Jak wygląda praca nad Europejskim Portfelem Tożsamości Cyfrowej?

Parę dni temu wróciliście z kolejnego już spotkania w ramach pilotażu Potential, międzynarodowego projektu na dużą skalę, którego celem jest przetestowanie rozwiązań dla planowanych przypadków użycia Europejskiego Portfela Tożsamości Cyfrowej. Tym razem testy odbyły się w Wilnie. Jak Wasze wrażenia?

 

Arkadiusz Janicki:

– Bardzo pozytywne, udało nam się przetestować z przedstawicielami różnych krajów wszystko, co było zaplanowane. Wszystkie testy zakończyły się sukcesem, więc każdy z nas wrócił z poczuciem dobrze wykonanej roboty.

 

Paweł Banasiak:

–  Ponieważ dobrze nam szło w zakresie testów, które mieliśmy zaplanowane, podczas spotkania w Wilnie dodatkowo udało nam się ponadprogramowo wspomóc naszego partnera – przedstawiciela szóstego przypadku użycia, czyli e-recept i wgrać do naszego portfela ich poświadczenie. Na uwagę zasługuje fakt, że wśród wszystkich krajów w tabeli sukcesu testów zajęliśmy najwyższe miejsce.

 

Tomasz Sikorski:

–  Spotkanie Vilnius Interop Event było już kolejnym etapem testów transgranicznych, w których mieliśmy przyjemność brać udział. W Wilnie wachlarz testowanych rozwiązań, w porównaniu do poprzednich testów w Warszawie czy w Holandii, nieco się rozszerzył. Byli przedstawiciele trzeciego przypadku użycia, czyli rejestracji karty SIM, piątego – kwalifikowanego podpisu osobistego i szóstego przypadku użycia, czyli e-recept. Testowanie planowanych rozwiązań dla Europejskiego Portfela Tożsamości Cyfrowej to proces, dlatego w miarę upływu czasu wszyscy dostawcy w poszczególnych krajach rozwijają swoje rozwiązania, w związku z tym z każdym spotkaniem dochodzą nowe funkcje, które także i tym razem mieliśmy okazję testować w Wilnie.

 

Jakie?

 

Tomasz Sikorski:

–  Testowaliśmy między innymi funkcję multipoświadczenia, dzięki której możemy w trakcie jednej transakcji udostępniania danych przekazać dane kilku weryfikowalnych poświadczeń (dokumentów), mechanizm wymagalności i opcjonalności poszczególnych atrybutów w ramach udostępnianych poświadczeń czy nowy język zapytań w ramach standardu OpenID4VP. Dodatkowo testowaliśmy scenariusz uwierzytelnia poświadczeniem PID w trzecim przypadku użycia oraz byliśmy wsparciem w szóstym przypadku użycia, czyli realizacji e-recepty za pomocą poświadczenia HealthID.

 

Każdy zespół ma podczas testów swoją przypisaną rolę.

 

Tomasz Sikorski:

–  Tak, każdy z podmiotów, który bierze udział w testach, ma przypisaną osobną rolę. My reprezentowaliśmy dostawcę portfela tożsamości cyfrowe oraz weryfikowalnych poświadczeń i naszym zadaniem było zintegrować się ze stroną ufającą, wykonać konkretny test. W praktyce to wygląda tak, że jest jakiś podmiot z kraju członkowskiego UE, który chce, abyśmy za pomocą naszej aplikacji, naszego rozwiązania, dokonali uwierzytelnienia, potwierdzenia naszej tożsamości czy uprawnień. Wtedy właśnie następuje test, czyli próba integracji z tym zewnętrznym podmiotem. Oczywiście w trakcie testów liczymy na sukces, ale warto podkreślić, że porażki czy błędy, które się pojawiają, również są bardzo istotne, bo właśnie dzięki nim jesteśmy w stanie poprawić nasze rozwiązania. Dzięki temu, że mamy na miejscu developerów, jesteśmy w stanie reagować od razu i wdrażać poprawki już podczas testów.

