Na primeru zdravstvenega ministra jasno, kako enostavne so zlorabe QR-kode digitalnega potrdila

Ko je minister za zdravje Janez Poklukar konec junija najavil uvedbo digitalnega covid potrdila v Sloveniji, ga je za lažjo predstavo državljanom tudi pokazal. In po tem, ko je prikazana QR-koda zaokrožila po spletu, bi potrdilo z njegovimi podatki z lahkoto končalo v mobilnih napravah oziroma na aplikaciji zVem slehernega Slovenca.

"Stopimo v aplikacijo, vstopimo v zbirko certifikatov na napravi, se identificiramo. In potem enostavno rečemo, da bi radi dodali nov certifikat. Vklopimo skener, poskeniramo to kodo in vidimo, da smo postali minister. Vemo, kdaj je bil cepljen, kdaj ima rojstni dan in s katerim cepivom je bil cepljen," pojasni civilnodružbeni aktivist Domen Savič iz Zavoda Državljan D.

Minister je sicer pojasnil, da javnosti ni pokazal svoje prave kode. "Podatki, ki sem jih do zdaj dobil in kar sem uspel preveriti v teh nekaj minutah, niso pravi z vidika same QR-kode, res pa je, da je gor datum mojega rojstva in pa ime ter priimek," je dejal. Je pa bilo potrdilo kljub temu vse do zdaj veljavno in če bi anonimna aplikacija za preverjanje pogoja PCT že delovala, bi z njim brez težav vstopili v restavracijo ali odšli na koncert.

Kode kot 'pokemoni'

To, da lahko kdorkoli poskenira QR-kodo nekoga drugega, si jo doda v telefon in kode zbira kot 'pokemone', kaže na to, da se odgovorni niso pripravili na zadano nalogo, opozarja Savič. "In da hkrati v bistvu odpirajo ne samo možnosti zasebnih zlorab, ampak tudi možnosti enostavne falsifikacije teh certifikatov. Oziroma tega, da si bodo ljudje, ki se nočejo cepiti, enostavno z interneta sneli kodo ministra Poklukarja ali premierja Janše in bodo s to kodo hodili okrog," še doda Savič.

Poklukar očitno tu računa na odgovornost državljanov: "Samim poneverbam smo izpostavljeni vsak trenutek in zato so ustrezne institucije. In v kolikor je sum za to, pozivam vse državljane, da o tem obvestijo."

Savič pa opozarja še na eno težavo: "Če ti recimo varnostnik oziroma neka tretja oseba poskenira ta telefon, po navadi ne veš, s čim ti je poskeniral. Če je slikal s fotoaparatom ali je dejansko preveril status. Enostavno lahko te kode začne zbirati in preprodajati naprej."

A glede na to, da oblast vprašanja zasebnosti pogosto ureja naknadno, zaključuje Savič, je osebna previdnost največ, kar lahko v tem trenutku storimo. Zato svojih QR-kod ne objavljajmo nikjer, niti jih ne delimo z drugimi in jih čuvajmo kot nekaj zelo dragocenega.