1. Spojujeme software, technologie a služby
Elektronické OP v EU
Poučíme se ze zkušeností zemí, které vydaly a používají eOP?
Ivo Rosol
ředitel vývojové divize
1

2. Identifikační čipové doklady
Prvním běžně vydávaným čipovým dokladem je
elektronický cestovní pas s biometrickými prvky. Pasů
tohoto typu je v současné době vydáno více než 100
milionů v 50 zemích světa.
Dalším dokladem, který v řadě zemí Evropy i světa čeká
na vybavení čipem, je (národní) elektronický identifikační
doklad (eID); v ČR občanský průkaz(eOP).
eID umožní zajistit podobnou míru ochrany dokladu a
jistotu identifikace držitele jako elektronický cestovní pas,
navíc jej bude možné využít v elektronické komunikaci
prostřednictvím internetu.
SmartCard Forum 2009 2

3. Oblasti využití eID v EU
• Fyzický identifikační doklad umožňující klasickou
i elektronickou identifikaci, volitelně s využitím
biometrických dat
• Schengenský cestovní doklad (ICAO aplikace)
• Nástroj logického přístupu k elektronickým
službám (eID aplikace)
• Nástroj pro vytvoření zaručeného elektronického
podpisu (e-Sign aplikace)
• Multiplikační platforma pro další aplikace.
SmartCard Forum 2009 3

4. Přehled vydání eID v Evropě
Země Klasický ID eID vydán eID v plánu
Belgie ano ano --
Bulharsko ano ne ne
Česká republika ano ne ano
Dánsko ne -- ne
Estonsko ano ano --
Finsko ano ano --
Francie ano ne ano
Holandsko ano ano --
Irsko ne -- ne
Island ano ne ano
Itálie ano částečně --
Kypr ano ne ne
Lichtenštejnsko ano ne ano
Litva ano ne ne
Lotyšsko ne -- ano
Lucembursko ano ne ano
Maďarsko ano ne ano
Malta ano ne ano
Německo ano ne ano
Norsko ne -- ne
Polsko ano ne ano
Portugalsko ano ano --
Rakousko ano ano --
Rumunsko ano ne ano
Řecko ano ne ne
Slovensko ano ne ano
Slovinsko ano ne ano
Španělsko ano ano --
Švédsko ano ano --
Velká Británie částečně částečně --
Celkem 30 24/25 8/10 13
SmartCard Forum 2009 4

5. Biometrické údaje
Čipová technologie umožňuje uložit, chránit a porovnávat biometrické údaje
držitele eID. Vedle využití pro externí autentizaci je v případě eID vhodné
uvažovat i o interní autentizaci na čipu eID
Pro externí autentizaci (MoT)
Země Fotografie Otisk prstu
Francie ano ano
Holandsko ano ne
Itálie ano ano
Kypr ano ne
Německo ano ano
Španělsko ano ano
Švédsko ano ne
Velká Británie ano ano
Pro interní autentizaci (MoC)
Portugalsko
SmartCard Forum 2009 5

6. Relevantní standardy pro eID
• CEN TS 15480 – 1 – 4 European Citizen Card. Vznikající standard (díly 1 a
2 vydány, díly 3 a 4 rozpracovány) určuje fyzické vlastnosti, logickou
strukturu dat a služby karty, aplikační rozhraní a profily čipové platformy,
určené pro širokou škálu evropských čipových dokladů a dalších čipových
aplikací. Standard stanoví technickou specifikaci povinných mechanismů a
služeb, na kterých je možné založit například eID. Standard ovšem
nedefinuje logickou strukturu dat, konkrétní bezpečnostní funkce, nebo
personalizační profil pro evropský eID. Tyto specifikace mohou být uvedeny
pouze ve formě profilů, které budou uvedeny v informativních přílohách 4.
dílu tohoto standardu. Důležité je, že jsou již nyní nabízeny čipové moduly
několika významných výrobců vyhovující 2. dílu standardu ECC.
• Technické specifikace BSI TR-03110 Technical Guidline Advanced Security
Mechanism for Machine Readable Travel documents, EAC 2.0
• CEN CWA 14169:2004 Secure signature-creation devices „EAL 4+“
• CEN EN 14890 Application Interface for Smart Card used as Secure
Signature Device
• ISO 24727 (první 4 díly vydány) sada rozhraní pro interakci mezi čipovou
kartou a externí aplikací, pro poskytování generických služeb čipové
platformy pro multisektorové použití.
SmartCard Forum 2009 6