 

Paweł Banasiak:

– Takich sytuacji jest podczas testów sporo. Specyfikacje, na podstawie których piszemy kod, dają bardzo wiele ścieżek. W Polsce testujemy określone, a teraz w Wilnie, kiedy spotkaliśmy się z przedstawicielami stron ufających, pojawiły się scenariusze, w których musieliśmy szybko reagować i wprowadzać konkretne poprawki, jak na przykład w przypadku, kiedy dany kraj używał algorytmu, którego nie wspieraliśmy, więc konieczne było dostosowanie w naszej implementacji umożliwiające wybór algorytmów, które chcemy wspierać. To jest właśnie wyzwanie i jednocześnie możliwość, jakie przynoszą takie spotkania, jak to ostatnie w Wilnie, że możemy od razu reagować i odpowiadać na problemy, których nie widać w samej dokumentacji, a które pojawiają się właśnie podczas testów i pracy nad interoperacyjnością systemu.

 

Bo w trakcie testów i szukania najlepszych rozwiązań pracujecie zgodnie z dokumentacją standaryzacyjną.

 

Tomek Sikorski:

– Dokumentacja standaryzacyjna funkcjonuje obecnie w wersjach draftowych. Na przestrzeni ostatnich miesięcy podlegała ona częstym i wielokrotnym zmianom. Jesteśmy coraz bliżej terminu, kiedy musimy wejść ze swoim rozwiązaniem na produkcję, czyli końcówki listopada 2026, więc ta dokumentacja to tak naprawdę żywy rozwijający się organizm. Dodatkowo mnogość opcji, o których wspomniał Paweł i wspieranie dużej liczby wariantów w krótkim czasie powoduje, że musimy wybierać, które rozwiązania wspieramy. Dlatego pojawiały się przypadki, kiedy jakiejś opcji nie wspieraliśmy tak, jak w podanym przez Pawła przykładzie algorytmów szyfrujących. To powoduje, że jeżeli dążymy do sukcesu w integracji, któraś ze stron musi podczas testów wdrożyć poprawkę lub dodać taką opcję w swoim portfelu – jak w naszym przypadku, bądź w swojej implementacji – jeśli dotyczy to strony ufającej.

 

Komisja Europejska utworzyła osobny zespół, którego celem jest uzyskanie jak najlepszego wskaźnika interoperacyjności.

 

Mateusz Siepietowski:

– Zespół ten pracuje nad profilami, które mają nam ułatwić tą integrację i ustalić standardy. Dzięki temu, że profil zawęża nam dokumentację standaryzacyjną, możemy wypracować jakieś ścieżki, które będą możliwe do zrealizowania przez poszczególne zespoły z różnych krajów UE. To duże wsparcie, jeśli weźmiemy pod uwagę fakt, że jest to nowa technologia, więc próżno szukać na produkcji zastosowania tych standardów. Początkowo musieliśmy też znaleźć wspólny kierunek w zakresie interpretacji tej dokumentacji, nawet jeśli chodzi o naszą pracę wewnątrz zespołu, bo każdy z nas nieco inaczej rozumiał jej zapisy, dlatego braliśmy udział w dedykowanych temu warsztatach. Ponadto praca metodą prób i błędów podczas testów z naszymi krajowymi i zagranicznymi partnerami bardzo pomogła w weryfikacji tego, czy nasze podejście do interpretacji dokumentacji jest właściwe. Jeśli było niewłaściwe, za każdym razem korygowaliśmy, tworzyliśmy usprawnienie, modyfikowaliśmy nasze podejście tak, aby tą interoperacyjność uzyskać.

 

Praca nad interoperacyjnością przy tego typu wielkoskalowym pionierskim projekcie nie byłaby możliwa bez testów, które odbywają się podczas spotkań na żywo.

 

Jakub Barczak:

–  Zdecydowanie nie byłaby możliwa. Przede wszystkim dlatego, że spotykając się w jednym miejscu, możemy znacznie szybciej zdiagnozować błędy i je poprawić, co przy tak krótkim czasie realizacji, jest bezcenne. Dodatkowo jednym ze sposobów przekazywania danych jest Bluetooth, online nie bylibyśmy w stanie go przetestować. W Holandii zaczęliśmy testować scenariusze proximity, a w Wilnie przyjechaliśmy już z drugą, bardziej rozwiniętą wersją tych scenariuszy, właśnie dzięki możliwości bezpośredniego testowania.

