Руководитель службы научно-технической экспертизы Партии прямой демократии Олег Артамонов: Систему QR-кодов сравнительно легко взломать
Общий механизм работы приложения, разработанного мэрией Москвы для контроля перемещения граждан, предполагался достаточно простой: пользователь отправляет запрос на сайт мэрии и получает на свое устройство QR-код на определенную поездку.
Полученный QR-код содержит в себе данные с указанием места жительства, цели поездки и места назначения. Любой патруль может по этому коду посмотреть детали поездки и сверить их с фактическим местонахождением пользователя. Для контроля передвижения приложение будет передавать данные о геолокации человека. О том, как приложение работает на самом деле, судить трудно: первая версия ПО была спешно удалена мэрией из публичного доступа, и теперь оно распространяется только вместе со смартфонами, которые мэрия выдает заразившимся.
На сегодняшний день в Москве приложением «Социальный мониторинг» обязаны пользоваться только те, кто заразился коронавирусом или контактировал с таким человеком. В этой ситуации такой способ контроля совершенно неэффективен. Телефон нужно всегда держать при себе и периодически проходить специальную проверку — по запросу фотографироваться и отсылать фото в Департамент информационных технологий. Но человек может просто оставить смартфон дома и пойти прогуляться, а потом сказать, что спал, был в душе, на кухне, в наушниках — в общем, не видел и не слышал. Патрулю, даже если он остановит такого человека на улице, проверять у него нечего, ведь патруль не знает заранее, должен у него быть с собой смартфон с кодом или нет. На весь день так покинуть дом или квартиру не получится, но на час-два — вполне.
Ситуация, когда разрешения на выход из дома будут обязаны получать все жители Москвы, иная: тогда патруль может попросить показать код любого встречного, и просто оставить смартфон с ним дома не получится. Проблема в том, что не у всех есть смартфоны, а тем более смартфоны на Android — для пользователей iOS приложение пока не доступно. Да, QR-код можно получить с помощью домашнего компьютера и носить с собой в распечатанном виде, но как быть человеку, у которого нет принтера?
Кроме того, если хотя бы четверть населения Москвы — а по информации мэрии, даже сейчас на работу продолжают ездить около 3 миллионов человек — дружно начнет регистрироваться и получать заявки на каждый выход из дома, система с высокой вероятностью просто не выдержит нагрузки, и поначалу мы рискуем увидеть череду сбоев, при которых система может быть недоступна по часу и больше.
QR-коды далеко не единственный способ цифрового контроля за перемещениями граждан. Например, в Греции и на Кипре с той же целью используются обычные числовые коды — они значительно удобнее, так как не требуют наличия смартфона и установки нового приложения. Числовой код получают по SMS и проверяют, вводя вручную или позвонив оператору в колл-центр. Таким образом, патрулю не обязательно иметь планшет с приложением, а пользователям — смартфон.
Также можно применить китайский опыт, когда установленное на смартфон приложение выступает средством двусторонней связи. Китайская версия позволяет не только отслеживать перемещения граждан, но и предупреждает их о том, что, к примеру, вчера они находились в одном помещении с COVID-положительным человеком и им тоже нужно провериться. Подобное приложение позволяет узнать новости об изменении режима работы магазинов и аптек, вводе новых ограничений или отмене старых, а при необходимости через него можно быстро связаться с врачом и получить помощь. Такая система мотивирует граждан добровольно и сознательно устанавливать приложение и пользоваться QR-кодами. Поэтому Партия прямой демократии сейчас работает над формированием концепции подобного приложения.
Не стоит забывать и о том, что систему QR-кодов сравнительно легко взломать. В условиях быстрой сборки качество системы безопасности, как правило, является низким. К примеру, Нижний Новгород запустил сайт для получения разрешений на выход из дома — даже для прогулки с собакой. Один из членов нашей партии, в реальности живущий в Москве, без малейших проблем получил на этом сайте разрешение на имя Сергея Семеновича Собянина на выгул домашнего крокодила на территории местного СИЗО. Система приняла все введенные им данные и выдала разрешение.
В Казани разрешение на прогулки приходит в формате обычного SMS-сообщения. Граждане уже догадались записать собственный номер телефона как сервиса отправки этих сообщений, после чего стали сами себе отправлять любые разрешения. Соответственно, мы видим, что такие системы даже не надо ломать. Судя по «домашнему крокодилу», авторы спешно запускаемых сейчас систем не успевают учесть даже возможность простейших сторонних манипуляций, так что говорить о взломе приложения попросту рано — эти системы изначально работают некорректно.
Выпустить приложение, которое будет полезно, удобно и при этом не подвержено по крайней мере типовым методам взлома, можно и нужно. Более того, есть индустрия, которая такие приложения выпускает. Это приложения контроля мерчендайзеров, курьеров, полевых сотрудников в соцопросах и так далее. Конечно, у приложения для контроля граждан в режиме карантина есть своя специфика, как минимум в соблюдении гражданских прав контролируемых, но ничего технически невозможного здесь нет.
Подготовила Ксения Праведная