Post Syndicated from original https://alex.stanev.org/blog/?p=358
На никой не му е необходим електронен подпис сам по себе си. Той е точно толкова използваем, колкото различни електронни услуги хората и бизнеса могат да достъпят и по този начин спестят време->пари. Често електронният подпис се набавя само за използването на една конкретна електронна услуга и чак по-късно се откриват новите възможности. еПодписът, издаван и управляван по сегашната схема е към момента единствената приета в България и ЕС технология, гарантираща авторството на подписаното съобщение, неговата автентичност, цялост и неотменяемост (non-repudiation).
На този фон, онзи ден чета това. Освен непосредственият популистки ефект, ако това стане ще бъде и вредно за и без това хилавото електронно управление в България. Връща ни към момента, в който институциите се занимават с несвойствени дейности – издаване и поддържане на персонални кодове, задължително различни и по различни правила. Издаването на ПИК е по подобен начин на електронния подпис, но не ходиш на едно място, веднъж на една до три години, а във всяка институция; не може да се използва навсякъде по сходен начин, а според каквито бюрократични правила са генерирали локалните публични администратори; сигурността не е много по-висока от тази на име+парола, прави възможни цели класове MitM и side channel атаки, няма възможност за стандартно криптиране + липсва концепцията за неотменяемост, при която не може след това да кажеш “не бях аз”.
И за да не бъде голословно, ето няколко идеи какво трябва да се направи според мен, по групи:
За Държавата:
- Вместо да подкрепя ретроградни схеми, технологично подходящи за края на 90-те, да промотира използването на Квалифициран електронен подпис, чрез въвеждането на допълнителни отстъпки, правещи го икономически ефективен;
- Вместо институциите да мерят колко десетки-стотин-ХХХ нужни общо на 0.5% от потребителите електронни услуги са внедрили, да си погледнат обобщените статистически анализи и да реализират приоритетно най-използваните и с най-голяма административна тежест;
- Когато се замислят нови режими и промени на съществуващите, да се използва момента и за електронизация на процеса – завърти ли се колелото веднъж, нещата винаги стават по-трудно и стресово за потребителите и администрацията;
- Три институции предоставят около 90% от всички използвани електронни услуги в България. Добри или лоши, те работят и всеки ден десетки хиляди си спестяват много нерви и време. В “нормална” държава тази практика ще се мултиплицира и доразвие, но при нас да откриеш колелото и след това да се похвалиш си е в реда на нещата.
За доставчиците на удостоверителни услуги:
- Профилите на издаваните сертификати продължават да се различават, което от своя страна затруднява разработчиците;
- Има дори един доставчик, който в опита си да е by the book, така се е увъртял, че част от най-разпространените библиотеки за работа със сертификати не могат да им парснат публичните части коректно. Ако толкова държаха да издават така, нормалното продължение би било да се пуснат бъгове, да напишат малко код с pull request, където е възможно. Ама не, дебелокожото “ние сме си ОК и си издаваме така” е широко разпространено…
За разработчиците на електронни услуги:
- Коректната имплементация на подписване+верификация не е тривиална задача. Не я подценявайте. Вижте кой какво е направил и питайте, поне първия първия път, когато ви се налага да създадете нещо в областта;
- Когато трябва да се направи горното, но многоплатформено е още по-криво. Обикновено това е последна грижа и на клиента, та все не остава ресурс за него. Планирайте добре, натиснете клиента – отложите ли многоплатформеността, може да отнеме години, а междувременно увеличаващите се потребители на алтернативни OS с право ще ви “хранят”. Грубо и звучно.
За потребителите:
- Огледайте се. Страниците на доставчиците на удостоверителни услуги са добро начало за старт. Може да се окаже, че това, което ви е необходимо е вече разработено и внедрено. И цената на подписа ще е една добра инвестиция;
- Натискайте институциите, където смятате, че може да се подобри нещо. Където нещо може да се електронизира. Където липсват услуги, а ви трябват. Обратната връзка не винаги отива в кръглата папка и ще помогне приоритизацията и планирането на задачите.
P.s. Написаното е мое лично мнение, което не е задължително да съвпада с позицията на споменатите и тези, които ще се разпознаят.