المخاوف الأمنية بشأن النظام في قلب الهوية الرقمية

تواجه الحكومة أسئلة حول ما إذا كان يمكن الوثوق بالنظام الموجود في قلب خططها للهوية الرقمية للحفاظ على أمان البيانات الشخصية للأشخاص.

سيتم توفير الهوية الرقمية لجميع مواطني المملكة المتحدة والمقيمين القانونيين ولكنها ستكون إلزامية للتوظيف فقط, ضمن مقترحات الحكومة.

ولم يتم الإعلان بعد عن التفاصيل الكاملة لكيفية عمل النظام، لكن رئيس الوزراء السير كير ستارمر أصر على أنه “سيكون الأمن في جوهره”.

وسيعتمد على نظامين أنشأتهما الحكومة – Gov.uk One Login وGov.uk Wallet.

One Login هو حساب واحد للوصول إلى الخدمات العامة عبر الإنترنت، والتي تقول الحكومة إن أكثر من 12 مليون شخص اشتركوا فيها بالفعل.

وبحلول هذا الوقت من العام المقبل، قد يصل العدد إلى 20 مليونًا، حيث سيتعين على الأشخاص المسجلين كمديرين للشركة التحقق من هويتهم من خلال تسجيل دخول واحد اعتبارًا من 18 نوفمبر.

لم يتم إطلاق Gov.UK Wallet بعد، ولكنها قد تسمح للمواطنين في النهاية بتخزين هويتهم الرقمية – بما في ذلك الاسم وتاريخ الميلاد والجنسية وحالة الإقامة والصورة – على هواتفهم الذكية.

سيحتاج المستخدمون إلى تسجيل دخول واحد من Gov.UK للوصول إلى المحفظة.

وفي الشهر الماضي، أطلقت الحكومة بطاقة هوية رقمية للمحاربين القدامى العسكريين لاختبار هذا المفهوم.

وتأمل الحكومة في تجنب المشكلات الأمنية عن طريق الاحتفاظ بالتفاصيل الشخصية التي يمكن الوصول إليها من خلال تسجيل دخول واحد في الإدارات الحكومية الفردية بدلاً من قاعدة بيانات مركزية واحدة.

لكن الناشط المخضرم في مجال الحريات المدنية والنائب المحافظ ديفيد ديفيس أثار مخاوف بشأن العيوب المحتملة في تصميم وتنفيذ One Login التي يقول إنها قد تجعله – ونظام الهوية الرقمية الجديد – عرضة للقراصنة.

وفي حديثه في مناقشة بقاعة وستمنستر في وقت سابق من هذا الشهر، قال: “ما سيحدث عندما يدخل هذا النظام حيز التنفيذ هو أن بيانات السكان بالكامل ستكون مفتوحة للجهات الفاعلة الخبيثة – الدول الأجنبية، ومجرمي برامج الفدية، والقراصنة الحاقدين، وحتى أعدائهم الشخصيين أو السياسيين.

“ونتيجة لذلك، سيكون هذا أسوأ من الأفق [Post Office] فضيحة.”

كتب ديفيس إلى هيئة مراقبة الإنفاق، مكتب التدقيق الوطني، يدعو إلى إجراء تحقيق “عاجل” في تكلفة تسجيل الدخول الواحد، والتي يقول إنها من المؤكد أنها سترتفع فوق مبلغ 305 ملايين جنيه إسترليني المخصص لها بالفعل.

في رسالته، سلط النائب الضوء على حادثة وقعت عام 2022، حيث تبين أن نظام One Login تم تطويره على محطات عمل غير آمنة بواسطة مقاولين دون الحصول على التصريح الأمني ​​المطلوب في رومانيا.

ويشير ديفيس أيضًا إلى أن One Login لا يلبي متطلبات الحكومة الخاصة لتصنيفه كمورد هوية آمن وموثوق.

