Ügyfélkapu+ és a digitális állampolgárság

Az állampolgárok hivatalos ügyeik intézéséhez igénybe vehetnek az állam által biztosított internetes szolgáltatásokat. Ez egyszerűbbé teszi az életüket, hiszen nem kell a Kormányablakhoz odautazni, kivárni a sort, és elmagyarázni, hogy milyen ügyet szeretnének elintézni. Mintegy hatmillió polgárnak van már elektronikus Ügyfélkapuja, amelynek a működése meg fog változni (2024. november 29.)

Az elektronikus Ügyfélkapu 2005-ben indult. Az elsők között voltam, akik kértek hozzáférést a szolgáltatáshoz. Elsőként használtam a NEAK (akkor még OEP volt a neve) adataimhoz történő hozzáférésre, majd időpont foglalásra, legutóbb pedig jogosítványt igényeltem az Ügyfélkapun keresztül. Használatakor a polgárok, de az állam számára is fontos megbizonyosodni, hogy ki az, aki bejelentkezik. Valójában az elektronikus szolgáltatások (a https://mo.hu oldalról elindulva) sok különböző számítógépen találhatók, amelyeket különböző állami szervek, hatóságok működtetnek. Gondoljuk a NAV-ra, Oktatási Hivatalra, NEAK, OKFŐ, Belügyminisztérium, Államkincstár stb. oldalakra. Az állam megvalósította azt, hogy ezeket az adatállományokat mind azonos módon, egy sikeres bejelentkezés után érjük el. Ennek a neve Központi Azonosítási Ügynök (KAÜ).

Minden állami szerv az elektronikus belépéshez a KAÜ szolgáltatásait veszi igénybe. Ha az azonosítási szolgáltatás sikeresen végrehajtotta az azonosítást a polgár hozzájuthat a saját adataihoz (meghatalmazással más személy adataihoz is). A bejelentkezés kritikus pont, mert attól kezdve tengernyi adathoz juthatunk hozzá, közöttük szenzitív, különleges adatokhoz is pl. bűnügyi, illetve egészségügyi adatokhoz is. Ezért rendkívül fontos kérdés a biztonság és a pontos személyazonosítás. Jelenleg az Ügyfélkapu egy felhasználói azonosítót és egy jelszót igényel. Ez a technikai védelmi megoldás már nem elégíti ki a modern kor követelményeit. Kockázat, ha a polgárok egyszerűen kitalálható jelszót használnak, feljegyzik, elmondják valakinek vagy esetleg kicsalják tőlük. A polgárok személyes beazonosítása az Ügyfélkapu hozzáférés igénylésekor egyszer történik meg, utána nincs újabb azonosítás (már majdnem húsz éve).

A kockázatokat felismerte a magyar állam, és be fogja vezetni az ún. kéttényezős (kétfaktoros) azonosítást az elektronikus Ügyfélkapunál 2025. január 16-tól. Ez semmilyen nagyobb változást nem jelent a szolgáltatásokban. Ami változik, hogy a belépési azonosítón, a jelszón kívül még egy hatjegyű számkód is kell majd a belépéshez. Hasonló dolog az elektronikus bankolásnál is történt néhány évvel ezelőtt. A jelenlegi állapot szerint olyan sürgős az áttérés, hogy a belépési azonosító + jelszó – egyszerű bejelentkezési lehetőség 2025. január 16-án megszűnik és már csak két faktorral (értsd jelszóval és a hatjegyű számmal) lesz lehetséges. Más egyéb nem változik. Mindenhez ugyanúgy férhetünk hozzá, mint eddig. Nem világos, hogy mi lesz azokkal, akik elmulasztják a határidőt. Az állam részéről a szokásos lekezelő fenyegetőzés hallatszik, például, hogy ki fogják zárni őket a szolgáltatásokból stb.

