Ni certifikata? Ni panike

Naša državna uprava ponuja številne digitalne storitve, a za nekatere ve le malo ljudi. Pred mesecem dni sem po naključju izvedel, da poleg identifikacije z digitalnim potrdilom že dve leti obstaja tudi storitev smsPASS, kjer za digitalno poslovanje z državo zadostuje pametni telefon s telefonsko številko. V resnici je smsPASS le del širše storitve SI-PASS, ki je nekakšen državni upravljalnik digitalne identitete.

Pri prijavi v digitalne storitve državne uprave izberemo način preverjanja istovetnosti. Nekateri podpirajo tudi smsPASS

Kovačeva kobila je pogosto bosa in tudi to pot je bilo enako. Kolega mi je omenil, da je slišal za storitev smsPASS, ki naj bi obstajala poleg digitalnih potrdil Sigenca. Vzel si je pol ure in si na najbližji upravni enoti priskrbel storitev. Po isti poti je šel tudi pisec teh vrstic in ugotovil, da sploh ni treba vedno na upravno enoto.

Digitalna potrdila v Sloveniji uporabljamo že dve desetletji in jih kot fizična oseba danes lahko pridobimo na upravni enoti (SIGEN-CA), Pošti Slovenije (POŠTARCA), NLB (AC NLB) in Halcomu (Halcom CA). Ker je le prvo brezplačno, ni skoraj nobenega razloga, da bi uporabljali in plačali katero drugo, razen če vas kakšen ponudnik v to prisili (spletna banka NLB Klik je tak primer, saj deluje le z AC NLB). Z digitalnimi potrdili izkazujemo svojo istovetnost v digitalnem pravnem prometu, saj so zakonsko digitalni podpisi izenačeni z lastnoročnimi. Tako lahko z digitalnimi potrdili vstopamo v eDavke, eUpravo, eVEM, in še kam. Z digitalnim potrdilom lahko podpisujemo tudi katerekoli dokumente (PDF), elektronsko pošto itd.

In tako smo bili dolgo časa navajeni, da moramo pri vsakem ponudniku narediti svoj račun, ki ga povežemo z digitalnim potrdilom. Pomanjkljivost digitalnih potrdil je dejstvo, da jih moramo imeti pri sebi. Naložiti jih moramo na računalnik, kar je v resnici varno storiti le na domači (in morebiti še službeni) računalnik. Če smo kje drugje, dostopa nimamo. Alternativna možnost je shranjevanje digitalnih potrdil na pametne kartice ali pametne ključke (Algoritmi, ki varujejo svet, Monitor 02/16), ki pa si jih moramo kupiti posebej in še vedno nositi s seboj. Kaj pa, če bi želeli do, na primer, eDavkov dostopiti nenačrtovano?

SI-TRUST (Državni center za storitve zaupanja), ki deluje v okviru ministrstva za javno upravo (MJU) poleg izdajanj digitalnih potrdil (certifikatov) nudi tudi smsPASS. Ta je del storitve SI-PASS, ki jo nudi SI-TRUST. SI-PASS je enotni sistem za preverjanje istovetnosti uporabnika in e-podpisovanje na daljavo. Če se v SI-PASS uspešno prijavimo, bo SI-PASS informacijo o naši istovetnosti posredoval želeni storitvi. Tako ne potrebujemo posebnega računa in gesla za vsako storitev, ki jo nudi naša državna uprava. V SI-PASS je trenutno povezanih skoraj 40 storitev, med njimi eUprava, eDavki, eVŠ, eVEM, MFERAC, eJN, AJPES in številne druge (seznam na: https://www.si-trust.gov.si/sl/si-pass/seznam-e-storitev-prikljucenih-na-sistem-si-pass/).

Identifikator v SI-PASS je elektronski naslov, lahko pa jih seveda dodamo več in so vsi povezani v isti račun. Ko imamo vzpostavljeno digitalno identiteto v SI-PASS, se lahko prijavimo na različne načine: z digitalnim potrdilom, uporabniškim imenom in geslom, s smsPASS, z ArnesAAI, s Facebookovim, z Googlovim ali Microsoftovim računom. Seveda ne gre vse z vsakim načinom prijave. Vsaka storitev sama določa, kateri načini identifikacije v sklopu SI-PASS bodo podprti. Z digitalnimi potrdili gre praktično povsod, s smsPASS tudi zelo pogosto, ArnesAAI je že redkejši, Facebook, Google in Microsoft pa so bolj eksotika. Na tam mestu nas zanima smsPASS.

