Category Archives: интернет

Поредна димка за машинното гласуване и изборите в София

от Божидар Божанов
лиценз CC BY

Гледам, че пак се правят опити за дискредитиране на машинното гласуване дори когато машините не отичтат резултат. Както обикновено, зад бомбастични твърдения като „откраднати гласове“, „масова фалшификация“, „не се знае кой печели“ и „липсващи флашки“ стои (в добрия случай) некомпетентност и (в лошия случай) политическа злонамереност. Затова нека обърна внимание на някои детайли:

На първо място трябва да подчертаем за пореден път, че след последните промени, машините не броят. Броят хората. Машината може да се ползва, за да се установят евентуални проблеми при броенето от хората в комисиите.

Това, което експертизата е установила (четох я преди заседанието на съда), е че има нищожни разминавания (200 гласа при 300 секции) между хартиените протоколи и данните на флашките. Нещо, което винаги го е имало, винаги се е оказвало, че е или човешка грешка при броенето или еднократен проблем с принтера и хартията. Именно заради тези разминавания настоявахме флашките да останат в изборния кодекс, настоявахме да се използват в РИК при приемане на протоколите. РИК не прави това сравнение, но флашките останаха именно заради настояването на ППДБ. За да могат да се правят такива сравнения. Но чували не са отваряни и бюлетини не са броени. Т.е. в момента отчитаме разликата между отчетеното от машината и отчетеното от секционната комисия, без да го броим повторно. Съответно всякакви твърдения кое е „вярно“ са несъстоятелни.

Разликите винаги са били нищожни и не са променяли резултата. Аз направих такова сравнение на парламетнарните избори и го публикувах. И тогава разминаванията не променяха резултата, и сега не го правят – кумулативно 200 гласа при 10% от протоколите значат, че дори да се запази това съотношение, при 100% сравнение ще има 1000 гласа разлика. При победа на Терзиев с около 5000 гласа. Трябва да отбележим, че на флашката има повече гласове и за двамата кандидати. Отчасти заради проблеми с ролката и хартията, отчасти заради човешки грешки при броенето.

Има твърдения, че протоколите не са подписани с квалифициран електронен подпис. Първо, по закон това не се изисква. Защото квалифицираният електронен подпис е на физическо лице, а ключовете (и картите) с които се подписват протоколите са на „секционна комисия“, т.е. законово те няма как да бъдат КЕП. Но технически са именно такива – смарткарта, частен ключ, удостоверителна верига и то (по стечение на обстоятелствата) от доставчик на квалифицирани удостоверителни услуги, т.е. с опит в тази сфера (Информационно обслужване). Подписите могат да се проверят от всеки и гарантират, че е нямало подмяна на файлове (по моя препоръка ЦИК публикува публичните ключове на смарткартите преди изборния ден, за да може да се установи дали подписите са направени с правилните карти, а не с други). (Твърдението за подписването е оттеглено в съдебното заседание от вещото лице след несъгласие от страна на нашите адвокати)

Липсващите 15 флашки (според експертизата) всъщност са проблем на организацията при предоставяне на материалите. Първоначално не е била предоставена нито една флашка (пак според експертизата). Данните от флашките, заедно с подписите към тях, са налични на сайта на ЦИК – проверих тези секции. Вещите лица е можело също да ги вземат от там и да ги сравнят, оставяйки все пак забележката, че не са дошли на флашка (аз сравних 4 от тях, няма нищо по-различно от останалите – +/- един глас)

Действително, в допълнение на човешките грешки, заради проблемите с хартията и принтерите (за което помните, че сигнализирахме както при приемането на промените в Изборния кодекс, така и преди последните избори), разминаванията са в много секции. С по 1-2 гласа, разбира се, но самият процент секции звучи стряскащо. Поради което ще продължим да настояваме тези сравнения да се правят в РИК, а не пост-фактум, защото разликите в числата са незначителни, но политическите ефекти от злонамереното им използване може да са значителни.

В заключение, няма откраднати гласове, няма липсващи данни, няма възможност за манипулация на машинни протоколи и няма фалшификации. Има, обаче, политици, които искат да оправдаят неуспехите си с изборната технология. И призивът ми към анализаторите е да не им се връзват, а да погледнат детайлите внимателно.

