Novelizace nařízení eIDAS prošla celým legislativním procesem, začínají běžet lhůty pro vydání prováděcích předpisů. Novela přináší do právního řádu Evropskou peněženku digitální identity (EU Digital Identity Wallet – EUDIW nebo EDIW).
Tento článek je zamyšlením, proč evropská peněženka může přinést revoluci v oblasti digitalizace. Úvahy v textu vycházejí z textu přijaté legislativy a z aktuální verze referenční architektury (ARF 1.3) a souvisejících standardů.
Text berte jako výčet možností, které evropská peněženka přináší a které si podle názoru autora málokdo uvědomuje. Evropská peněženka není jen „občanka a řidičák“ v mobilu.
Trocha historie
V červnu 2021 zveřejnila Evropská komise aktualizaci nařízení eIDAS. Text návrhu podrobně rozebral Jiří Peterka v několika článcích zde na Lupě (1, 2, 3, 4) zejména z hlediska právních definic. Zásadní novinkou návrhu je zásadní změna přístupu ke způsobu realizace elektronické identity a jejího používání.
Nově by podle návrhu měla být identita technicky řešena také formou tzv. Evropské peněženky elektronické identity (EU Digital Identity Wallet – EUDI Wallet). Kromě samotné elektronické identifikace by tento nástroj měl umožňovat ukládání a prezentaci tzv. elektronických potvrzení atributů. Třešničkou na dortu je pak funkce peněženky umožňující vytváření kvalifikovaného elektronického podpisu.
Komise ve formě doporučení předestřela ambiciózní plán, jak se k fungující celoevropsky interoperabilní peněžence identity dostat. Pracovní skupina eIDAS při evropské komisi měla do 30. 10. 2022 vypracovat tzv. Toolbox. Ukázalo se, že šlo o velmi ambiciózní plán.
Pracovní skupina koncem února 2023 v rámci výstupů 13. jednání skupiny vydala první finální výstup tzv. outline, který má za cíl prezentovat, jak experti chápou zadání, a konceptuálně popsat, jak bude výsledný toolbox stavěn. V polovině února 2024 po schválení finálního znění legislativy vydala expertní skupina další verzi architektonického frameworku ARF 1.3 a první verzi referenční implementace.
Hlavní přínosy peněženky
Je nezbytné přenést některé koncepty ze světa fyzického do světa digitálního. Papíry, razítka a ochranné prvky je potřeba nahradit něčím, co bude stejně univerzální, jednoduše pochopitelné a použitelné širokou veřejností a zároveň odolá v dostatečné míře nástrahám digitálního prostředí.
Přesně tento potenciál má EUDI Wallet. Ambiciózním cílem této aktivity je dát do rukou občanů EU nástroj pro vnesení důvěryhodnosti do elektronického a digitálního světa. Zkusím uvést několik příkladů ze současnosti, kde by bylo možné takovou identitní peněženku použít.
Co mají tyto příklady společného – dávají možnost volby do rukou zúčastněným stranám. Zúčastněnými jsou držitel peněženky, strana vydávající „doklad“ a strana spoléhající se na „doklad“. Dokladem rozumím potvrzení nějaké skutečnosti, vybavené právě takovou mírou zabezpečení, která umožní vhodně vybalancovat bezpečnost, soukromí a snadnost použití.
Předskokanem evropské peněženky je v ČR aplikace eDoklady, kterou si za měsíc stáhlo 286 tisíc lidí, a to i přesto, že aplikace v době vydání nebyla téměř nikde použitelná. Od dubna 2024 je možné prokazovat totožnost eDoklady policii a reálně tam nastala situace, kdy můžete řídit auto zcela bez jakékoli kartičky jen s mobilním telefonem s občankou v aplikaci eDoklady.
Užitná hodnota evropské peněženky pak bude výrazně vyšší. Na eDokladech je možné pěkně ukázat, jak bude evropská peněženka fungovat v režimu offline při kontrole mobil/mobil. Online užití evropské peněženky je možné přiblížit pomocí aplikace Mobilní klíč eGovernmentu, a to jak ve variantě „stejné zařízení (same device)“, tak ve variantě „jiné zařízení (cross device)“, což jsou scénáře popisované v ARF.
