Tak! W końcu doczekaliśmy się logowania biometrycznego w mObywatel. Jednak, jeżeli zastanawialiście się, co chciałem ukryć pod trzema kropkami i przychodziły Wam do głowy same niecenzuralne słowa, to macie całkowitą rację. Naprawdę przechodzi wszelkie pojęcie, jakim trzeba być ignorantem, aby umieć aż tak źle wdrożyć logowanie za pomocą Touch ID lub Face ID. Niestety nie mam powodów do uśmiechu, wbrew zachętom w opisie aktualizacji.
„Logowanie biometryczne […] jest mniej bezpieczne od logowania hasłem”
To kuriozum przeczytałem podczas uruchamiania funkcji w aplikacji mObywatel. Miałem nadzieję, że to po prostu tekst skopiowany z wersji dla Androida, bo tam rzeczywiście może mieć uzasadnienie. Myliłem się.
Jeżeli logowaniu biometrycznemu na iOS zaufały banki, instytucje finansowe, sklepy internetowe, systemy płatności, wydawcy kart płatniczych, Ministerstwo Cyfryzacji… tak to nie pomyłka! Ministerstwo Cyfryzacji, czyli wydawca aplikacji mObywatel, to chyba nie jest z tym logowaniem tak źle?
Osobom odpowiedzialnym za mObywatela, przypomnę, że jeszcze nie tak dawno temu sami radzili, jak objeść brak możliwości logowania za pomocą biometrii. Opisywałem to pod koniec listopada zeszłego roku: mPojazd w mObywatel dla iOS oraz biometria.
Jakoś wtedy Ministerstwo Cyfryzacji nie miało wątpliwości co do bezpieczeństwa hasła powierzanego systemowemu pękowi kluczy, zabezpieczonemu właśnie biometrią i Bezpieczną enklawą w procesorach Apple.
Może jednak chodzi o bezpieczeństwo implementacji tej funkcji wdrożone przez programistów zatrudnionych w ministerstwie?
Pin od 4 do 8 cyfr
Po tej pierwszej irytacji przystąpiłem do uruchamiania logowania za pomocą Touch ID. Początkowo szło gładko, jednak zaskoczony zostałem prośbą o zdefiniowanie pinu. OK zdefiniowałem 6-cyfrowy. Jednak za chwilę zirytowałem się jeszcze bardziej. Okazało się, że pomimo włączonego logowania za pomocą biometrii muszę podawać pin! Kuriozum!
Zacząłem się zastanawiać, co mObywatel koduje za pomocą systemowych funkcji bezpieczeństwa. Bardzo prawdopodobne wyjaśnienie znalazłem po próbie zmiany pinu na 4-cyfrowy. Ta zmiana, choć wg aplikacji „przebiegła pomyślnie” uniemożliwiła logowanie za pomocą Touch ID. Jaki wniosek z tego wynika? Autorzy mObywatel postanowili zapamiętywać w bezpiecznej enklawie hash pinu lub – co gorsza – i niestety jest to bardziej prawdopodobne sam pin. I w tym momencie doznałem olśnienia!
To dlatego Ministerstwo Cyfryzacji uważa logowanie z pinem i biometrią jako mniej bezpieczne, bo po prostu takim je uczyniło! Jednak dlaczego postanowili tak kombinować i jak sami twierdzą obniżać bezpieczeństwo aplikacji, zamiast wdrożyć metody stosowane przez poważne instytucje na całym świecie, pojąć nie potrafię. Może mi to ktoś wytłumaczyć?
Mam wielką prośbę do osób zarządzających aplikacjami w Ministerstwie Cyfryzacji. Wynajmijcie normalnych programistów dla iOS, a nie dynamitem oderwanych od Androida. Przestańcie „równać w dół”. Prawdziwy rozwój osiąga się tylko, wykorzystując wszystko, to co najlepsze tam, gdzie to możliwe.
Od razu po aktualizacji aplikacji mObywatel włączyłem TouchID. Gdy przy ponownym logowaniu, po przyłożeniu palca zapytał mnie o PIN to byłem pewien, że zrobiłem coś nie tak. Wyłączyłem więc logowanie do mObywatel przez TouchID i włączyłem ponownie. Taka operacja wymusiła zmianę hasła do ePUAP. Przeżyłem jakoś. 🙂 Ale znów przy logowaniu pytało mnie o PIN. Wtedy okazało się, że wszystko poszło tak jak powinno i PIN trzeba będzie wpisywać zawsze. Nie mogłem uwierzyć. To jest chyba szczyt absurdu z jakim się spotkałem w ostatnich kilku latach. Cały dzień kręciłem głową z niedowierzania. 🙂 To już chyba lepiej wyłączyć tę ich biometrię i używać loginu i hasła zapamiętanego w 1Password albo Pęku Kluczy. 🙂
To jest skandal. 🙂
Niech się Pan u nich zatrudni! Będzie bezpieczniej, to po pierwsze. A po drugie mniej lamentów wszelkiej maści tutaj. Poważnie. Wszyscy na tym skorzystamy.
Mniej lamentów? To żart? 🙂 Ja właśnie słyszałem dokładnie odwrotny zarzut. Że za dużo jest tutaj wychwalania applowych rozwiązań, że jest zbyt hurra-optymistycznie. 🙂
Coś mi się wydaje, że prawda leży gdzieś w środku, czyli… jest w sam raz.
A to akurat 100% racji. Lament dotyczy całego świata poza Apple. No bo jeśli chodzi o Apple to cud, miód i orzeszki. Faktycznie, aż ludzi mdli…. Potwierdzam!
A ja tutaj wchodzę dlatego, że teksty są bardzo rzeczowe, nie ma (jak na wielu innych portalach) kilometrowych rozpraw na temat pasków do zegarków czy kolorów ikon. No i często jest po punkt widzenia kogoś kto Apple zna od dziesięcioleci, a nie od czasów pierwszych iPhonów i z perspektywy głównie iPhona.
A co do lamentowania na resztę świata to mam dokładnie tak samo. Gdybym mi się inny świat podobał i gdybym go uważał za lepszy to bym go używał. To chyba oczywiste. Podoba mi się bardziej applowy świat, bardziej mi odpowiada więc jego używam i chwalę za to co mi się podoba. Poza tym wcale nie tylko chwalenie tutaj mamy. Bez przesady. Przecież mObywatel jest aplikacją dla iOS, a została zjechana. Słusznie zresztą, bo jej trórcy są chyba jedynymi osobami na świecie, które wpadły na pomysł proszenia o kod po zalogowaniu się TouchID/FaceID. Jest to kuriozum i skrajny absurd, który zostałby wyśmiaty wszędzie i przez każdego. Nie wiem jak bardzo trzeba się nie orientować żeby coś takiego zrobić. 🙂
Wychodzi na to, że najbezpieczniej to zrobić po staremu, czyli ręcznie dodając do pęku kluczy wpis mObywatel. Jest to dokładnie opisane tutaj https://mojmac.pl/2019/11/28/mpojazd-w-mobywatel-dla-ios-oraz-biometria/. Wtedy nie ma udziwnienia z zapamiętaniem pinu