Материалът Поредна димка за машинното гласуване и изборите в София е публикуван за пръв път на БЛОГодаря.

Another Attack Vector For SMS Interception

от Божидар Божанов
лиценз CC BY

SMS codes for 2FAs have been discussed for a long time, and everyone knowledgeable in security knows they are not secure. What’s more – you should remove your phone number from sensitive services like Gmail, because if an attacker can fallback to SMS, the account is compromised.

Many authors have discussed how insecure SMS is, including Brian Krebbs, citing an example of NetNumber ID abuse, in addition to SIM Swap attacks and SS7 vulnerabilities.

Another aspect that I recently thought about is again related to intermediaries. Bulk SMS resellers integrate with various telecoms around the globe and accept outgoing SMS by API calls, which they then forward to a telecom in the relevant country. Global companies that send a lot of SMS try to look for cheap bulk deals (you are probably aware that Twitter/X recently decided to charge for SMS 2FA, because it was incurring high costs). These services are sometimes called a2p (application to person).

This means that intermediaries receive the 2FA code before it reaches the subscriber. A malicious insider or an attacker that compromises those intermediaries can thus have access to 2FA codes before they reach the subscriber.

I don’t know if this attack vector has been used, but it is a valid attack – if an attacker knows the intermediaries that a given service is using, they can either try to compromise the systems of the intermediaries, or gain access through a compromised insider. In either scenario, the victim’s 2FA code will be accessible to the attacker in real time.

This just reinforces the rule of thumb – don’t rely on SMS for two-factor authentication.

The post Another Attack Vector For SMS Interception appeared first on Bozho's tech blog.

За Школо и софтуера в обществения сектор

от Божидар Божанов
лиценз CC BY

Школо е продадено на британска компания. В стартъп света това е добра новина – успешен exit за българска компания. Но предвид, че Школо обработва данните на хиляди ученици, има и притеснения от това развитие.

Обективно, дали собствеността на фирмата е българска или от друга държава, която прилага европейското законодателство за защита на данните, разлика няма. Дори не би трябвало данните да напускат контрола на българското дружество, но дори да го направят един ден, Великобритания избра да запази GDPR в своето законодателство, а британският регулатор е един от най-добрите, така че аз нямам притеснения за данните.

Между другото, данните на всички ученици се обработват и от Майкрософт от много време, защото всеки ученик своя акаунт има право на безплатен офис пакет.

Винаги, когато става дума за софтуер, държавата трябва да осмисли рисковете от дългосрочно обвързване с частен доставчик и да ги претегли спрямо ползите от това. Дори да избере външен доставчик, трябва да има право да прекрати договора и да продължи да разполага с данните – нещо, което Школо предоставя.

Данните се изпращат и в централната система на МОН (НЕИСПУО), т.е. училищата не са вързани за доставчика. Това е устойчиво решение и добра практика както от страна на държавата, така и от страна на доставчика.

Появиха се и твърдения, че Школо е безплатно (и съответно продава данните на децата). Това не е вярно – Школо има договори с училища и те не са безвъзмездни.

Школо е пример за това как частната инициатива дава много по-добри резултати от „централното планиране“ на държавата, особено когато става дума за потребителски софтуер. Държавата има много по-голям ресурс да изгради система за електронни дневници, но Школо е предпочитано от учители, родители и ученици, защото се грижи за потребителя, а не просто „да изпълни нормативните изисквания“.

Държавата е „вързана“ да използва т.нар. waterfall модел, който е остарял, но следва от Закона за обществените поръчки – изготвя се едно голямо задание, то се възлага, това отнема много време и накрая ако резултатът не отговаря на очакванията, няма много какво да се направи, освен да де поръча надграждане. Този модел трябва да се промени, за да може системите, които държавата неизбежно се налага да изгради, да са по-добри (и вече работим по такъв модел).

