Στο gov.gr δεν υπάρχει κανένα απολύτως κενό ασφαλείας, ξεκαθαρίζει σε όλους τους τόνους το υπουργείο Ψηφιακής Διακυβέρνησης, χαρακτηρίζοντας ανυπόστατο τον σχετικό ισχυρισμό για την ψηφιακή υπηρεσία Υπεύθυνης Δήλωσης, τον οποίο προβάλλει σε πρωτοσέλιδο δημοσίευμά της η «Εφημερίδα των Συντακτών».
«Η ψηφιακή μετάβαση της χώρας είναι μια κατάκτηση όλων των Ελλήνων. Και επειδή αφορά στον πυρήνα των προοπτικών της χώρας, δεν επιβραδύνεται, δεν υπονομεύεται, δεν σταματά. Είναι ευθύνη όλων μας», είναι το μήνυμα που στέλνει ο υπουργός Ψηφιακής Διακυβέρνησης Κυριάκος Πιερρακάκης με αφορμή το δημοσίευμα (δείτε το πρωτοσέλιδο κάτω).
Με αφορμή όσα αναφέρει η «Εφ. Συν.» σχετικά με την ασφάλεια των προσωπικών δεδομένων των πολιτών (δείτε πιο κάτω), το υπουργείο σημειώνει ότι βρίσκεται σε διαρκή συνεργασία με την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, αλλά και με όλες τις αρμόδιες Αρχές και Υπηρεσίες, τηρώντας πάντα όλα τα κατάλληλα τεχνικά μέτρα ασφαλείας και έχοντας ως πρωταρχικό σκοπό τόσο τη βελτίωση της καθημερινότητας των πολιτών όσο και την προστασία των προσωπικών δεδομένων τους.
Ο ισχυρισμός ότι υπάρχει «κενό ασφαλείας» είναι ανυπόστατος, τονίζεται, και ακολούθως διευκρινίζεται ότι στην ψηφιακή υπηρεσία της Υπεύθυνης Δήλωσης, με τη δημιουργία κάθε νέου εγγράφου γεννιέται και ένας μοναδικός κωδικός για το συγκεκριμένο έγγραφο, με τον οποίο εκείνος στον οποίο απευθύνεται το έγγραφο μπορεί να το αναζητήσει.
O μοναδικός κωδικός, όπως και τα άλλα προσωπικά στοιχεία της δήλωσης, είναι γνωστά μόνο στον ιδιοκτήτη-αποστολέα της δήλωσης και στον παραλήπτη, οι οποίοι έχουν και την ευθύνη διασφάλισής τους, ακριβώς όπως συμβαίνει και στην έντυπη δήλωση.
Στην πράξη, υπογραμμίζεται, η νέα ψηφιακή υπηρεσία της υπεύθυνης δήλωσης συνιστά όχι απλώς διευκόλυνση του πολίτη, αλλά και αναβάθμιση της αξιοπιστίας των δημοσίων εγγράφων, αφού ανά πάσα στιγμή η γνησιότητα του ψηφιακού εγγράφου είναι επαληθεύσιμη από τον παραλήπτη του.
Στο πρωτοσέλιδο δημοσίευμά της, η «Εφημερίδα των Συντακτών» κάνει λόγο για «σοβαρό κενό ασφαλείας» στο gov.gr, το οποίο, σύμφωνα με τον συντάκτη, αφήνει εκτεθειμένα προσωπικά δεδομένα των χρηστών της πλατφόρμας.
Συγκεκριμένα, όπως υποστηρίζει η «Εφ. Συν», το πρόβλημα ανακαλύφθηκε με απλή αναζήτηση στο Google ή σε φωτογραφίες (ή ακόμη και τυχαία) εντοπίζοντας κωδικούς URL που εμφανίζουν υπεύθυνες δηλώσεις πολιτών (μέσω της πλατφόρμας dilosi.services.gov.gr) άσχετων με αυτόν που κάνει την αναζήτηση ή στοιχεία από άλλα επίσημα έγγραφα (π.χ. βεβαίωση εμβολιασμού κ.ά.), με πολλά προσωπικά στοιχεία όπως αριθμό ταυτότητας, ΑΜΚΑ, ΑΦΜ, στοιχεία επικοινωνίας, εμπορικές πράξεις κ.λπ.
Σύμφωνα πάντα με την εφημερίδα, το σύστημα είναι «διάτρητο» λόγω και της μη κρυπτογραφημένης τεχνικής λύσης που επελέγη για την αποστολή δεδομένων (πρωτόκολλο GET) τα οποία είναι… φανερά από όλους τους σέρβερ που περνούν μια επικοινωνία προς το gov.gr, στα αρχεία καταγραφής (LOG Files) ή στις προσωρινές μνήμες και τελικά εύκολα ανακτήσιμα από σχεδόν οποιονδήποτε έχει τις τεχνικές γνώσεις.
Σε δηλώσεις του στον ΑΝΤ1, ο υφυπουργός Ψηφιακής Διακυβέρνησης, Γιώργος Γεωργαντάς, ξεκαθάρισε πως «είναι αναληθέστατο ό,τι περιλαμβάνεται στο ρεπορτάζ» της εφημερίδας.