Az áttérést a polgároknak maguknak kell kezdeményezniük, igényelniük kell egy Ügyfélkapu+ hozzáférést, amelyhez szükségük van egy sima Ügyfélkapu hozzáférésre. A sima Ügyfélkapu ügyében a hatályos jogszabályok alapján a polgároknak el kell menniük a Kormányablakba és kérniük kell ezt a hozzáférést. Ezután térhetnek át az Ügyfélkapu+ rendszerre. Ezt már otthon kell megtegyék. Az elektronikus kormányzás (erről van szó) EU-s jogszabályokkal jól szabályozott. Ezekben található olyan feltétel, hogy az állami szolgáltatásokat mindenki önként veheti igénybe. Feltételezem, hogy emiatt van az, hogy az áttérés nem automatikusan történt. Nem akartak még további jogállamisági eljárást maguk ellen, a meglévő folyamatban lévők is éppen elegek.

A folyamat nem annyira bonyolult, de az informatikában kevéssé jártas polgároknak nehézséget okozhat. Az alábbiakban ezt megpróbálom elmagyarázni, bár van több kormányzati tájékoztató, egy másik és videó anyag, meg egy másik.

Mielőtt azonban az Ügyfélkapu+ igénylést elmagyaráznám, essen pár szó a digitális állampolgárságról is. A DÁP egy még bonyolultabb azonosítási mód, itt nincs sem jelszó, sem hatjegyű számkód. Egy teljesen más alapon nyugvó módszert alkalmaz. Az úgynevezett magán- és publikus kulcsokon alapszik. A publikus kulcs az államnál van, a privát kulcs nálam. A két kulcs teljesen egyenrangú, és nem lehet egyik kulcs ismeretében kiszámítani a másikat (esetleg 1 000 000 000 000 millió év alatt). A két kulcs össze is illik, azaz ha egy matematikai titkosítási algoritmusban alkalmazom az egyik kulcsot, akkor a másik kulcs vissza tudja állítani az eredeti tartalmat. A privát kulcsommal titkosítok egy egyszerű szöveget, pl. „Magyarország”, és megmondom, hogy szerintem én ki vagyok. Ha a másik oldalon a publikus kulcsomat előkeresik, alkalmazzák, és ha visszakapják az eredeti tartalmat, akkor lehet tudni, hogy akinél van a privát kulcs (nálam) az én vagyok. Mivel ezek hosszú számok, mondjuk 256-bitesek (80-90 számjegy), ezért megsejteni nem lehet őket, esetleg ellopni. Ha a privát kulcsot biztonságosan őrzik, akkor ez egy elég biztonságos eljárás.

A DÁP (tehát a privát- és publikus kulcson alapuló) azonosítási eljárás is elérhető már 2024. szeptember 1-től. Az Ügyfélkapu esetében volt egy félelem a kormányban, hogy esetleg visszaélhetnek az alacsony biztonságú bejelentkezéssel. Az Ügyfélkapu+ egy előrelépés, viszont a DÁP egy még további előrelépést jelent. A jövőben dől el, hogy a nagyobb biztonság létrejöttével az állam egyre inkább megbízik a módszerben, elhiszi, hogy megbízhatóan tudja azonosítani a polgárokat. (Csak megjegyzem, hogy a vonatkozó EU-s jogszabály az ún. eIDAS rendelet már 2014-ben hatályba lépett, és kötelező lett volna a betartása Magyarország számára is.) Az ígéretek szerint a DÁP módszerrel azonosított polgárok köthetnek például a közüzemi szolgáltatókkal szerződést, csupán a privát kulcsuk használatával, vehetnek fel hitelt, gépjármű adás-vételi, átíratási eljárást indíthatnak majd elektronikusan otthonról. Meglátjuk,.

Bármelyik módszert is választjuk, az állam a tranzakcióinkat megjegyzi, tudni fog arról, hogy milyen szolgáltatást vettünk igénybe, milyen mellékleteket csatoltunk; ha ügyet indítottunk, akkor milyen adatokat adtunk meg az űrlapokon. Az Ügyfélkapu+ és a DÁP között csak az a különbség, hogy a biztonságosabb azonosítási mód miatt a DÁP alatt több szolgáltatást vehetek igénybe, ezért nő az állam által megismert adatok mennyisége. A mostani állás szerint a polgárok tranzakcióit az állam 50 évig megőrzi. Ez lehet egy személyes kockázat, de elhanyagolható ahhoz képest, amit az jelent, hogy az államnak a nagy nyilvántartó rendszerekbe szabad bejárása van, és teljesen lerabolhatja például az EESZT tartalmát. Szerintem ez az igazi probléma.