От гледна точка на частния сектор, работата с държавни структури е рискова (освен аутсорсинга) – политически решения могат да застрашат бизнес модела, напр.. Моят съвет към стартъпите по принцип е да избягват да работят с публичния сектор, най-вече защото временни не успехи не показват т.нар. product-market fit. Но училища, болници и други разпределени структури на обществения сектор предоставят възможен бизнес модел, с ползи за гражданите.

В заключение, смятам, че продажбата на Школо не носи риск за данните на учениците или за системата на образованието. Може да ни служи за пример как да използваме софтуер без да сме заключени за него. И за стимул държавата да подобри процесите си по изграждане на софтуер, защото в много случаи няма пазарен стимул за изграждане на твърде специализиран софтуер за нуждите на държавата.

Материалът За Школо и софтуера в обществения сектор е публикуван за пръв път на БЛОГодаря.

Отчет за парламентарната ми дейност през втората сесия

от Божидар Божанов
лиценз CC BY

В края на първата парламентарна сесия на 49-тото Народно събрание публикувах отчет какво съм свършил. В края на 2023 г. приключи и втората парламентарна сесия, така че ето моя отчет и за нея.

Най-важното, което приехме, бяха промените в Конституцията. Но както писах и тогава, тук ще включа само неща, по които лично съм работил (рядко сам, разбира се), за да не си приписвам работа на други колеги или други парламентарни групи. Иначе тук е целият ми профил в сайта на Народното събрание.

През втората сесия приехме следните законови изменения:

  • Изменения в Закона за електронното управление, с които служебни справки се приравняват на удостоверения с цел тяхното отпадане; отпадане на нуждата от квалифициран електронен подпис за заявяване на е-услгуги; електронно връчване на всички документи, свързани с административното наказване; намаляване на таксите за електронни услуги. Описал съм промените в повече детайли тук.
  • Отпадане на трудовата книжка и замяната ѝ с данни в електронен регистър – за това писах по-детайлно тук след приемането на измененията
  • Повече прозрачност в Закона за обществените поръчки – публикуване на повече данни в структуриран вид, както и задължение за публикуване на договори дори когато не се прилага закона (т.е. по изключенията). Описал съм в детайли тук, като с последващо изменение през Закона за бюджета по мое предложение беше приета и допълнителна прозрачност за индексациите заради инфлацията, а именно – да се публикуват всички документи свързани с промяната на стойността на договора. Приехме и редките лекарства да се купуват чрез рамково споразумение, и само ако няма такова да се прилага досегашния ред, а именно – изключение от ЗОП.
  • В Закона за местните данъци и такси приехме общините служебно да получават информация от Кадастъра и Имотния регистър за преустройства, от които следва промяна в данъка, вместо собствениците да го декларират. Предложението в първоначалния му вид беше на Възраждане, а след това работих по неговто преправяне съвместно с НСОРБ и МФ.
  • В Закона за данъка върху добавената стойност премахнахме изискването електронните фактури са имат няколко екземпляра (съответно „копие“ и „оригинал“), тъй като това е най-малкото странно.
  • Поправихме пропуск в Кодекса на труда, така че заплати да могат да се превеждат по всякакви платежни сметки, а не само по банкови такива (има редица услуги, които не са банкови, но по закон имат право да предоставят IBAN)
  • В Закона за авторското право и сродните му права приехме т.нар. право на вторично публикуване на научна литература. Целта на научната литература е знанието да е максимално широко достъпно. За съжаление, това на практика не е така заради ограничения, наложени от научните журнали, поради кеото внесох и приехме авторите на научни публикации, финансирани с обществени средства, да могат да ги публикуват в отворени, некомерсиални хранилища след публикуване в научни журнали
  • В Закона за съдебната власт въведохме централизирана система за случайно разпределение. До момента за различни случаи се ползват различни системи. С промените ще има една система, с отворен код, с криптографски гаранции за разпределението. Важна стъпка към ограничаването на нерегламентирани влияния в съдебната система.
  • Приехме нов Закон за противодействие на корупцията ЗПК – в който е предвидено публикуване на отворени данни за декларациите, анализ на корупционния риск (който може да бъде автоматизиран, на база на множество източници на данни), и възможност за подаване на декларации по електронен път.
  • На първо четене приехме изменения в Закона за движението по пътищата, с който се предвижда по-ефективно връчване, отпадане на стикери и отворено данни. Между първо и второ четене внесох няколко страници предложения за изправане на разнообразни кусури на закона, като предстои да се създаде работна група, която да оформи финалните предложения за гласуване.