Proč považuji evropskou peněženku za revoluční v (nejen) digitálním světě
Zásadní funkcí EDIW není autentizace, i když je nezbytným předpokladem pro minimálně část dalších funkcí. Nosnou funkcí peněženky je možnost pomocí standardního rozhraní ukládat a prezentovat důvěryhodným a bezpečným způsobem atributy (strukturovaná strojově zpracovatelná data), a to prakticky každému, kdo o to projeví zájem, bez velkých iniciálních nákladů. Za zásadní považuji následující kombinaci prvků:
- Lidé podobné řešení do mobilu chtějí – dokládá to úspěch aplikace eDoklady.
- Protože lidé „občanku“ a „řidičák“ do mobilu chtějí, budou aplikaci instalovat, což zajistí spuštění síťového efektu.
- Provozovatelé nejrůznějších služeb se budou moci spolehnout na to, že jejich klient má v mobilu evropskou peněženku, podobně, jako dnes každý předpokládá, že klient má k dispozici webový prohlížeč, a nebudou se obávat na této technologii stavět. Paleta případů užití je prakticky neomezená.
- Nastavení pravidel evropské peněženky kombinuje vysokou bezpečnost nástroje (akreditovaná aplikace) se standardním rozhraním a důslednou otevřeností systému a svobody v jeho používání. Jediným, kdo rozhoduje o použití peněženky, jsou přímí účastníci (držitel, vydavatel a konzument atributu). Roli zprostředkovatele nástroje zastává stát a legislativa jeho roli omezuje na povinné vytvoření nástroje (peněženky) a zajištění provozu základní platformy se zachováním vysoké míry soukromí.
- Peněženka nenese žádné transakční náklady, jediným nákladem je napojení se na systém, tzn. registrace a implementace standardních rozhraní, kde oboje má být podle legislativy nízkoprahové.
- Peněženka je použitelná jak online, tak offline, a to jak na mobilu, tak v kombinaci mobilu s počítačem. Čtečkou údajů z peněženky může být např. „krabička“ postavená na bázi Raspberry Pi Zero W s připojenou NFC čtečkou v celkové ceně do 1000 Kč.
Přehled možných použití
V následujícím stručném seznamu se pokusím vyjmenovat případy, kdy jsem v poslední době registroval ve svém životě příležitosti pro využití evropské peněženky.
Daňové přiznání a související potvrzení
Podání přiznání k dani z příjmů fyzických osob
- Přihlášení do portálu Moje daně.
- Doložení příjmu – zaměstnavatel vydává elektronickou atestaci atributů, která obsahuje to, co dnešní potvrzení – identifikaci zaměstnavatele, identifikaci zaměstnance, rok, výši příjmu, výši zaplacených záloh a dalších několik čísel.
- Potvrzení partnera o neuplatnění odpočtů na dítě – zaměstnavatel vydává prostou atestaci obsahující identifikaci zaměstnavatele, identifikaci zaměstnance a informaci o tom, že neuplatnil odpočet.
- Potvrzení banky o výši úroků zaplacených na hypotéce – banka vydá atestaci s identifikací banky, identifikací smlouvy, identifikací klienta, identifikací nemovitosti (pro kontrolu oprávnění odpočtů) a částkou zaplacených úroků.
- Potvrzení o příspěvcích na penzijní připojištění – penzijní společnost vydá atestaci obsahující rok, identifikaci penzijní společnosti, identifikaci smlouvy, identifikaci pojištěného a výše příspěvků.
- Potvrzení o studiu – student ve studijním systému nastaví souhlas s vydáním potvrzení rodičovi. Rodič bude mít v peněžence atribut potvrzující vztah rodič/dítě. Rodič přejde na stránku školy a spustí proces vydání potvrzení. Přihlašuje se peněženkou a kromě jeho identity si studijní systém vyžádá také atribut dokládající vztah rodič/dítě. Po kontrole souladu ve studijním systému vydá atestaci potvrzení o studiu obsahující identifikaci studenta, identifikaci rodiče, identifikaci školy a rok, pro který je vydáváno.