7. 10 pesimistických důvodů
V oblasti elektronických identifikačních dokladů nelze očekávat zopakování úspěšného
příběhu* elektronických pasů (* úspěchem je zatím pouze vydávání...)
• neexistuje významnější globální aplikace národních identifikačních dokladů
• chybí mezinárodní autorita, která by stanovila závazné technické a procesní specifikace
v této oblasti
• Smlouva o založení Evropského společenství (Treaty Establishing the European
Community) v článku 18.3 omezuje koordinovanou právní úpravu pro evropské eID (ale
i pro pasy a povolení k pobytu!)
• Evropská komise je nečinná v oblasti elektronické autentizace a vypracování příslušné
směrnice (obdoba směrnice 1999/93 EC o zásadách Společenství pro elektronické
podpisy)
• chybí infrastruktura pro použití čipových identifikačních dokladů v rámci států i mezi nimi
• zvyšuje se počet států, které již implementovali, nebo jsou ve stádiu přípravy či
probíhající implementace národního schémat elektronických identifikačních dokladů
• oblast použití elektronického identifikačního dokladu je nesjednocená a širší než u
cestovního dokladu. Rozhodující bude použití pro elektronické transakce na internetu,
v nezabezpečeném prostředí držitelem, který není odborník.
• chybí profil ochrany pro bezpečnostní certifikaci
• chybí standardní sady testů pro testování konformity a interoperability
• chybí směrnice, nebo alespoň jednotný postup pro vydávání eID.
SmartCard Forum 2009 7

8. Příklad užití – estonské eID
Estonsko
• Počet obyvatel: 1,4 mil.
• 5 bank ovládá 99% trhu, „každý“ občan má
internetový bankovní účet, všechny banky
poskytují autentizační služby třetím stranám
• osmiletý náskok před ČR i řadou dalších
evropských zemí
SmartCard Forum 2009 8

9. Základní údaje
• Estonský eID je jediného typu, neobsahuje
žádné volitelné prvky a vyhovuje specifikaci
ICAO Doc. 9303 díl 3 - Size 1 and Size 2
Machine Readable Official Travel Documents
z roku 2002 (pouze stranově přehozená
fotografie kvůli čipu).
• eID obsahuje unikátní osobní číslo (identifikátor
držitele), obsažené ve veřejném registru Estonia
National Registry of Certification Service
Providers.
SmartCard Forum 2009 9

10. Estonský eID
Lícová strana
podpis a fotografie držitele
jméno
národní identifikátor
datum narození
pohlaví
státní příslušnost
číslo karty
datum konce platnosti
Rubová strana
místo narození
datum vydání karty
data MRZ
SmartCard Forum 2009 10

11. Obsah čipu
• eOP je osazen kontaktním čipem s 16 KB EEPROM, RSA. Na přání
držitele lze provést deaktivaci elektronických funkcí
• Textová personalizační data vytištěná na kartě jsou rovněž uložena
na čipu, grafické údaje (fotografie a zobrazení podpisu) na čipu
umístěny nejsou
• Na čipu jsou umístěny dva certifikáty X.509v3, určené pro
autentizaci a elektronický podpis, a korespondující privátní klíče
chráněné různými PIN. Certifikáty jsou kvalifikované a neobsahují
žádná autorizační data. Následné certifikáty jsou vydávány zdarma
• Autentizační certifikát obsahuje jméno, národní identifikátor držitele
a jedinečnou e-mailovou adresu ve tvaru ID_code@eesti.ee , která
je přidělena doživotně a slouží jako referenční doručovací adresa,
která je přesměrována serverem na reálnou e-mail adresu (max. 5
adres) držitele. E-mailová adresa je určena pro doručování veřejnou
mocí i firemními a privátními subjekty a je uvedena ve veřejném
registru
SmartCard Forum 2009 11