Зададох и 13 въпроси към министри, ето някои по-интересни:

Както отбелязах и при предния отчет, законовите промено минават с гласовете на ГЕРБ, понякога и на други партии. С нашите 63-ма депутати няма как сами да прокараме каквото и да било, така че обсъждаме конструктивно с другите партии.

Продължаваме, закон по закон, текст по текст, да подобряваме законовата рамка.

Материалът Отчет за парламентарната ми дейност през втората сесия е публикуван за пръв път на БЛОГодаря.

eIDAS 2.0, QWACs And The Security Of The Web

от Божидар Божанов
лиценз CC BY

Tension has been high in the past months regarding a proposed change to the European eIDAS regulation which defines trust services, digital identity, and the so-called QWACs – qualified website authentication certificates. The proposal aims at making sure that EU-issued certificates are recognized by browsers. Here’s a summary from Scott Helme, and a discussion with Troy Hunt, and another good post by Eric Rescorla, former Firefox CTO so I’ll skip the intro.

Objections

Early in the process, Mozilla issued a position paper that raises some issues with the proposal. One of them is that what the EU suggests is basically an Extended Validation certificate – something that we had in the past (remember the big green address bars?), and which we have abandoned some time ago, and for a reason – multiple studies found that they do not bring any benefits. The EU says “QWACs (EVs) give the user more trust because they know which legal entity is behind a given website”. And the expert community says “well, in which scenario is that useful, and what about faking it – opening an entity with the same name in a different jurisdiction?”.

Later in the process, an additional limitation was added for browser vendors – that they cannot mandate additional security requirements than those specified by the EU standards body – ETSI. This is, to me, counterintuitive policy-wise, because in general, you set minimum requirements in regulations, not maximum. Of course, this prevents browser vendors from having arbitrary requirements. Not that they’ve had such requirements per se, but for example their CA inclusion page says “Mozilla is under no obligation to explain the reasoning behind any inclusion decision.” For me, this is not an acceptable process for something as important.

Mozilla (and various experts) also note, correctly, that if a CA gets compromised, this affects the entire world – the traffic to any website can be sniffed through man-in-the-middle attacks. And this has happened before. The Electronic Frontier Foundation, a respected digital rights organization, also objected to the approach.

Then Mozilla launched a campaign website against the amendment, which has the wrong tone and has some gross oversimplifications and factually incorrect statements (for example, it’s not true that QTSPs are not independently vetted). Then the European Signature Dialog (basically, an association of EU CAs, called QTSPs – qualified trust service providers), responded to it in a similarly inappropriate way. It said “Mozilla is generally perceived as a Google satellite, paving the way for Google to push through its own commercial interests” (which is false, but let’s not go into that).

The statements that QWACs are better against phishing, is arguably not true, even if you consult the paper that the ESD linked. It says: “Our analysis shows that it is generally impossible to differentiate between benign sites and phishing sites based on the content of their certificates alone. However, we present empirical evidence that current phishing websites for popular targets do typically not replicate the issuer and subject information”. So the fact that phishing sites don’t bother using EVs is somehow a reasons that EVs(QWACs) help against phishing? I’m disappointed by this ESD piece – they know better. Mozilla also knows better, as this negative campaign website introduces a tone that’s not constructive.

Insufficient assessment

What becomes apparent from the impact assessment study, another study, and the subsequent impact assessment is that there have been efforts to agree with browser vendors on including EU issued certificates without the CAs having to go through the root program process of the browsers, which they have refused.

I think this is not a good impact assessment. It does not assess impact. It doesn’t try to find out what will happen once this is passed, nor it tries to compare root programs with current ETSI standards to find the gaps. Neither the initial study, nor the impact assessment review the security aspects of the change.