- Kvalifikovaný podpis vytvořeného přiznání.
Prodej nemovitostí s využitím hypotéky
Hypotéka a zápis zástavního práva do katastru
- Hypoteční smlouvu banka i klient podepíší kvalifikovaným elektronickým podpisem. Za banku zaměstnanec pomocí své peněženky. Klient použije také svou peněženku.
- V internetovém bankovnictví vytvoří banka atestaci, která reprezentuje žádost o vklad zástavního práva a umožní ji uložit klientovi do peněženky. Atestace obsahuje identifikaci banky, identifikaci klienta, identifikaci hypoteční smlouvy, token pro stažení hypoteční smlouvy (např. ve formě atestace atributu použitelné katastrálním úřadem), identifikaci nemovitosti.
- Na stránkách katastrálního úřadu se klient autentizuje peněženkou a zvolí funkci podání žádosti o vklad. Aplikace vyzve k předání žádosti z peněženky a peněženka po odsouhlasení klientem žádost předá.
- Výsledný formulář vyplněný z atestace klient podepíše kvalifikovaným podpisem pomocí peněženky.
- Po vložení zástavního práva do katastru získá klient na portálu katastru potvrzení o vloženém zástavním právu ve formě atestace, která obsahuje údaje ze žádosti banky a potvrzení o vkladu.
- V internetovém bankovnictví klient předá atestaci potvrzující vklad zástavního práva z peněženky bance.
Hypotéka a vinkulace pojistného plnění úvěrující bance
- Obdobně jako v předchozím případě v internetovém bankovnictví banka vloží do peněženky žádost o vinkulaci pojistného obsahující identifikaci banky, identifikaci klienta, identifikaci nemovitosti, částku.
- Klient se přihlásí na portál pojišťovny a uzavře smlouvu o pojištění nemovitosti, kterou podepíše kvalifikovaným podpisem pomocí peněženky. Na portálu pojišťovny k uzavřené smlouvě vytvoří žádost o vinkulaci a portál si vyžádá předání atestace atributu žádosti o vinkulaci, kterou klient předá z peněženky.
- Pojišťovna vytvoří atestaci potvrzující existenci a parametry pojišťovací smlouvy včetně vinkulace ve prospěch úvěrující banky a uloží ji do peněženky klienta.
- Na portálu internetového bankovnictví předá klient pomocí peněženky atestaci s potvrzením vinkulace pojistného.
- Banka má podepsanou smlouvu, doklad o vložení zástavy do katastru a doklad o vinkulaci pojistného a existenci pojistné smlouvy. Na základě těchto údajů může uvolnit prostředky hypotéky.
Obdobným způsobem mohou být vydávána další potvrzení související s prodejem nemovitosti – složení peněz do advokátní/notářské/bankovní úschovy, doložení zápisu vlastnictví pro uvolnění peněz z úschovy apod.
Splacení hypotéky a výmaz zástavního práva
- Po splacení hypotéky v internetovém bankovnictví banka vydá atestaci s potvrzením splacení hypotéky a uvolnění zástavy a také pro zrušení vinkulace.
- Klient předá vybranou část atestace týkající se zástavy na stránkách portálu katastrálního úřadu (selective disclosure).
- Katastr jedná buď přímo na základě kvalifikované elektronické atestace atributů, nebo ji použije pro vyplnění formuláře následně podepsaného kvalifikovaným podpisem klienta vytvořeným pomocí peněženky.
Splacení hypotéky a zrušení vinkulace pojištění
- Se stejným potvrzením o splacení hypotéky klient na stránkách pojišťovny zažádá o zrušení vinkulace.
- Portál pojišťovny si vyžádá z potvrzení údaje týkající se vinkulace (selective disclosure).
- Pojišťovna zruší vinkulaci.