«Πραγματικά», τόνισε, «μου προξενεί εντύπωση ο ανεύθυνος τρόπος με τον οποίον παρουσιάζεται το συγκεκριμένο θέμα στο ρεπορτάζ» και εξήγησε αναφορικά με την προστασία των προσωπικών δεδομένων των χρηστών:
«Κάθε έγγραφο γεννά έναν κωδικό. Αυτό σημαίνει ότι μόνο ο παραλήπτης αυτού του εγγράφου ξέρει τον κωδικό. Τίποτα δεν είναι προσβάσιμο σε οποιονδήποτε άλλον. Μόνο σε αυτόν που αφορά. Είναι όλα σύμφωνα με την ελληνική και την ευρωπαϊκή νομοθεσία και πάντοτε σε συμφωνία με τις αρμόδιες Αρχές».
Προς απάντηση στο δημοσίευμα της «Εφ.Συν.», το υπουργείο έδωσε επίσης τις ακόλουθες αναλυτικές τεχνικές πληροφορίες:
Τα έγγραφα με φυσική υπογραφή και σφραγίδα επαληθεύονται μέσω της οπτικής παρατήρησης, κάτι που αυξανόμενα δεν κρίνεται επαρκές. Το ψηφιακό έγγραφο της Υπεύθυνης Δήλωσης που εκδίδεται από το gov.gr διαθέτει ψηφιακή σφραγίδα του Ελληνικού Δημοσίου και 22ψηφιο κωδικό επαλήθευσης. Ο έλεγχος της γνησιότητάς του μπορεί να γίνει με δύο τρόπους:
α) τον αμιγώς ψηφιακό, όταν το έγγραφο διακινείται ψηφιακά και το ανοίγει ο παραλήπτης του μέσα σε έναν υπολογιστή, όπου εκεί αυτόματα το έγγραφο επαληθεύεται ως προς τη γνησιότητά του μέσω της ψηφιακής σφραγίδας.
β) και τον μερικώς αναλογικό, όταν ο πολίτης προσκομίζει το ψηφιακά παραγόμενο έγγραφο σε εκτυπωμένη μορφή. Σε αυτήν την περίπτωση, η επαλήθευση της γνησιότητας του εγγράφου γίνεται με τον κωδικό επαλήθευσης 22 χαρακτήρων, ο οποίος αναγράφεται στο έγγραφο, είναι μοναδικός, και απευθύνεται στον παραλήπτη του εγγράφου, προκειμένου αυτός να επαληθεύσει την γνησιότητα του, αποκλείοντας περιπτώσεις πλαστογράφησης. Ο παραλήπτης του εγγράφου εισάγει στο gov.gr τον 22ψηφιο κωδικό ή σαρώνει τον κωδικό QR και επαληθεύει τη γνησιότητα του εγγράφου.
Η διαδικασία αυτή διασφαλίζει τα δεδομένα του πολίτη και φυσικά δεν τα εκθέτει. Αντιθέτως, δημιουργεί έναν κύκλο εμπιστοσύνης που συνιστά βέλτιστη πρακτική και αποκλείει περιπτώσεις πλαστογραφίας, οι οποίες τόσο συχνά έχουν ταλαιπωρήσει τους έλληνες πολίτες στο παρελθόν στις δικαστικές αίθουσες.
Ο μοναδικός κωδικός κάθε εγγράφου με τα χαρακτηριστικά ασφαλείας του gov.gr αποτελείται από 22 χαρακτήρες που προκύπτουν με την κωδικοποίηση base64 (διαφορετικοί χαρακτήρες Α-Ζ, a-z, 0-9) ενός μη ανιχνεύσιμου αριθμού μήκους 128 bits (2128 διαφορετικοί αριθμοί).
Η μη ανιχνευσιμότητα προκύπτει από την ενσωμάτωση εντροπίας από τους εξυπηρετητές του gov.gr στη γεννήτρια τυχαίων αριθμών /dev/urandom του λειτουργικού συστήματος Linux, κατάλληλη για κρυπτογραφική χρήση.
Μη ανιχνεύσιμος αριθμός 128 bits σημαίνει ότι εάν κάποιος προσπαθήσει να μαντέψει (brute force attack) τον κωδικό ενός εγγράφου με ρυθμό 12.000 προσπαθειών ανά δευτερόλεπτο (ο μέγιστος ρυθμός εξυπηρέτησης για την εν λόγω υπηρεσία), τότε για να πετύχει με πιθανότητα 0,1% ένα κωδικό εγγράφου θα πρέπει να προσπαθεί για 4 εκατομμύρια φορές τη χρονική διάρκεια του γνωστού σύμπαντος (δεκάδες εκατομμύρια δισεκατομμύρια έτη). Ουσιαστικά λειτουργεί ως ένα πολύ ασφαλές και μεγάλο σε μέγεθος password που το ξέρει μόνο ο ιδιοκτήτης του εγγράφου και ο νόμιμος παραλήπτης του. Δεν δημοσιεύεται, ούτε υπάρχει αλλού, παρά μόνο στον παραλήπτη που το χειρίζεται ως προσωπικό έγγραφο. Ταυτόχρονα, εάν κάποιος χρήστης επιχειρεί επιθέσεις, υπάρχουν πολλαπλά επίπεδα μέτρων στις υποδομές της ΕΔΥΤΕ ώστε να απομονωθούν οι προσπάθειές του, είτε προέρχονται από συγκεκριμένο σημείο είτε είναι κατανεμημένες (DDoS attack).