Z opublikowanych przez Ministerstwo Cyfryzacji (MC) fragmentów kodu źródłowego mObywatela nie dowiemy się, czy aplikacja nie ma np. funkcji śledzenia, resort nie zachował się transparentnie - ocenili dla PAP eksperci cyberbezpieczeństwa Adam Haertle, Tomasz Zieliński, Beata Zalewa i Łukasz Olejnik.
29 grudnia 2025 r. resort cyfryzacji poinformował, iż udostępnił „kod źródłowy aplikacji mObywatel”. Fragmenty kodu znalazły się w biuletynie informacji publicznej MC. Aby je zobaczyć, trzeba było najpierw potwierdzić swoją tożsamość m.in. przez Profil Zaufany, aplikację mObywatel lub bankowość elektroniczną.
Do publikacji kodu źródłowego resort był zobowiązany ustawą o aplikacji mObywatel z 2023 r. Publikacja była zgodna z opiniami eksperckimi w tej sprawie, które przedstawiły kluczowe instytucje krajowego systemu cyberbezpieczeństwa: CSIRT GOV, CSIRT MON i CSIRT NASK.
Fasadowa publikacja: Tylko wygląd, bez funkcji
„Ministerstwo Cyfryzacji opublikowało zaledwie kilka procent kodu źródłowego aplikacji mObywatel, wybierając elementy odpowiadające za wygląd aplikacji” - ocenił dla PAP Adam Haertle, założyciel eksperckiego portalu dot. cyberbezpieczeństwa Zaufana Trzecia Strona. Resort opublikował wygląd przycisków, pól tekstowych i innych elementów wizualnych - doprecyzował niezależny konsultant i badacz z Department of War Studies, King's College London Łukasz Olejnik, który - jak podkreślił - uważa, że publikacja tego kodu „nie jest niezbędna”.
Mimo tego - w jego ocenie, podobnie jak i innych ekspertów komentujących sprawę dla PAP - resort nie zachował się transparentnie publikując wymienione fragmenty. Nie można się z nich dowiedzieć, jak aplikacja działa, czy jak zabezpiecza nasze dane - zauważył Haertle. "Z punktu widzenia bezpieczeństwa nic się nie zmieniło” - ocenił i dodał, że opublikowane elementy kody można wcześniej odtworzyć, np. przez pobieranie aplikacji i analizę jej treści.
Właściwie nie opublikowano źródeł mObywatela (...). Opublikowano element formy, a nie tego, jak działa aplikacja. To tak, jakby ujawnić kolor maski samochodu bez jej otwierania z zapowiedzią inspekcji silnika - ocenił Olejnik.
Obawy o śledzenie i brak audytu
Z kolei specjalista cyberbezpieczeństa i twórca bloga Informatyk Zakładowy, Tomasz Zieliński wskazał, że mObywatel to bardzo użyteczne narzędzie, jednak część użytkowników może mieć obawy, czy nie ma ono niepożądanych funkcji, np. śledzenia lokalizacji albo potajemnej transmisji obrazu z kamery telefonu. „Dostęp do kodu źródłowego aplikacji pozwoliłby niezależnym ekspertom na potwierdzenie, że nic takiego nie ma miejsca. Byłoby to też działaniem zwiększającym przejrzystość działań administracji rządowej” - podkreślił Zieliński.
„Prawdziwa transparentność to dla mnie możliwość audytu realnej logiki działania, a nie tylko oglądanie efektu wizualnego. Bez całości kodu nie da się w 100 proc. stwierdzić, czy aplikacja jest napisana z zachowaniem najwyższych standardów” - zaznaczyła ekspertka cyberbezpieczeństwa Beata Zalewa. „Skoro aplikacja powstała za publiczne pieniądze, chciałabym móc samodzielnie zweryfikować jej mechanizmy, by mieć pewność, że moje dane są bezpieczne i system nie zawiera ukrytych funkcji śledzących” - dodała.
Wskazała, że Ministerstwo Cyfryzacji „ogłosiło sukces”, deklarując na platformie X „Publikujemy kod źródłowy mObywatela”, a kilka linijek dalej w tym samym wpisie poinformowało, że „opublikowana została część kodu źródłowego aplikacji mObywatel w zakresie wynikającym z rekomendacji CSIRT-ów”. Opublikowano - jej zdaniem - „nieistotne elementy” kodu, które można było już wcześniej odtworzyć przy użyciu darmowych narzędzi.
„Tak jakby ktoś zakładał, że wśród obywateli nie ma osób, które pamiętają o tym, co było obiecane, ocenią to, co zostało dostarczone i połączą kropki ze sobą. I którzy będą głośno mówić o tym, że nie taka była umowa. Uważam, że lepiej byłoby uczciwie przyznać, że pełna publikacja kodu jest niemożliwa, niż serwować kod w takim formacie” - oceniła Zalewa.
