mObywatel śledzi Polaków niczym Pegasus? Wyjaśnijmy to sobie

Niemal pod każdym naszym tekstem o mObywatelu pojawiają się komentarze w tym samym stylu. Wiele osób jak mantrę powtarza, że rządowa aplikacja szpieguje obywateli. Skąd to się wzięło i ile w tym prawdy? Już tłumaczę.

Skąd ta panika?

Cała panika wzięła się między innymi z jednego wpisu na platformie X (dawniej Twitter). Jego autorem jest Dawid Adamczyk, który sam określa się mianem prawnika, politologa i liberała. To właśnie on opublikował listę uprawnień, do której dostęp ma aplikacja mObywatel. Problem w tym, że o ile na prawie i polityce Pan Adamczyk może się zna, to już niekoniecznie na nowych technologiach.

W swoim wpisie wspomina między innymi o tym, że aplikacja mObywatel ma dostęp do kamery, więc w każdej chwili może nagrywać obywateli, a następnie takie materiały przekazywać na zewnętrzne serwery. Czepia się też funkcji biometrii, dostępu do internetu (???) czy nawet NFC.

Należy przy tym zaznaczyć, że Pan Adamczyk prawdopodobnie nie opierał się tutaj na własnej wiedzy. Na X opublikował też link do filmu na YouTubie. Jest to materiał Jana Pińskiego, między innymi byłego redaktora naczelnego miesięcznika "Uważam Rze", w którym rozmawia on z Tomaszem Szwejgiertem - dziennikarzem, pisarzem i byłym pracownikiem CBA oraz ABW.

To właśnie w tym materiale pojawiają się informacje o rzekomym śledzeniu obywateli przez mObywatela. Autorzy filmu twierdzą, że aplikacja inwigiluje Polaków. Porównują ją wręcz do słynnego Pegasusa, za pomocą którego rzeczywiście śledzono polityków, prawników i dziennikarzy. Piński i Szwejgiert również odnoszą się do listy uprawnień aplikacji, ale robią to bez zrozumienia, jak one w praktyce działają.

Zresztą w komentarzach zarówno pod filmem na YouTube, jak i wpisem na X przeważają głosy, które mówią o braku wiedzy autorów. Pomimo tego część osób najwyraźniej w te sensacyjne informacje uwierzyło i do dzisiaj je powtarza, również w komentarzach na TELEPOLIS.PL.

Ministerstwo Cyfryzacji reaguje

Sprawa poniosła się tak szerokim echem, że postanowiło na nią zareagować również Ministerstwo Cyfryzacji, czyli resort odpowiedzialny za rozwój aplikacji mObywatel. Na rządowej stronie pojawił się artykuł, w którym rozprawiono się z nieprawdziwymi informacjami.

Aplikacje mobilne korzystają z różnych funkcji urządzenia, by realizować swoje podstawowe zadania. mObywatel posiada dostęp do kamery aby skanować kody QR podczas weryfikacji tożsamości, aplikacja posiada dostęp do lokalizacji, aby pokazywać precyzyjnie punkty na mapie np. w usłudze umawiania wizyt w ZUS czy Jakości Powietrza. Aplikacja również może posiadać dostęp do plików, ale tych wskazanych przez użytkownika np. w celu pobrania i zapisania potwierdzenia w formacie PDF.

Warto też pamiętać, że aplikacje mobilne nie działają zupełnie niezależnie. Mogą tylko to, na co pozwala im system operacyjny, w tym przypadku Android lub iOS. Oba mają zaawansowane mechanizmy kontroli prywatności. Gdyby aplikacja mObywatel rzeczywiście szpiegowała obywateli, to nie zostałaby dopuszczona do Sklepu Play czy App Store.

Czy mObywatel szpieguje?

Przejdźmy jednak do konkretów, ponieważ takie doniesienia musiały spotkać się z odzewem ze strony osób, które na tworzeniu aplikacji mobilnych rzeczywiście się znają. Film na ten temat przygotował między innymi Mateusz Chrobok, ekspert ds. cyberbezpieczeństwa i sztucznej inteligencji.

W Androidzie od samego początku ten system był tak pomyślany, żeby każda aplikacja była w oddzielnej piaskownicy. Co to w ogóle oznacza? To oznacza, że pomiędzy sobą [...] jak cokolwiek chcą od systemu operacyjnego, jakiegokolwiek uprawnienia, to muszą o nie grzecznie poprosić [...] Może poprosić o kamerę, o zapis plików na dysku i o inne takie rzeczy. Co jest istotne? Jeśli aplikacja ma jakieś uprawnienia do zapisu, to ona zapisuje sobie te rzeczy tylko i wyłącznie w swojej przestrzeni. Na tym polega cały koncept piaskownicy i oddzielenia aplikacji pomiędzy sobą.

Do czego jest to używane? W sytuacjach, gdy aplikacja chce zapisać lokalnie jakieś informacje, które są jej potrzebne. Może to być np. baza danych, certyfikat, prawo jazdy lub po prostu plik PDF, który chcemy z jej pobrać. Nie oznacza to, że mObywatel może odczytać inne informacje na telefonie, np. nasze zdjęcia.

Autor krok po kroku rozprawia się z wszystkimi uprawnieniami mObywatela (polecam zapoznać się z materiałem). Odnosi się między innymi do używania przez niej kamery, która służy w tym konkretnym przypadku do odczytywania kodów QR. One z kolei są wykorzystywane np. do logowania na rządowych stronach. Co ważne, to sam użytkownik decyduje, czy taki dostęp do kamery dać. Jeśli się nie zgodzi, to system operacyjny zwyczajnie na to nie pozwoli.

Lista uruchomionych aplikacji. To już w najnowszych Androidach w ogóle nic nie zwraca i nie działa. Jest obejściem rzeczy w starych Androidach. Oni nie zobaczą, jakie masz aplikacje uruchomione na telefonie, jak masz Androida nowszego niż 11. Jeżeli chodzi o FireBase'a, czyli zbieranie informacji poprzez Google'a, to on jest skonfigurowany tak, że tam idą przez niego tylko szyfrowane wiadomości push. Żadnej analityki, żadnych danych osobowych.

Do tematu odniósł się również inny ekspert - Marcin Bunsch, który jest twórcą aplikacji mobilnych. Wspomina między innymi o SENTRY, które - zdaniem Pińskiego i Szwejgierta - ma nagrywać wszystko, co robimy na telefonie. Rzecz w tym, że jest to aplikacja do monitorowania błędów. Rzeczywiście ma funkcję Replay, ale chodzi w niej o to, aby zobaczyć, co działo się w mObywatelu, gdy wystąpił jakiś błąd.

Ale po co siać panikę i opowiadać bzdury o rzeczach, których się nie rozumie?

Dodatkowo należałoby się też odnieść do informacji, że instalując aplikację mObywatel dajemy rządowi dostęp do swoich danych - dowodu osobistego, prawa jazdy itp. Tak, tak absurdalne argumenty również się pojawiają. Nie, nie dajemy rządowi dostępu do takich informacji. On już je od dawna ma. Na tym polega między innymi rola państwa. Jest wręcz przeciwnie. To my na telefonie dostajemy dostęp do danych, które rząd już o nas ma.