Государства давно сговорились в одном: держать в голове тысячу паролей — унизительно, лучше один цифровой профиль на все случаи жизни. Индия построила Aadhaar, Евросоюз собирает общий кошелёк цифровой идентичности, банки и госуслуги по всему миру перебираются на единый вход. Удобство — не поспоришь. Но очередная новость о попытке обхода авторизации у поставщика решений цифровой доверенности — и всплывает старое правило системных архитекторов: чем меньше замков, тем дороже каждый.
Схема проста до неприличия. Провайдер идентификации один раз убеждается, кто перед ним — смотрит документы, снимает биометрию, а то и приглашает в ведомство лично, — после чего выдаёт токены. По этим токенам банк, налоговая, больница и страховая пускают гражданина без повторной бюрократии. Технически всё держится на федеративных протоколах вроде SAML и OpenID Connect, знакомых корпоративному IT давно. Новичок здесь один — государство, взвалившее на себя роль такого провайдера.
Примеры множятся быстрее новостей об утечках. Aadhaar в Индии подтверждает личность более чем миллиарда жителей, по большей части биометрией. Эстония уже несколько десятилетий живёт на e-ID и гоняет данные между ведомствами через X-Road. В Евросоюзе собирают кошелёк цифровой идентичности в рамках eIDAS 2.0, причём сервисы будут обязаны его принимать — хотят или нет. За океаном работает федеральный вход Login.gov, а Apple и Google методично складывают водительские удостоверения в свои кошельки. Тренд читается без бинокля: идентичность перестаёт быть парой «логин — пароль» и превращается в инфраструктуру — как электросеть. Хорошо. Только у любой электросети есть подстанции, на которых отказ множится на целый район.
Возьмём eMudhra — аккредитованный индийский удостоверяющий центр и разработчик сервисов электронной подписи. Его сертификаты и платформа обеспечивают юридически значимый документооборот у компаний и госорганизаций. Перед нами ровно та порода поставщиков, которым рынок по умолчанию делегирует право сказать: «это точно он». И вот что показательно: по имеющимся данным, слабым местом у подобных сервисов оказывается самая прозаичная вещь — восстановление доступа. Ошибка в логике — и дорога к чужим учётным записям открыта.
Криптографию ломать не понадобилось. Шифрование у всех одно и то же, и оно надёжное. Подводит обвязка: формы сброса пароля, проверки почты, сессионная логика. В централизованной модели атакующему не нужны миллионы жертв — достаточно одного удачного хода против одного вендора. Дальше рычаг уже на весь контур: аккаунты, подписанные документы, журналы операций. Единая точка отказа, как с учебника, только в дата-центре она не живёт — она вшита в саму конструкцию доверия.
Итак, «главный» идентификатор скомпрометирован. Дальше открывается не один сервис, а цепочка: почта восстановления, за ней банк, налоговый кабинет, медицинские записи. Механизмы восстановления, задуманные как страховка, сами становятся дверью: уговорить поддержку данными из украденной базы — и чужая цифровая жизнь переезжает к злоумышленнику. Добавьте SIM-swap и фишинг — и одна и та же приманка работает на все сервисы разом, потому что вход везде одинаковый.
В федеративной архитектуре хуже: токены скомпрометированного провайдера принимают все подключённые стороны, и доверие разносит инцидент с тем же энтузиазмом, каким разносило удобство. Индустрия этот фильм уже смотрела: компрометация удостоверяющего центра DigiNotar больше десяти лет назад закончилась гибелью компании и пересборкой всей модели доверия к сертификатам. Противоядия известны — аппаратные ключи и passkeys против фишинга, ступенчатая аутентификация для критичных операций, сегментация прав, ограничение радиуса доверия. Открытый вопрос один: государство, возводящее монумент удобству, заложит эти страховки в проект сразу — или достроит после первого громкого хлопка?
У нас централизация зашла дальше, чем у многих. ЕСИА, единая система идентификации и аутентификации, давно перестала быть входом только на Госуслуги: банки проводят через учётную запись Госуслуг упрощённую идентификацию клиентов, те же данные подхватывают страховые, телеком-операторы и сервисы найма. Минцифры продвигает мобильный идентификатор — подтверждение входа и операций через приложение Госуслуг вместо SMS-кодов. Параллельно растёт биометрический контур: Единая биометрическая система, сдача образцов в отделениях банков, вход по лицу и голосу.
Свой контур и у электронной подписи: налоговая служба бесплатно выдаёт квалифицированные сертификаты физлицам и предпринимателям, инфраструктура стоит на отечественной криптографии, модель удостоверяющих центров закреплена законом. Плюсы налицо: единый профиль срезает бюрократию, push-подтверждения хоронят схемы с перехватом SMS. Но обратная сторона медали — концентрация предельная. Ляжет ЕСИА или достанется взломщикам — разом встанет всё: от банка до записи к врачу. А любая утечка баз данных превращается в топливо для социальной инженерии и фишинга на поддельных страницах Госуслуг. Сценарии единого ID тем временем множатся — и чем их больше, тем острее вопрос о резервных каналах доступа и о защите самой «учётки от всего» как объекта критической инфраструктуры.
Централизованная цифровая личность — не зло, а сделка: удобство в обмен на концентрацию риска. Истории о попытках обхода авторизации у поставщиков доверения показывают цену этой сделки без страховки: ломается не криптография, а логика восстановления доступа — и вместе с ней доверие ко всему контуру. Здоровая архитектура единого ID обязана исходить из нехорошей, но реалистичной посылки: провайдера идентификации либо взломают, либо уронят. Отсюда ступенчатая аутентификация на критичных операциях, фишинг-устойчивые ключи, изоляция сценариев и резервные каналы входа, которые действительно работают. Цифровая идентичность сегодня — та же электросеть: общая подстанция никого не смущает, но вторая рядом быть обязана.