Zabezpieczenia mObywatela podczas wyborów to żart. Wystarczyło kilka minut, żeby złamać system
mObywatel zamiast dowodu osobistego podczas wyborów brzmi jak duży krok w stronę cyfrowej przyszłości. Problem w tym, że to rozwiązanie ma duże problemy jeśli chodzi o zabezpieczenia.
Wedle ustawy istnieją trzy sposoby na weryfikację tożsamości za pomocą aplikacji mObywatel. Pierwszym jest sprawdzenie wizualne tego, co wyświetla się w aplikacji. Drugą jest sprawdzenie wizualne i następne sprawdzenie funkcjonowania aplikacji. Ma to zapobiegać wykorzystaniu zwykłej, zmodyfikowanej grafiki. Trzecią, potencjalnie najbezpieczniejszą jest skanowanie kodów QR w aplikacji. W nadchodzących wyborach prezydenckich podczas wyborów dostępna będzie tylko ta trzecia opcja. Jak czytamy na stronie Ministerstwa Cyfryzacji:
KBW, jako główną, wybrało metodę polegającą na zeskanowaniu specjalnego kodu QR, który otrzymają komisje wyborcze. Obywatel będzie skanować za pomocą aplikacji mObywatel ten kod QR i na ekranie jego telefonu wyświetlą się jego dane. Będzie to możliwe wyłącznie w dniu głosowania i tylko jeśli obywatel będzie posługiwać się najnowszą wersją aplikacji mObywatel. Informacja która pojawi się na ekranie wyborcy będzie zawierała charakterystyczne elementy znane członkom komisji wyborczej.
Oszukanie QR w mObywatelu
Problem leży głównie w tym miejscu:
Obywatel będzie skanować za pomocą aplikacji mObywatel ten kod QR i na ekranie jego telefonu(...)
Oznacza to, że komisja dostanie kartki lub szablony z kodami QR i weryfikacja będzie się odbywała na urządzeniu obywatela, a nie członków komisji. Sylwester Oracz, który jest ekspertem cyberbezpieczeństwa w Fundacji Odpowiedzialna Polityka, opublikował na swoim kanale na TikToku nagranie, w którym prezentuje działanie stworzonej przez siebie aplikacji, która jest w stanie oszukać skanowanie kodu QR.
Jak widać, jej działanie jest niezwykle proste i jej celem jest oszukanie komisji. I chociaż sam mObywatel nie zostaje tutaj naruszony, to nie ma takiej konieczności. Wystarczy tylko aplikacja, która wygląda tak samo i wyświetla to, co komisja powinna zobaczyć. Gdyby komisje miały możliwość weryfikowania na swoich urządzeniach, to problem by nie istniał.
