Confidențialitatea datelor strânse la Recensământul 2022 este 100% securizată, afirma recent, într-un interviu pentru Europa Liberă, șeful INS, Tudorel Andrei.
„Din momentul în care ați finalizat chestionarul (de auto-recenzare online), datele sunt criptate și nu mai există nicio legătură între CNP - care se criptează într-un cod statistic care nu mai are nicio legătură cu acesta - și datele introduse”, a spus acesta.
În fapt, INS ar folosi pentru anonimizarea CNP-urilor - colectate fie în prealabil de la alte instituții, fie direct prin intermediul portalului de auto-recenzare - o funcție de dispersie criptografică de tip CNPToSHA1 și nu una de criptare propriu-zisă, arată Eduard Șuică, programator și specialist în criptografie. Diferența face ca sistemul să fie vulnerabil în privința protejării datelor cu caracter personal introduse.
„Felul în care este folosită această funcție este unul neconform, făcând CNP-ul foarte ușor de extras în timp rezonabil. Peste această funcție ar fi trebuit construit, cu instrumente suplimentare, pentru a oferi o protecție eficientă a datelor. A fost parcurs un singur pas din trei”, ne-a declarat specialistul.
În condițiile în care INS a colectat deja diverse date personale și de la alte instituții - informații care apar de altfel pre-setate în momentul auto-recenzării online - criptarea de această manieră a datelor le face chiar mai vulnerabile decât transferul CNP-urilor ca atare în serverele de stocare.
„Raportarea CNP-urilor în clar ar duce la tratarea datelor ca vulnerabile iar instituțiile implicate ar putea lua măsurile necesare. Tratarea lor ca date 'criptate', va implica un nivel scăzut de securitate din partea părților implicate, aici”, a arătat Eduard Șuică.
Funcția de dispersie criptografică utilizată de INS atribuie o funcție numerică fiecărui CNP. Ținând cont de formatul CNP-urilor românești, din care primele șapte cifre au un număr limitat de opțiuni (pentru sex este disponibilă cifra 1 sau 2, pentru luna din an de la 1 la 12), pot fi generate maxim 3,5 miliarde de variante de CNP-uri.
„O mapare a tuturor CNP-urilor la valorile lor SHA1 devine o problemă trivială ce nu necesită mai mult de 3-4 ore calcul pe o stație de lucru obișnuită”, a spus el.
„Funcția folosită de INS nu protejează datele!”
Criptarea necorespunzătoare a datelor devine cu atât mai delicată cu cât INS colectează, pe lângă datele solicitate în chestionarul de Recensământ și alt gen de informații personale de la alte instituții ale statului - fapt confirmat de altfel de șeful INS.
O instituție de la care sunt strânse astfel de informații este ANCOM, autoritatea responsabilă de reglementarea pieței comunicațiilor din România.
„Raportul ANCOM vizează informații legate de persoanele ce locuiesc in punctele de utilizare de internet/TV/telefonie. INS colectează date precum sexul, data nașterii, CNP-ul, adresele la care se utilizează, cantitatea de trafic de internet si numărul de minute vorbite la telefon. Sunt date fără o valoare utilă în cadrul recensământului”, a explicat specialistul.
Solicitarea unor date personale face și mai ușoară misiunea celor care ar dori să decripteze bazele de date.
„Având în vedere ca INS solicită în rapoarte inclusiv sexul si data nașterii, problema se simplifică si mai mult, rezultând aproximativ 48.000 de variante posibile, adică mai puțin de o zecime de secundă pentru identificarea CNP-ului prin forța brută”, a adăugat el.
„Funcția propusa de INS nu oferă niciun fel de protectie a datelor”, iar extragerea facilă a CNP-ului - de către funcționari, sau de către terți, folosind un calculator virusat al unui funcționar, de pildă - pune INS în situația de a avea o „radiografie” a comportamentului unui individ, de la consumul de date si restul datelor stocate de alte instituții publice.
Aceasta poate periclita protecția vieții private, a concluzionat Eduard Șuică.
„Soluție care nu mai este folosită”
Funcția Sha-1, utilizată de INS pentru criptarea datelor colectate de la instituții, dar și de la populație, este considerată „spartă” din 2005 și nu mai e folosită în mod uzual de cinci ani, eplică pentru Europa Liberă și Andrei Ghiceac, Cheif Security Lead în cadrul unei companii globale.
Singura variantă utilizabilă este în combinație cu HMAC (hash message authentication code) nu pentru date sensibile, a subliniat el.
„Pe lângă criptare, mai e o problemă legată și de modul în care stochezi acele date, pentru că problema apare în momentul în care cineva ia acces la baza de date, cu CNP-uri și începe să scoată valori. Ideea e să ai o strategie de cyber-security încât să nu se ajungă acolo, iar dacă se ajunge să ai soluții defensive cât mai performante, care să limiteze probleme cât mai mult”, a explicat specialistul.
El a mai spus că problema securizării deficitară datelor este una general valabilă în majoritatea agențiilor guvernamentale. „Nu există o strategie coerentă, dar pe de altă parte nu au cu cine să o facă, nu au oamenii necesari, câtă vreme în IT salariile din instituțiile de stat nu pot rivaliza cu cele din privat”, a mai spus Andrei Ghiceac.
El are rezerve serioase legate și de crearea cloud-ului guvernamental - proiect prevăzut în PNRR și finanțat cu aproximativ 500 de milioane de euro.
„Vor folosi soluții comerciale și nu soluții open-source, folosite deja de NASA, de CERN. Inițiativa este extrem de utilă, dar contează cum e făcută, ce folosești când faci acel cloud, pentru că în sine nu e mare lucru: ai mai multe servere, calculatoare fizice pe care le 'legi' între ele încât să își pună resursele la comun”, a explicat specialistul.
El a mai spus că majoritatea instituțiilor publice au propriile server-uri pentru site-uri și mail-urile de serviciu și când au date mai sensibile le mută în rețeaua STS. „Aceea e însă o rețea ca oricare altă rețea, nu e nimic special”.
Pentru protecția în fața amenințărilor cibernetice la adresa instituțiilor ar fi necesară înființarea unei instituții de cyber-security de sine stătătoare, după modelul altor țări, a mai spus Andrei Ghiceac.
El a arătat că o strategie în aceste domeniu este cu atât mai necesară, cu cât războiul cibernetic devine un termen tot mai actual, cu atât mai mult în contextul războiului din Ucraina.
INS: Vom analiza aspectele tehnice semnalate
Reprezentanții INS au transmis Europei Libere că vor comunica un punct de vedere cu privire la modul de criptare a datelor colectate pentru Recensământul 2022 în perioada următoare.
În interviul acordat recent Europei Libere, șeful instituției, Tudorel Andrei, a dat asigurări că INS nu publică niciodată date la nivel individual și că acestea nu sunt transmise către alte instituții.
„Nu cred că este vreo persoană care poate să reclame că în urma recensămintelor de până acum, începând din 1992 încoace, a avut de suferit ca urmare a completării chestionarelor de recensământ. În statistică, datele nu sunt oferite niciodată altor instituții, pentru probleme legate de Fisc, Justiție și așa mai departe”, a spus atunci Tudorel Andrei.