Lístky na velké koncerty
Všechny větší koncerty dnes prodávají lístky na jméno. Při nákupu musíte uvést jméno a příjmení u každého lístku. Při vstupu na koncert pak musíte předložit doklad totožnosti. Při použití peněženky bude možné buď využít stejného mechanizmu, nebo bude možné postup anonymizovat.
Neanonymní varianta
- Na portálu prodejce lístků se uživatel přihlásí peněženkou a předá následující informace – jméno, příjmení (není nezbytné) a identifikátor osoby ze své oficiální identity. Jméno a příjmení není nezbytné, identifikátor by měl pro daného ověřujícího zůstat neměnný bez ohledu na to, že se změní instalace peněženky.
- Portál vydá lístek ve formě dvou atestací, které si uživatel uloží do peněženky.
- Jeden je vázaný na jméno a příjmení (není nezbytné) a identifikátor – ten je možné použít při ztrátě nebo zničení mobilu a konkrétní instalace peněženky, kdy zmizí i všechny klíče vázané na zařízení, a tento lístek je možné obnovit při přechodu na jiné zařízení.
- Druhý lístek je svázán na peněženku.
- Pro zjednodušení následného ověření může vydavatel provést získání lístku s tím, že vyzve uživatele, aby si zapamatoval souhlas předání atestace tomuto příjemci.
- Při příchodu na koncert přiloží návštěvník mobil k turniketu.
- Pokud nepotvrdil zapamatování souhlasu, odsouhlasí předání jména a příjmení a lístek předá do turniketu.
- Pokud odsouhlasil předání údajů, již nemusí potvrzovat nic a údaje jsou předány automaticky.
Anonymní varianta
- Místo jména jsou lístky vázány na pseudonym. Poskytovatel pseudonymu (vydavatel peněženky) garantuje nemožnost přenesení pseudonymu na peněženku jiného držitele.
- Další postup je stejný, jen místo jména a příjmení je lístek vázán na pseudonym a pořadatel koncertu se žádné osobní údaje návštěvníka nedozví.
Ve všech uvedených případech jsou vydavatelé potvrzení/atestací registrováni v registru příslušném k agendě, kde příjemci potvrzení mohou získávat informace o důvěryhodnosti subjektů včetně klíčů pro ověřování podpisů atestací. Registrace podléhá pravidlům daného oboru, které rovněž definují syntaxi a sémantiku vydávaných potvrzení včetně způsobu ověřování. V rámci oboru by měla vzniknout shoda na jednotné syntaxi a sémantice vydávaných atestací.
Příjemci potvrzení/atestací (spoléhající strana) jsou registrování v jednotném registru spoléhajících stran používajících evropskou peněženku. Všechny atestace jsou digitálně podepsané podle pravidel vydávání atestací v daném oboru.
Jak bude vypadat vydání některého z výše uvedených potvrzení? Jako příklad může sloužit potvrzení o výši zaplacených úroků. V lednu mi přijde do e-mailu nebo jako notifikace v internetovém bankovnictví výzva k převzetí potvrzení. Přes odkaz nebo notifikaci přejdu do internetového bankovnictví, kde je zobrazeno tlačítko uložit potvrzení o výši zaplacených úroků do peněženky. Kliknu na tlačítko a vydání atestace do peněženky se pak liší podle scénáře.
Pokud pracuji na mobilu, kde mám peněženku, dojde k přesměrování do aplikace evropské peněženky, kde jsem dotázán, jestli si přeji uložit potvrzení o úrocích z hypotéky. Po kliknutí na ano se potvrzení uloží do peněženky. Pokud jsem na PC a peněženku mám na mobilu, zobrazí se v aplikaci QR kód s informací, ať ho načtu pomocí mobilního telefonu. Po načtení QR kódu se otevře v mobilu evropská peněženka, kde jsem dotázán, jestli si přeji uložit potvrzení o úrocích z hypotéky. Po kliknutí na ano se potvrzení uloží do peněženky.