 

Tomasz Sikorski:

– Najważniejszą kwestią podczas testowania przekazywania danych przez Bluetooth był dla nas komfort użytkownika. To co trwa kilka sekund z punktu widzenia użytkownika podczas procesu przekazywania danych, to solidny kawałek kodu, który musieliśmy zaimplementować, aby właśnie umożliwić tego typu komunikację.

 

Priorytetem jest kwestia bezpieczeństwa, zarówno samych danych, jak i procesu ich przekazywania.

 

Tomasz Sikorski:

–  Mechanizmy zabezpieczające są ustandaryzowane w dokumentacji. Z mojej perspektywy te zabezpieczenia są na bardzo wysokim poziomie, nawet jeśli dotyczą one transakcji jedynie z wykorzystaniem potwierdzenia wieku. Wymieniłbym kilka: po pierwsze cały proces pobrania poświadczenia do portfela wiąże się z operacjami kryptograficznymi, np. z mechanizmem wiązania klucza, czyli sytuacją, w której urządzenie, na jakie użytkownik chce pobrać dane poświadczenie, musi wygenerować parę asymetrycznych kluczy i jeden z nich, tzw. klucz publiczny musi zostać przekazany do wystawcy tego poświadczenia tak, aby mógł on powiązać je z tym konkretnym urządzeniem użytkownika. Oczywiście takie poświadczenie jest dodatkowo szyfrowane, co zapewnia poufność oraz podpisywane co gwarantuje integralność, zanim zostanie przekazane na urządzenie mobilne. Później ten mechanizm z wykorzystaniem klucza jest używany przy udostępnianiu danych użytkownika. Cała komunikacja ze stroną ufającą też jest szyfrowana i ustandaryzowana. Dodatkowo jest wykorzystywany mechanizm selektywnego udostępniania danych, co oznacza, że w danej transakcji ujawniamy tylko niektóre z danych widniejących na poświadczeniu.

 

Paweł Banasiak:

– To użytkownik decyduje, komu i jakie dane przekazuje. W przypadku europejskiego portfela inaczej niż w mObywatelu użytkownik będzie mieć możliwość wyboru pola, w którym zaznaczy, jakie dane chce przekazać i nic, czego on jawnie nie wybierze, nie zostanie przekazane stronie ufającej, czyli pomiotom lub innemu użytkownikowi.

 

Wspomniałeś o mObywatelu. Jak polskie rozwiązanie wpływa na pracę nad Europejskim Portfelem Tożsamości Cyfrowej i jak popularność naszej aplikacji może pomóc w jego społecznym odbiorze?

 

Arkadiusz Janicki:

–  Ponieważ mObywatel ma w Polsce wysoką renomę, gdy rozmawiamy z innymi krajami UE, upewniamy się w tym, że w Polsce mamy największą bazę użytkowników i co ważne ci użytkownicy mają do naszego rozwiązania zaufanie. W związku z tym, że Polacy są już dość dobrze zaznajomieni z aplikacją, w której mogą skorzystać z różnych dokumentów i usług, korzystanie z funkcji Europejskiego Portfela Tożsamości Cyfrowej będzie dla nich na pewno dużo prostsze i bardziej intuicyjne niż w przypadku użytkowników z krajów, które tego typu aplikacji nie mają. To co dodatkowo zapewnia nam europejski portfel to interoperacyjność, czyli możliwość potwierdzania tożsamości czy uprawnień także poza granicami naszego kraju.

 

Paweł Banasiak:

–  mObywatel jest zdecydowanie wzorem. Oprócz fazy testów, uczestniczymy też wieczorami w networkingu, podczas którego wymieniamy się doświadczeniami. W Utrechcie, w Holandii komukolwiek nie pokazywaliśmy mObywatela, wszyscy byli pod wielkim wrażeniem: ilości usług i dokumentów oraz rozwiązań UX zastosowanych w aplikacji. Mamy na pewno małą przewagę w stosunku do innych krajów, że jest u nas wdrożone narzędzie, które dobrze się przyjęło i funkcjonuje w codzienności obywateli.