12. Infrastruktura eID
• Certifikační centrum – vydávání a užívání karet
• Dvě hlavní Estonské banky – na pobočkách výdej ID, správa
vydaných ID, čtečky karet
• Telekomunikační operátoři
• Estonian Citizenship and Migration Board – správa schéma, příjem
žádostí o ID, první žádost osobně, další elektronicky nebo poštou
zaslaná žádost s podepsanou každou stranou, o pas a ID lze žádat
najednou. Karta je vydána do 30 dnů, proces lze sledovat na
internetu. Při převzetí se vrací stará karta.
• Kořenová certifikační autorita estonského PKI
• Kořenová certifikační autorita estonského eID
SmartCard Forum 2009 12

13. Elektronické volby
• První místní volby do obecních zastupitelstev
s možností elektronické volby proběhly v říjnu
2005. Počet „e-voličů“ byl 9 000, což činí 1.8 %
voličů. Jednotkové implementační náklady byly
vyčísleny na 32 EUR/e-voliče.
• První parlamentní volby s možností elektronické
volby proběhly v březnu 2007. Počet e-voličů byl
30.000, což činí 5,4 % voličů.
SmartCard Forum 2009 13

14. Elektronické formuláře
• Základem elektronických aplikačních služeb
státu je více než 300 elektronických formulářů,
dostupných prostřednictvím portálu státu
http://www.eesti.ee.
• Pouze 4(!) z těchto formulářů využívají
elektronický podpis
SmartCard Forum 2009 14

15. Základní registry
Všichni držitelé eID mají přístup k celkem 20
základním registrům (registr obyvatel, registr
nemovitostí…).
Prostřednictvím autentizace s eID je možné
provést elektronická podání a dotazy do registru,
zjištění informací vedených o vlastní osobě a
přístupů k nim, zaslat upozornění na chyby a
změny, dotazy v určeném rozsahu na jiné
subjekty
SmartCard Forum 2009 15

16. Další aplikace
Daňová přiznání
• 86% obyvatel podává daňová přiznání on-line
(!), ale většina využívá autentizaci provedenou
bankou
Hromadná doprava
Elektronické lístky pro hromadnou dopravu byly
zavedeny jako dodatečná aplikace, která je
v současné době nejmasověji používanou
aplikací
SmartCard Forum 2009 16

17. Praktické zkušenosti a možná poučení
Základním paradoxem je poměr 55 000 aktivních
elektronických uživatelů na 1 milion vydaných karet, tedy
přibližně pouze 5% aktivních držitelů.
Původní záměr vydání eID během 14 měsíců se realizoval
v průběhu 5 let.
Mají se eID vydat pouze pro předpokládané budoucí aktivní
uživatele (model ČR)?
Budou v tomto případě vytvářeny aplikace pro držitele eID,
kterých je malé procento?
Jaká je klíčová aplikace pro eID?
Jak načasovat implementaci infrastruktury, aplikací, vydání
eID a „výchovy“ uživatelů v užívání eID?
SmartCard Forum 2009 17

18. Plošné nebo omezené vydání eID
Plošné vydání
Výhody: jednotné prostředí, stejné a nediskriminující
možnosti uživatelů, velký potenciál pro aplikace,
spouštěcí mechanismus rozvoje
Nevýhody: vyšší náklady na eID pro držitele, kteří je nikdy
nepoužijí
Omezené vydání
Výhody: úspora státu při vydávání eID
Nevýhody: náklady na infrastrukturu, správu a aplikace
stejné jako pro plošné vydání, nebudou vytvářeny
významné aplikace pro eID, nebudou používané v
komerční sféře, nebudou nakupovány
-> Omezené vydání eID nikdo nebude brát příliš vážně
SmartCard Forum 2009 18