Co nás naučil covid pas a jaký by mohl být s peněženkou
Nenáviděný, kopírovatelný, falšovaný. Ať už covid pasu přiřadíte jakýkoli přívlastek, je třeba připustit, že mohou nastat situace, kdy podobným způsobem potřebujeme doložit nějakou skutečnost potvrzenou pověřenou autoritou. Pro covid pas se muselo narychlo vymýšlet technické řešení, infrastruktura a samozřejmě nezbytné organizační procesy na pozadí.
S evropskou peněženkou by šlo pouze o další z celé řady možných potvrzení. Bylo by možné vybalancovat, zda má být chráněný před zkopírováním a nakolik má prozrazovat identitu jeho držitele, jakou technologií má být čten apod.
Nemusel bych se rozčilovat, že student za pultem McDonald's si chce číst QR kód covid pasu se spoustou osobních údajů na svůj soukromý mobil. Bez váhání bych mohl předložit potvrzení o očkování, které by zobrazilo jen potvrzení, protože není možno ho zkopírovat a další údaje nejsou třeba. Případně by bylo možné zobrazit fotografii z dokladu totožnosti pro ověření, že předkladatel je i držitelem.
Půjčovna automobilů – komplexní využití peněženky
Dosud uváděné příklady vycházejí z potřeb státu. Identitní peněženku však bude podle návrhu moci využívat libovolný subjekt. Každá organizace, a dokonce jednotlivec by se mohly stát vydavatelem elektronických dokladů (tzv. elektronických atestací atributu).
V případě půjčovny aut je možný následující scénář. Pomocí své peněženky se přihlásíte online do autopůjčovny, provedete rezervaci a platbu vozu. Na základě posouzení rizik vím autopůjčovna vystaví „elektronický lístek“ pro použití jejích vozů. Lístek je uložen v identitní peněžence, která s vysokou mírou důvěryhodnosti zaručuje, že lístek a auto nebude zkopírován. Jaké údaje si lístek ponese, je jen volbou půjčovny. Lístek bude pevně svázán s identitní peněženkou, která o sobě dokáže vydat důkaz, že je bezpečnou instancí peněženky. Dokáže prohlásit, že lístek je uložen právě v této peněžence, a dokonce dokáže při předkládání lístku doplnit informace o tom, zda držitel peněženky je také držitelem řidičského oprávnění potřebné skupiny. Nikde v celém řetězu vůbec nemusí figurovat konkrétní informace o identitě držitele.
Všechny tyto údaje dokáže identitní peněženka během vteřiny předat prostřednictvím NFC do čtečky v autě, samozřejmě po schválení držitelem peněženky a po provedení např. biometrické autentizace držitele peněženky (jako při platbě gpay/applepay nad 500 Kč). Auto i v offline režimu dostane informaci o tom, že držitel peněženky je oprávněn auto použít. Pokud se vše odehrává bez přístupu k internetu, musí se systém auta rozhodovat jen podle údajů v lístku, jehož součástí může být např. omezená časová platnost. Po napojení na síť pak může automobil přezkoumat předložený lístek a další údaje a přizpůsobit tomu rozsah poskytované služby.
Standardizovaný ekosystém umožní tvořit obdobné služby s minimálními náklady (s peněženkou může komunikovat třeba Raspberry Pi vybavené NFC/RFID čtečkou a standardním softwarem).
Držitel peněženky si může při vydávání souhlasu při předkládání lístku rozmyslet, zda je zařízení, se kterým jeho peněženka komunikuje, dostatečně důvěryhodné, aby mu předal vybrané údaje.
Autopůjčovna nemusí nezbytně znát skutečnou identitu držitele lístku, pokud splňuje předpoklady (má lístek třeba i předaný jiným člověkem, má řidičák). Pokud dojde k problému, je možné od vydavatele peněženky požadovat totožnost skutečného držitele peněženky. Do doby jejího předání je identita reprezentována jen veřejným klíčem, který je atestován důveryhodnou a řádně personalizovanou peněženkou.
Soukromí na prvním místě
Jako červená nit se legislativou a celým architektonickým návrhem vine snaha autorů zajistit budoucím uživatelům maximum soukromí při používání peněženky, a to jak pro autentizaci, tak pro předkládání ověřených atributů, tak při kontrole platnosti předloženého atributu. Při používání peněženky nesmí být vydavatel identity nebo osvědčení o atributu kontaktován při používání jím vydaných údajů, a to ani při kontrole, zda nebyl vydaný atribut odvolán.