Kod źródłowy mObywatela tylko dla wybranych
Łukasz Olejnik zauważył, że żeby przejrzeć fragmenty kodu trzeba było się najpierw uwierzytelnić, a samo przeglądanie - ocenił - było wysoce utrudnione. „Trudno zrozumieć, po co to zrobiono. Jeśli po to, by utrudnić przeglądanie i ściągnięcie kodu, to na niewiele się to zdało. Kod w ciągu paru godzin trafił na GitHub (platforma dla programistów - PAP)” - powiedział ekspert. Zdaniem Adama Haertle, pobranie opublikowanych fragmentów kodu źródłowego „było utrudnione”, prawdopodobnie ze względu na „dość absurdalną opinię CSIRT MON”.
Jak zauważył Tomasz Zieliński, ponad 90 proc. kodu zostało utajnionych na podstawie opinii krajowych CSIRT-ów, których treść także w większości była tajna. „Opinia CSIRT MON, która jako jedyna z trzech opinii jest jawna, potwierdza, że otworzenie kodu źródłowego może przynieść społeczne korzyści” - zaznaczył Zieliński. Jak tłumaczył, autorzy opinii podkreślili, że proces taki wymaga przygotowania na poziomie organizacyjnym, np. zadbania, by w komentarzach w kodzie źródłowym nie znalazły się nadmiarowe informacje. Zdaniem Zielińskiego część zaleceń MON, np. postulat, aby ograniczyć grono odbiorców jedynie do obywateli RP, była dla ekspertów niezrozumiała.
„Informatyk Zakładowy” podkreślił również, że tylko część elementów kodu mObywatela ma krytyczne znaczenie dla bezpieczeństwa państwa, resort mógłby więc wyłączyć z publikacji jedynie te fragmenty. „Nic nie stoi na przeszkodzie, by ujawnić szablon ekranu wyświetlającego dane mDowodu albo procedurę obsługi przycisków dostępnych na tym ekranie” - ocenił.
Zdaniem Łukasza Olejnika publikacja fragmentów kodu źródłowego mObywatela 29 grudnia, to „ciekawy performens umilający przerwę świąteczną”. Jak dodał „bardziej serio”, publikacja fragmentów kodu w omówionym formacie „paradoksalnie może obniżyć zaufanie do państwa”.
Beata Zalewa oceniła formę publikacji fragmentów kodu źródłowego mObywatela, jako „działanie fasadowe, mające jedynie udawać otwartość” (tzw. open-washing), a Adam Heartle - jako „teatr bezpieczeństwa”.
„Kpina z obywateli” po 2,5 roku prac
Tomasz Zieliński zauważył, że resort cyfryzacji i Centralny Ośrodek Informatyki, który odpowiada za stronę techniczną mObywatela, miały 2,5 roku na przygotowanie się do publikacji kodu. „Biorąc to pod uwagę, działanie resortu jest kpiną z obywateli a Minister Cyfryzacji zwyczajnie zignorował ciążący na nim obowiązek” - ocenił ekspert.
Pierwotnie do publikacji kodu miało dojść w ciągu roku od wejścia w życie ustawy, czyli w połowie lipca 2024 r. Jednak na początku lipca ub.r. weszła w życie ustawa o pomocy obywatelom Ukrainy, która zmieniła niektóre przepisy ustawy o mObywatelu.
W ustawie o pomocy obywatelom Ukrainy wskazano, że do publikacji kodu może dojść po uzyskaniu przez resort cyfryzacji opinii CSIRT GOV, który jest nadzorowany przez ABW; CSIRT MON i CSIRT NASK, „w zakresie niezagrażającym bezpieczeństwu tej aplikacji oraz jej użytkowników lub systemu mObywatel”.
„Zgodnie z ustawą o aplikacji mObywatel, po otrzymaniu opinii od CSIRT MON, CSIRT ABW i CSIRT NASK, w Biuletynie Informacji Publicznej Ministerstwa Cyfryzacji opublikowana została część kodu źródłowego aplikacji mObywatel w zakresie wynikającym z rekomendacji CSIRTów” - przekazał resort w serwisie X 29 grudania ub.r.
W Polsce działają trzy krajowe Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (z ang. Computer Security Incident Response Team): CSIRT NASK, CSIRT GOV oraz CSIRT MON. Ustanowiła je ustawa o Krajowym Systemie Cyberbezpieczeństwa z 2018 r. Każdy z CSIRT-ów odpowiedzialny jest za koordynację incydentów zgłaszanych przez przyporządkowane zgodnie z ustawą podmioty. Do ich zadań należy też rozpoznawanie, zapobieganie i wykrywanie zagrożeń godzących w bezpieczeństwo.
Monika Blandyna Lewkowicz (PAP)
mbl/ drag/