 

Tomasz Sikorski:

–  Dodatkowo warto wspomnieć o pewnych podobieństwach ekosystemu Europejskiego Portfela Tożsamości Cyfrowej zgodnego z eIDAS 2.0 z obecnym ekosystemem mObywatela. Aby pobrać dane do aplikacji mobilnej w formie podpisanego poświadczenia i później przekazać je stronie ufającej, musimy je pobrać z Autentycznego źródła. Takim źródłem są na przykład Systemy Rejestrów Państwowych. Dzięki temu, że w ramach mObywatela, mamy tę integrację już zapewnioną, będzie prościej zaadoptować ten ekosystem eIDASa 2.0 na naszą lokalną, krajową infrastrukturę. Natomiast warto podkreślić, że pomimo pewnych zbieżności z tym co posiadamy obecnie, nadal będzie to spore wyzwanie, z uwagi na inne rozwiązanie technologiczne, standaryzacyjnie, odmienne protokoły czy format danych. To powoduje, że tak naprawdę tworzymy całkiem nową aplikację mobilną, która funkcjonalnie z punktu widzenia użytkownika, będzie posiadała podobny zakres działania co obecny mObywatel, natomiast w warstwie technologicznej to będzie całkiem inne rozwiązanie. Będziemy w nim korzystać z graficznych komponentów design systemu, niemniej jednak to czego użytkownik już nie zobaczy, czyli kod i cała technologia, będą zbudowane na zupełnie innym fundamencie niż w mObywatelu. Czym jeszcze się różnią oba rozwiązania? Poziom bezpieczeństwa wykonywania operacji z wykorzystaniem Europejskiego Portfela Tożsamości Cyfrowej w swoim założeniu powinien być jeszcze wyższy od tego w naszej krajowej aplikacji.

 

Jakie są największe wyzwania podczas pracy nad Europejskim Portfelem Tożsamości Cyfrowej?

 

Arkadiusz Janicki:

–  Z mojego punktu widzenia dużym wyzwaniem są na pewno częste zmiany w dokumentacji i projekcie i to, że musimy szybko na nie reagować. Przyswojenie tak dużej ilości wiedzy w tak krótkim czasie także nie należy do najłatwiejszych zadań.

 

Tomasz Sikorski:

–  Zaadaptowanie nowej technologii do naszych krajowych rozwiązań to kolejne zagadnienie z jakim musimy się mierzyć. Stworzenie takiej drugiej strefy bez granic w Unii Europejskiej, tylko że w sferze cyfrowej, to szczytny cel, który ułatwi nam wszystkim codzienne funkcjonowanie. Dzięki temu między innymi nasz obywatel za pomocą aplikacji mobilnej, będzie mógł szybko i łatwo potwierdzić swoją tożsamość i załatwiać sprawy w urzędach krajów UE, rejestrować się zdalnie na portalach sektora publicznego, zarejestrować firmę za granicą czy choćby sprawnie wypożyczyć auto, będąc tam na wakacjach. To wielkie ułatwienie i pewnego rodzaju przełom. Dla każdego kraju członkowskiego jest to także ogromne wyzwanie, bo wszyscy robimy to pierwszy raz. Musimy to wszystko osiągnąć przy zachowaniu wysokiego poziomu bezpieczeństwa, o którym już wspominaliśmy, to także zadanie, które przed nami. Wiemy już teraz, że wymagania w obszarze bezpieczeństwa mogą się jeszcze zmienić w dokumentacji traktującej o ramach architektury, więc musimy być uważni i elastyczni w naszej pracy, gotowi na możliwe modyfikacje rozwiązań, które wypracujemy, w ramach naszej implementacji.

 

Arkadiusz Janicki:

–  Warto dodać, że kod, który stworzymy, powinien być tak napisany, aby nie musiał być zmieniany, to także wartość, na której nam zależy. To potwierdza, że nasz produkt, który oddajemy w ręce użytkowników, jeśli chodzi o bezpieczeństwo, spełnia najwyższe standardy wskazane w aktach wykonawczych rozporządzenia eIDAS 2.0.

 

Rozmawiała Iza Jóźwik z Zespołu Świadomości Społecznej Produktów