For example, due the current usage patterns of QWACs for internal API-based communication between EU institutions, QWACs have sometimes been issued to private addresses (e.g. 192.186.xx.xx). Once they become automatically approved by the browsers, a security risk arises – what if I have a trusted certificate for your local router IP?

Also, it’s not a good process to include additional limitations in the trialogue, which is an informal process between the EU parliament, commission and council. I, as a Bulgarian member of parliament, requested from our government the drafts from the trialogue, and I was not granted access (due to EU rules). This is unacceptable as a legislative process, which should be fully transparent.

I have criticized this process and insufficient impact assessments before – for the copyright directive introduction of a requirement for automated content takedown, and for the introduction of mandatory fingerprints in ID cards.. There just doesn’t seem to be enough technical justification for regulations that have a very significant technical impact – not just in the EU, but in the world (as browsers have a global trusted CA list, not a EU one).

Technical or political debate?

The debate, as it seems, has conflated two separate issues – the technical and the political one. What Mozilla (and I presume other browser vendors) are implying is that they are responsible for the security in their browsers and they should be able to enforce security rules, while the EU is saying – private US entities (for-profit or non-profit) cannot have full control over who gets trusted and who doesn’t. Both are valid arguments. The EU seems to be pursuing a digital sovereignty agenda here, which, strategically, is a good idea.

But the question is whether that’s the best approach, and if not – how to improve it.

Some data and an anecdote to further illustrate the status quo. The Certinomis French QTSP (CA) has been distrusted by Mozilla a while ago. It is, however, on the EU trusted list. With the changes, Mozilla and others should re-trust it. The concerns raised by Mozilla seem legitimate, and so the fact that EU conformity assessment bodies do regular audits may not be sufficient for the purposes of web security (but this assumption needs to also be critically assessed).

Currently, there are 146 root/subordinate CA certificates listed for QWAC QTSPs. Of those 146, 115 are included in one or more root trust stores, and between 57 and 80 are missing from one or more. It’s far from an ideal picture, but these numbers should have been in the impact assessment and the problem statement in the first place. So that the legislators can identify the reasons for not including a CA in one or more root program. Is it a technical shortcoming of the CA, or it it a vendor discretion? Certainly, there doesn’t seem to be a ban on EU CAs/QTSPs by browser vendors.

So, essentially, the political results here is that EU CAs will get a fast-track into trust stores. I’m sure other jurisdictions will try to pass similar legislation, which will complicate the scene even further. Some of them will not be as democratic as the EU. And if a browser vendor thinks some CA is not trustworthy by their standards, they may come up with very clever workarounds of the regulation.

The first one – ignoring it, as there are no fines. But they can also introduce different paddock colors for different cases – e.g. a QWAC from a browser-approved CA gets a green paddock, a QWAC that has not passed the browser root program gets a yellow paddock. Compared to the current grey one, the yellow color may be perceived as less trustworthy. And then we’ll have to argue whether yellow is a clear enough indication and whether it shows trust or not so much. Time and time again I have stated that you can’t really regulate exact features and UI.

A technical solution to the political question?

I’ve heard many times that technical solutions to political problems are wrong. And I’ve seen many cases where, if you delve into the right level of detail, there is a solution that is both technically good and serves the political goal. In this case this is the so-called “Certificate transparency”. In a nutshell, each certificate, before being issued, is placed in a public verifiable data structure (merkle tree – used in blockchain implementations), and gets a signed certificate timestamp (SCT) as a response, which is then included as an X.509 attribute. This mitigates the risk of compromised CAs issuing certificates for websites that do not belong to the one requesting the certificate. In no time (up to 24 hours) they will be caught and distrusted, which raises the bar significantly.

Unfortunately, ETSI hasn’t included Certificate transparency in the current QWAC standard. The ESD association mentioned above says in another document that “The Browsers can easily bring any additional rules they want to impose on QTSPs such as Certificate Transparency to ETSI and other international standards bodies to be adopted through an open process of consensus by the internet community”, which I think is the wrong approach – Certificate transparency is an IETF RFC and is a de-facto standard. What will surely help is moving it (they are actually 2 RFCs) out of the “Experimental” status in IETF, but we can’t require every standard to be mirrored by ETSI.