Ko imamo ustvarjen lastni profil SI-PASS, za kar potrebujemo je delujoč elektronski naslov (kasneje jih lahko dodamo več, denimo službenega, če je nanj registrirano naše službeno digitalno potrdilo), izberemo prijavo s smsPASS. Ker to počnemo prvič, nas bo sistem pozval, da ga vzpostavimo na enega izmed dveh načinov. Če posedujemo v SI-PASS povezano digitalno potrdilo, lahko smsPASS naročimo od doma, tako da zahtevek podpišemo z digitalnim potrdilom. Z navadno pošto domov čez nekaj dni dobimo 12-mestno geslo. Če digitalnega potrdila nimamo, moramo iti na upravno enoto aktivirat smsPASS (če smo že tam, si naročimo še digitalno potrdilo, čeprav ni nujno potrebno), da preverijo našo istovetnost, geslo pa dobimo po elektronski pošti.

V SI-PASS izberemo potrditev smsPASS, vnesemo 12-mestno geslo in svojo telefonsko številko, kamor prejmemo potrditveni sms z enkratno kodo. Ko potrdimo še to, je sistem pripravljen. Odtlej se lahko v SI-PASS, s tem pa tudi v vse storitve, ki podpirajo smsPASS, prijavimo brez digitalnega potrdila.

Ob prijavi s smsPASS, dobimo na telefon sms z enkratno kodo, s katero potrdimo svojo istovetnost.

In res, pri obisku strani eUprava lahko izberemo možnost smsPASS, se prijavimo z elektronskim naslovom in geslom (od SI-PASS). Sistem nam pošlje sms s kodo, ki jo vnesemo, nato nas spusti v eUpravo. Enako delujejo tudi eDavki in ostale storitve. Zadeva preprosto deluje. Nekatere storitve privzeto uporabljajo SI-PASS, kjer lahko izberemo med digitalnim potrdilom in sms (tak primer je eUprava), druge uporabljajo hibridni sistem. V eDavke lahko vstopimo neposredno z digitalnim potrdilom (istovetnost preveri Furs) ali pa prek smsPASS, ko podatek o istovetnosti pošlje SI-PASS. Hkrati SI-PASS omogoča digitalno podpisovanje na daljavo, kar pomeni, da, na primer, v eDavkih končno odpade mučno nameščanje lokalne podpisne komponente. Dokument se podpiše na strežniku. Še več, SI-PASS ima možnost naložitve kateregakoli PDF-dokumenta, nato nam ga vrne podpisanega.

V praksi to pomeni, da za dostop do digitalnih storitev državne uprave ne potrebujemo več digitalnega potrdila. O varnosti dostopa prek sporočil sms na tem mestu ne bomo razpravljali, čeprav je znano, da tak sistem ima pomanjkljivosti (ranljivosti v SS7, kraje kartic sms itd.). Tak sistem je sicer zelo praktičen, če se moramo prijaviti s tujega računalnika, ki mu ne zaupamo preveč. V tem primeru moramo vpisati le geslo, ki ga seveda lahko kasneje spremenimo, kodo pa dobimo prek sms. Mimogrede, uporaba smsPASS seveda ni vezana na osebni računalnik. Ker je tudi pametni telefon računalnik v malem, lahko do vseh teh storitev nenadoma dostopamo kar prek telefona, saj moramo vpisati le geslo, avtentikacija pa bo tako in tako izvedena s pošiljanjem sms – na ta isti telefon.

Na koncu ostaja samo še eno vprašanje. Zakaj državna uprava tega ne promovira bolj? Govoril sem z vsaj 20 ljudmi, ki jih štejem med digitalno bolje pismene, pa nihče ni vedel, da kaj takega sploh obstaja. Čeprav imamo smsPASS že od leta 2018. Zdaj veste.