. Protože neexistuje eAuthentication Directive od

Evropské komise, ani žádná česká právní úprava (na

rozdíl od elektronického podpisu), je nezbytné iniciovat

vhodnou právní úpravu v této oblasti. V této souvislosti je

nezbytné vyřešit identifikaci osoby – agendové

identifikátory nejsou použitelné mimo agendy státu a

v certifikátech!

• Elektronický podpis není klíčovou aplikací, jeho význam

pro občana dále dramaticky klesá v souvislosti se

systémem datových stránek, přesto je zatím jedinou

zmiňovanou elektronickou funkcí eOP!


Závěry pro ČR – 3/3• V ČR ani zdaleka neexistuje dostatečná infrastruktura PKI – chybí

jednotná forma elektronického podpisu, služby ověření

elektronického podpisu, archivace podepsaných dokumentů. Není

uspokojivě vyřešena identifikace držitele certifikátu.

• Vydání 2 typů OP (s čipem a bez čipu) je na první pohled

ekonomické, ale náklady na vybudování infrastruktury a aplikací

jsou stejné. Je sporné, zdali bude investováno do vývoje aplikací,

pokud penetrace eOp s čipem bude malá

• eOP by měl být víceaplikační, s využitím pro veřejné služby

(doprava…) a komerční (přímé bankovnictví, internetové

obchody…). V opačném případě nelze očekávat efektivní využití

eOP, bude chybět zájem uživatelů i poskytovatelů služeb.


smartcard forum 2009 - elektronické občanské průkazy v eu

Technology