19. Co není rozhodující aplikací pro eID
Rozhodující aplikací nemůže být žádná, byť sofistikovaná
aplikace, která se nepoužívá dostatečně často. Mezi tyto
aplikace – v kontrastu k obecnému míněním – patří:
• E-government - elektronická komunikace v rámci (C2G &
G2C) - nastává v průměru 1,4x ročně
• Elektronický podpis – běžný občan zřídka podpisuje
cokoli, tím méně elektronicky. Zákon 300/2008 Sb.
(datové schránky) navíc umožňuje nepoužívat
elektronický podpis
• Elektronické volby – v průměru 1x za 2 roky.
-> eGovernment nikdy nebude rozhodující aplikací pro
občany
SmartCard Forum 2009 19

20. Kandidát na rozhodující aplikaci
Důležitou a často užívanou aplikací může být
elektronická autentizace.
On-line bankovnictví je v Estonsku používáno
v průměru 1x týdně. Současně sílí tlak bank na
zrušení poskytování autentizace třetím stranám
a na omezení transakčního limitu při použití
hesel. Banky ale nejsou ochotny přejít na PKI,
dokud není 100% pokrytí eID.
-> Autentizace musí být použitelná nejen v rámci
eGovernment, ale i v komerčním sektoru.
-> Pro rozhodující aplikaci nesmí být alternativa
SmartCard Forum 2009 20

21. Vítězná aplikace – eJízdenky
Pro zvýšení využití eID bylo původní určení karty
rozšířeno na multiaplikační a byly
implementovány elektronické jízdenky, které se
v krátké době ukázaly jako nejužívanější
aplikace eID
-> Použití eID pro veřejné a komerční služby s
častou frekvencí je zásadním faktorem úspěchu
a efektivity vydání eID
SmartCard Forum 2009 21

22. Situace v ČR
V ČR je držitelem klasického občanského průkazu (OP) přibližně 8 mil.
občanů. Záměr vydání nových občanských průkazů, které mohou
být volitelně vybaveny čipem, vyjádřila Česká republika vládním
návrhem novely zákona 328/1999 Sb. o občanských průkazech,
který předložil ministr vnitra sněmovně dne 21. 1. 2009.
Důvodem pro vydání nových OP je neexistence jednotného nástroje,
kterým by občan mohl prokazovat svoji totožnost a zároveň uplatnit
svá práva a oprávnění prostřednictvím prostředků elektronické
komunikace. Navrhuje se proto zavést nový elektronický OP, který
bude mít formu karty. Tento průkaz bude moci nadále sloužit též
jako cestovní doklad v rámci zemí Evropské unie.
Předpokládaný začátek vydávání eOP (ve zkušebním provozu – web
MV) je 1.7. 2010
SmartCard Forum 2009 22

23. Elektronický OP bez čipu?
V návrhu novely zákona se předpokládá vydávání
(s výjimkou zvláštních případů OP bez strojově
čitelných údajů) dvou typů OP
• a) OP se strojově čitelnými údaji a s kontaktním
elektronickým čipem,
• b) OP se strojově čitelnými údaji.
Tyto OP slouží k prokázání jména, příjmení,
podoby, státního občanství České republiky a
dalších údajů uvedených v OP a slouží rovněž
k elektronické identifikaci držitele OP při
komunikaci s informačními systémy veřejné
správy.
SmartCard Forum 2009 23

24. Strojově čitelný AIFO
Základní elektronická komunikace s OP bez čipu bude založena
na využití části strojově čitelných údajů, ve formě 2D
čárového kódu. 2D kód bude obsahovat agendou identifikátor
fyzické osoby pro agendu občanských průkazů (AIFO) a číslo
občanského průkazu.
Současně s převzetím OP si občan zvolí bezpečnostní osobní
kód, který slouží k identifikaci držitele OP při komunikaci
s informačními systémy veřejné správy. Bezpečnostní kód
(není to PIN k čipu eOP) má délku 4 – 10 číslic a lze jej měnit
na kontaktních místech veřejné správy a odblokovat na
obecních úřadech obcí s rozšířenou působností.
Bezpečnostní kód bude uložen v evidenci OP v zašifrované
podobě. Elektronickou identifikaci bude možné zablokovat a
odblokovat, údaje o této skutečnosti budou rovněž uvedeny
v evidenci OP.
SmartCard Forum 2009 24