ألقت الحكومة باللوم على أحد الموردين للسماح بانتهاء شهادة إطار الثقة للهوية الرقمية والسمات الخاصة به في وقت سابق من هذا العام، وتقول إنها تعمل على استعادتها، وهو ما سيحدث “قريبًا”.

بشكل منفصل، شكك المتحدث باسم التكنولوجيا في الحزب الليبرالي الديمقراطي، اللورد كليمنت جونز، فيما إذا كان One Login يفي بمعايير المركز الوطني للأمن السيبراني.

يقول النظير إنه كان يتحدث إلى أحد المبلغين عن المخالفات، الذي يدعي أن الحكومة قد فوتت الموعد النهائي لعام 2025 المنصوص عليه في استراتيجيتها الوطنية للأمن السيبراني لتقوية الأنظمة “الحرجة” ضد الهجمات السيبرانية.

وينفي الوزراء ذلك، لكن عضو الحزب الديمقراطي الليبرالي قال إن أحد المسؤولين أخبره أن One Login لن يجتاز الاختبارات الأمنية المطلوبة حتى مارس 2026.

سلط المبلغ عن المخالفات الضوء أيضًا على حادثة وقعت في مارس من هذا العام، عندما تمكن ما يسمى بـ “الفريق الأحمر” المكلف بمحاكاة هجوم إلكتروني حقيقي من الحصول على امتياز الوصول إلى أنظمة One Login.

تقول وزارة العلوم والابتكار والتكنولوجيا (DSIT) إنها غير قادرة على تقديم تفاصيل عن تمرين الفريق الأحمر لأسباب أمنية، لكنها تقول إن الادعاءات بأن أنظمتها قد تم اختراقها دون اكتشافها غير صحيحة.

كما أكد مسؤولو DSIT للورد كليمنت جونز أن المقاولين من الباطن في رومانيا كانوا “حفنة من الأشخاص” لم يتمكن أي منهم من الوصول إلى الإنتاج “وتم فحص جميع التعليمات البرمجية”.

يقول القسم إن جميع أعضاء الفريق الذين يعملون على One Login يستخدمون أجهزة “تديرها الشركة” والتي تتم مراقبتها بواسطة فريق أمني لاكتشاف أي نشاط ضار.

لكن اللورد كليمنت جونز قال لبي بي سي إنه غير مقتنع بتأكيدات الوزارة.

وقال إن سجل الحكومات المتعاقبة في تشغيل One Login والأنظمة الأخرى “لا ينبغي أن يمنحنا أي ثقة على الإطلاق في أن الهوية الرقمية الإلزامية الجديدة، التي ستعتمد عليها، ستضمن أن بياناتنا الشخصية آمنة وستلبي أعلى معايير الأمن السيبراني”.

في الأسبوع الماضي، سلم رئيس الوزراء السيطرة الشاملة على نظام الهوية الرقمية إلى مكتب مجلس الوزراء، الذي يرأسه أحد الوزراء الأكثر ثقة وكبار الوزراء دارين جونز، مما يعكس أهميته للحكومة.

لكن الخدمة الرقمية الحكومية، والتي تعد جزءًا من DSIT، ستحتفظ بمسؤولية تصميم المشروع.

قال متحدث باسم DSIT: “يستمر Gov.UK One Login في تقديم الخدمات للمواطنين في جميع أنحاء المملكة المتحدة.

“أصبح One Login الآن موطنًا لأكثر من 100 خدمة وقد استخدمه أكثر من 12 مليون شخص – وهو ما يمثل ما يقرب من سدس سكان المملكة المتحدة.

“يتبع One Login أعلى معايير الأمان المستخدمة في الحكومة والقطاع الخاص ويتوافق تمامًا مع قوانين حماية البيانات والخصوصية في المملكة المتحدة.

“يخضع النظام لمراجعات واختبارات أمنية منتظمة، بما في ذلك من قبل أطراف ثالثة مستقلة، لضمان بقاء الأمن قويًا ومحدثًا.”