Důraz na širokou použitelnost
Peněženka je koncipována tak, že se jedná o nástroj, který je plně v rukou vlastníka peněženky. S peněženkou mohou standardizovaným protokolem interagovat jak tzv. kvalifikovaní poskytovatelé služeb, tak nekvalifikovaní poskytovatelé služeb. Peněženku je možné bez kontroly vydavatele identity či atributů používat vůči libovolnému subjektu, který splní technické požadavky.
Tento požadavek nové verze eIDAS, který je v dokumentu ARF důsledně aplikován, je v přímém kontrastu s tím, jak je dnes elektronická identita řešena ať už českým státem (NIA), nebo soukromými subjekty (bankovní identita). Současné řešení tzv. nepřímé autentizace (využití prostředníka pomocí federalizačních protokolů) vyžaduje, aby při každém použití elektronické identity proběhla trojstranná interakce držitel – poskytovatel identity – konzument identity. Tento model má jedinou výhodu – není třeba řešit odvolání identity nebo atributů, protože se jedná o online interakci. Nevýhody (pro držitele a uživatele elektronické identity) však převažují – ztráta soukromí, nutnost být online a nesvoboda možnosti použít identitu, kdy nerozhoduje její subjekt/držitel, ale poskytovatel autentizační služby.
Každý stát EU bude muset svým občanům dát k dispozici peněženku elektronické identity a pro budoucí rozšíření je zásadní zejména možnost univerzálního použití, o kterém nerozhoduje ani vláda a ani parlament, ale sami držitelé identity a konzumenti identity. Otevírá se tak široké pole pro inovace zejména v oblasti služeb s vyšší přidanou hodnotou, protože už nebude nutné řešit, jak autentizovat osobu, jak určit, že je někdo oprávněn čerpat službu. Začlenit elektronickou identitu do libovolného systému již nebude vyžadovat opakované poplatky bankovní identitě. Stejně jako v případě fyzického občanského průkazu bude možné svobodně užívat i elektronickou identitu.
Důraz na bezpečnost
Bezpečnost řešení evropské peněženky je rozsáhlé téma, kterému bych se chtěl věnovat v některém z příštích článků. Zde se omezím pouze na stručný výčet.
- Vzájemná autentizace všech účastníků.
- Držitel peněženky má identitu garantovanou státem na úrovni vysoká, ale nemusí ji použít, vystačí s pseudonymem. Prokazování je prováděno s využitím asymetrické kryptografie (minimalizace možnosti krádeže identity).
- Vydavatel atributu – musí být autentizován s využitím asymetrické kryptografie např. kvalifikovaným certifikátem pro elektronickou pečeť.
- Spoléhající strana (konzument atributu) – musí být autentizován na bázi asymetrické kryptografie např. kvalifikovaným certifikátem pro elektronickou pečeť.
- Bezpečná mobilní aplikace peněženky, která projde akreditací a hodnocením bezpečnosti a toto hodnocení musí být průběžně obnovováno.
- Bezpečnostně citlivé části aplikace musí být publikovány ve formě zdrojového kódu.
- Součástí akreditace je i zhodnocení procesů, pomocí kterých aplikace naplňuje požadavky legislativy na bezpečnost, ochranu soukromí a interoperabilitu.
- Bezpečné hardwarové úložiště kryptografických klíčů s funkcí tzv. atestace původu klíče, která je zásadní pro důvěryhodnost, když je potřebné zajistit nemožnost kopírování klíčů jako opatření proti nekalému jednání držitele klíče postaveném na záměrném vytvoření kopie privátního klíče (kopie dokladu).
- Součástí ARF a souvisejících standardů jsou doporučení pro bezpečné provozování komponent ekosystému evropské peněženky.
V příštím článku provážeme zde popisované případy použití peněženky na konkrétní technické řešení.
Chci odebírat newsletter