I don’t know why CT has not been referenced by ETSI so far. It’s true that certificate log servers are based mostly in the US (and one in China), but nothing stops an organization from running a CT log. It “just” takes some infrastructure and bandwidth to support the load, but I think it’s a price EU QTSPs can pay, e.g. by sharing the costs for a couple of CT logs.

As a sidenote, I think it’s worth noting that the EU can also do more towards the adoption of DANE – a standard, which gets rid of CAs, as the public key is stored in a DNS record. It relies on DNSSEC, which doesn’t have huge adoption yet, and both are trickier to implement than it sounds, but if we want to be independent from browser decisions on which CA to trust, we can remove CAs from the trust equation. I’m fully aware it’s far from simple, and we’ll have to support PKI/CAs for a long, long time, but it’s a valid policy direction – mandate DNSSEC and DANE support.

Conclusion

Certificate transparency requirements can be added now to the eIDAS Annex IV. We are too late in the legislation process for that to be done smoothly, but I’d appreciate if the legislative bodies tried it. It would be just one additional point – “(k) details about the inclusion of the certificate in a public ledger” (note that the same eIDAS 2.0 regulates ledgers, and a CT log is a ledger, so that can be leveraged).

If not in Annex IV, then I’d strongly suggest including CT in the next version of the relevant ETSI standard. And I think it would be good if the EU Commission or ETSI to do a gap analysis of current root programs and the current ETSI standards to see if something important is missing.

Furthermore, the European Commission should initiate a series of objective studies on the effectiveness of extended validation certificates. The studies that I’ve read are not in favour of the EV/QWAC approach, but if we are to argue EV/QWACs are worth it, we need better justification.

A compromise is possible, that would make browsers confident that there will be no rogue CAs while at the same time giving Europe a say over trust in the web.

The post eIDAS 2.0, QWACs And The Security Of The Web appeared first on Bozho's tech blog.

България е в Шенген

от Божидар Божанов
лиценз CC BY

България е в Шенген. В края на март отпада граничният контрол, освен по суша.

За шест месеца това правителство и мнозинството в парламента свършихме много работа за това България да бъде приета най-накрая в Шенгенското пространство.

Холандия се притесняваше за върховенството на закона. Приехме антикорупционно законодстелство и най-вече – изменения в Конституцията, с които Холандия прие, че се движим с бързи крачки в правилна посока и свали ветото си.

Австрия има резерви за нашия граничен контрол, поради което бяха положени много усилия от правителството.

Това не са просто дипломатически усилия (каквито имаше много), не са и молби „айде махнете ветото“, както някои си представят. Това е систематична работа на много институции в обща посока.

Да, България не получава засега Шенген по суша. Предстои още работа на Гранична полиция, за да доубедим Австрия. Да, вероятно преминават мигранти през т.нар. „зелена граница“, а каналджийството, за което приехме сериозни промени в Наказателния кодекс, сигурно не е изчезнало. Но с помощта на технологиите, видеонаблюдението на границата, обхождането с дронове и централизирания анализ, скоро ще сме отвъд техническите изисквания, които отдавна покриваме.

Не, не сме се съгласявали да приемаме повече мигранти. Дъблинският регламент, който сме длъжни да прилагаме от 2013 г., остава в сила непроменен.

Ясно е, че опозицията винаги ще търси кусури и ще опитва да каже на бялото черно. Ще си измисля, ще преиначава и ще омаловажава. Но нека опитат да не очернят този успех за страната заради партийни интереси.

Критичните по принцип избиратели и сега ще са недоволни, мнителни и ще иронизират успеха (най ми харесаха „подземния Шенген“ и „тази година полушенген, догодина – цял Шенген“). Това е тяхно право, но и тях призовавам да не са напълно черногледи.

В крайна сметка хората ще усетят ползата от отпадането на граничния контрол. И твърденията, че сме „втора ръка европейци“ ще са все по-безпочвени. А репутацията на държавата ни ще се подобри, защото приемането в Шенген не е просто въпрос на граничен контрол, а е атестат за институционален напредък.

От днес България в по-интегрирана в Европа, а от това ползите са огромни.