25. eOP s čipem
Informacích vztahujících se k elektronickému čipu v OP je
v novele zákona o OP velmi málo.
• Základní informací je, že čip bude mít pouze kontaktní
rozhraní. Důvodová zpráva uvádí, že využití kontaktního
čipu zabezpečí vyšší míru ochrany proti zneužití údajů
obsažených v čipu
Z hlediska obsahu čipu zákon uvádí pouze dvě specifikace:
• Do kontaktního elektronického čipu lze zapsat údaje,
jejichž zápis a rozsah stanoví jiný právní předpis a se
souhlasem držitele.
• Nelze-li z důvodu nedostatku místa v
kontaktním elektronickém čipu zapsat všechny
požadované údaje, určí občan, které z nich se zapíšou.
SmartCard Forum 2009 25

26. Osladíme si to sami?
Do doby vydání právního předpisu, který určí zápis
a rozsah údajů, které lze zapsat do
elektronického čipu je (teoreticky) možné
vydávat pouze eOP s čipem připraveným pro
pozdější nahrání určených údajů.
ČR by vydala světovou raritu – eOP s „prázdným
čipem“.
Nutný systém pro správu eOP bude významně
komplikovanější a nákladnější.
Počet občanů, kteří zaplatí správní poplatek za
„prázdný čip“, bez možnosti přímého použití,
bude minimální.
SmartCard Forum 2009 26

27. Náměty pro eOP v ČR – 1/3
Vydání eOP by nemělo být cílem, ale prostředkem k
dosažení specifických cílů v určitém stavu plošného
rozvoje elektronických služeb, které musí být v předstihu
vybudovány.
Vzhledem ke skutečnosti, že pro eOP neexistují přímo
aplikovatelné standardní specifikace (jako v případě
elektronických pasů), je nutná důkladná analytická
příprava a široce oponovaný návrh technického řešení,
použitých standardů, oblasti využití, nezbytné
infrastruktury a aplikačních rozhraní.
Tato příprava vyžaduje dostatečný čas a měla by být
vybudována v předstihu před přijetím právních předpisů.
SmartCard Forum 2009 27

28. Náměty pro eOP v ČR – 2/3
• Elektronická autentizace je jednou z klíčových služeb
eID. Protože neexistuje eAuthentication Directive od
Evropské komise, ani žádná česká právní úprava (na
rozdíl od elektronického podpisu), je nezbytné iniciovat
vhodnou právní úpravu v této oblasti. V této souvislosti je
nezbytné vyřešit identifikaci osoby – agendové
identifikátory nejsou použitelné mimo agendy státu a
v certifikátech!
• Elektronický podpis není klíčovou aplikací, jeho význam
pro občana dále dramaticky klesá v souvislosti se
systémem datových stránek, přesto je zatím jedinou
zmiňovanou elektronickou funkcí eOP!
SmartCard Forum 2009 28

29. Závěry pro ČR – 3/3
• V ČR ani zdaleka neexistuje dostatečná infrastruktura PKI – chybí
jednotná forma elektronického podpisu, služby ověření
elektronického podpisu, archivace podepsaných dokumentů. Není
uspokojivě vyřešena identifikace držitele certifikátu.
• Vydání 2 typů OP (s čipem a bez čipu) je na první pohled
ekonomické, ale náklady na vybudování infrastruktury a aplikací
jsou stejné. Je sporné, zdali bude investováno do vývoje aplikací,
pokud penetrace eOp s čipem bude malá
• eOP by měl být víceaplikační, s využitím pro veřejné služby
(doprava…) a komerční (přímé bankovnictví, internetové
obchody…). V opačném případě nelze očekávat efektivní využití
eOP, bude chybět zájem uživatelů i poskytovatelů služeb.
SmartCard Forum 2009 29