„Nechráněná rodná čísla a maily, stát selhal.“ Analýza systému na očkování

Rezervační systém na očkování je selhání bez ohledu na to, zda byl ze začátku přetížen, či nikoliv. Přestože na něj programátoři dostali šibeniční termín, celé řadě problémů šlo snadno předejít, vyplývá z analýzy IT experta jedné z pražských nemocnic, který má Echo24 k dispozici. Část problémů již byla opravena a v pátek se celý systém dočkal několika úprav, vládní představitelé i hlavní hygienička Jarmila Rážová ale nadále odmítají, že by systém měl kromě počátečního přetížení jakékoliv problémy.

Od začátku byl rezervační systém pro očkování pod palbou kritiky nejen ze strany odborníků a opozice, ale i širší veřejnosti, která se potýkala s problémy při registraci. Stránka byla v jednu chvíli nedostupná, vznikly zmatky v termínech i místech očkování a na povrch vyplynuly také závažná bezpečnostní rizika. Premiér Andrej Babiš (ANO) odmítl kritiku, že by systém nefungoval, takové zprávy označoval za dezinformace. Podle něj vše fungovalo skvěle. Kritice se bránili i další. „Systém na registraci byl připraven dobře, došlo jen k dočasnému přetížení, což není nic neobvyklého,“ uvedla Rážová v rozhovoru pro iRozhlas.cz.

Problémů přitom bylo dost. Neproběhla konzultace s operátory, SMS s PINy tak měly výrazná zpoždění. Některým lidem systém odmítal rodná čísla, která se navíc objevila v samotném odkazu a byla viditelná pro správce serverů i v analytických nástrojích Googlu a Facebooku. Odborníci poukazují na to, že byl celý projekt s největší pravděpodobností šitý horkou jehlou a s šibeničním termínem. Proto nezbyl prostor pro zátěžové nebo penetrační testy, s nimiž se kontroluje stabilita a bezpečnost systému.

Na něm se pravděpodobně začalo pracovat teprve před vánočními svátky, pro realizaci tedy byly k dispozici pouhé tři týdny. Kraje a jejich nemocnice dostaly systém příliš pozdě – drtivá většina z nich se s ním seznámila až po předváděčce premiérovi 11. ledna. Podobně robustní IT projekty se přitom testují alespoň týden, např. v internetovém bankovnictví se pouští jen zaměstnancům banky.

Vodopád chyb

„Asi nejvýznamnějším problém je, že systém není provázán s registry, které stát obsluhuje. To vede na nemožnost validovat informace o uživatelích nebo jim pomoci tak, aby uživatel nemusel státu opět poskytovat data, která už stát několikrát má,“ uvádí IT expert v dokumentu, který má redakce k dispozici. „Stejně tak systém není navázán na eIdentity nebo NIA, takže i uživatel vlastnící elektronický občanský průkaz a eIdentitu je odkázán na prostředky autentizace bez ní.“

Pro poskytovatele zdravotních služeb také chybí možnost napojení na vlastní systémy, např. objednávkový nebo vyvolávací systém. „To jim výrazně ztěžuje práci a zvyšuje náklady na organizaci očkování,“ uvádí analýza. Pozastavuje se i nad CAPTCHA, která ověřuje, zda formulář opravdu vyplňuje člověk, a ne robot. Pro seniory je tento krok nejen náročný, ale po potvrzení skrze SMS i poněkud zbytečný. V době spuštění byl systém navíc přístupný jen přes protokol IPv4, což odporuje nařízení vlády z roku 2009.

Analýza zmiňuje také častý problém s rodnými čísly, které měly nastavenou validaci na dělitelnost 11. Takovou vlastnost mají ale rodná čísla až od padesátých let. „Zároveň existuje nezanedbatelný počet rodných čísel, která by vzhledem k času svého vydání měla tuto vlastnost mít, ale nemá ji. Jak mohlo toto projít analýzou a testingem takto kritického systému, je naprosto nepochopitelné,“ kritizuje odborník. Upozorňuje i na možnost opakované registrace se stejným rodným číslem, což byl i jediný způsob, jak změnit místo očkování (to bylo již opraveno).

„Stát nemá dostatečnou kompetenci na vývoj podobných řešení“

Práci s rodnými čísly hodnotí analýza jako zásadní bezpečnostní selhání. „Rodné číslo s druhým PINem se posílá na server reservatic.com v rámci v URL, které vidí i technická infrastruktura po cestě a zvláště ho čte cílový server. Takže správce má v logu, který se mu automaticky generuje, tisíce až miliony rodných čísel,“ vysvětluje odborník v dokumentu. Administrátoři na úrovni krajských koordinátorů také vidí e-mailové adresy všech uživatelů, kterým byl odeslán e-mail nezávisle na tom, kam se rezervují. „Tedy všech. E-mail je také údaj, který by měl být chráněn.“

V případě administrátorů očkovacích míst probíhá probíhá první přihlášení jen na základě jednorázového hesla v odkazu. „O nějakém druhém faktoru zde není ani řeč. A to se jedná o přístup do administrace, kde lze vyčíst všechna data o klientech registrovaných pro dané místo,“ varuje analýza před dalším bezpečnostním přešlapem.

V CRS se mi podařilo najít chybu, díky které je možné projít registračním formulářem i přesto že rodné číslo odpovídá mému věku tj. 24 let. PIN 2 také přišel. pic.twitter.com/020UJ388VZ

— Filip Šedivý 🎓🧙‍♂️🧠 (@filipsedivy) January 15, 2021

Závěr analýzy konstatuje, že systém byl ušitý horkou jehlou a nebylo na něj dostatek času. „Ale v tak krátkém čase šlo mnoha problémům snadno předejít. Selhala architektura, která nechala vytvořit systém, který do už tak zaostalého českého eGovernmentu nijak nezapadá. Selhala analýza, kdy systém obsahuje chyby, kterým šlo snadno předejít, kdyby například byl konzultován kdokoliv v nemocnicích, které s podobnými systémy pracují,“ uvádí dokument.

Stejně tak podle IT experta selhalo řízení celého projektu a nasazení, kdy systém nebyl otestován a nebyla zajištěna kapacita navazující infrastruktury. „Taková selhání by byla tristní u malého eshopu dodávaného skupinou studentů, ale u nejsledovanějšího a nejkritičtějšího systému v poslední době jsou naprosto nepochopitelná. Je zřejmé, že stát nemá dostatečnou kompetenci a kapacitu na vývoj podobných řešení,“ uzavírá analýza s tím, že doufá ve využití externích odborníků, kteří mohou pomoci.

Na část chyb už programátoři stihli zareagovat a opravili je, na další vyplňování digitálních děr se ale stále čeká. V pátek došlo ke změnám v odesílání SMS – každý registrovaný občan (již registrovaní i nově se registrující) obdrží novou SMS zprávu
v okamžiku, kdy pro něj bude na preferovaném očkovacím místě volný termín a vakcína k dispozici.