Материалът България е в Шенген е публикуван за пръв път на БЛОГодаря.

Три отговора за Конституцията

от Божидар Божанов
лиценз CC BY

Три въпроса/критики, които виждам най-често във връзка с изменения в Конституцията.

1. Защо парламентарната квота в прокурорския съвет е по-голяма от професионалната – така не се ли поставя прокуратурата под политически контрол?

Проблемът с прокуратурата към момента е, че главният прокурор (който е началник на всички прокурори и може да осъществява надзор за законност по делата) или не носеше отговорност пред никого („над мен е само Бог“), или получаваше задкулисни указания от различни центрове на власт. Съответно отговорност за действията на прокуратурата не се носеха – „те си го избират прокурорите“.

С измененията, освен че му премахваме правата за намеса, слагаме превес на обществената квота. Това, от една страна, предотвратява капсулирането (прокурори, които зависят кариерно от главния, го поддържат в съвета), а от друга дава отговорност и отчетност. Трябва да отбележим и че обществената квота не е партийна и това ще е водещ принцип при нейното излъчване.

С друго изменение подчертаваме, че водещата роля в съдебната власт е на съда. Прокуратурата и следствието са страна по делата, а съдът е арбитър. Именно независимостта на съда е в центъра на съдебната власт, поради което квотите там са наобратно – 8 съдии избрани от съдии (от общо 15 члена, като само 5 се избират от парламента). Водещото при съда е, че трябва да е независим. Водещото при прокуратурата, която осъществява наказателната политика на държавата, е да бъде отчетна. Именно за това са такива квотите в двата съвета.

2. Защо двойно гражданство? Така не се ли отваря вратата за чуждо влияние?

В рамките на дебата бяха изнесени данни от г-жа Цонева, че България е последната държава и в ЕС, и в Съвета на Европа, която позволява двойно гражданство по принцип, но го забранява за изборни длъжности. С премахването на това ограничение правим по-лесно за българската диаспора (стотиците хиляди емигранти за последните 30 години) да се включи в политическия без бюрократични пречки и усложнения.

Изискването да нямаш двойно гражданство, за да си депутат/министър, не е пречка за чужди агенти на влияние да заемат позиции, както някои се надяват. Пример е Георги Димитров, който преди да се върне и да превърне България в съветска колония, се отказва от съветското си гражданство. Борбата с чуждото влияние е работа на службите, а не на формално конституционно ограничение.

Има няколко вида българско гражданство – по рождение (ако си се родил с българско гражданство или си дете на български гражданин), по произход (от историческите територии, на които е имало българско население) и по натурализация (ако сиsigna живял поне 5 години в България и отговаряш на допълнителни изисквания по закон). Няма хипотеза, в която някой чужденец получава българско гражданство без да е чувал за България, така че тези притеснения са неоснователни.

3. Защо с обикновено Народно събрание приемате изменения, за които се изисква Велико Народно Събрание, съгласно решение на Конституционния съд?

Решение 3 от 2003 г. на Конституционния съд, по искане на тогавашния главен прокурор (който публично се е хвалел с влиянието си в Конституционния съд във връзка с това решение), определя как се тълкува разпоредбата на чл. 158, т. 3 от Констиуцията, а именно, какво значи „формата на държавно устройство и на държавно управление“. Тезата, че обикновено Народно събрание не може да разделя Висшия съдебен съвет на два съвета и да премахва правомощия на главния прокурор, се базира на това решение.

Има обаче и друго решение – номер 8 от 2005 г., което казва, че може да има повече от едно тълкувателно решение по една норма, и че „Промени в Конституцията, концентрирани в рамките на съдебната власт, [..] които са насочени към преструктуриране, оптимизиране от съдържателна гледна точка и прецизиране на отделни функции на нейни органи, поставяне на акценти или уточняване на техни правомощия или наименования, както и взаимодействието им с институции на другите власти, не представляват промяна във формата на държавно управление“

И двете решения са тълкувателни – по искане на главния прокурор и по искане на ВКС. Те дават рамка, но както посочва Решение 8, трябва да се извърши преценка на конкретни изменения, за да се прецени нюанса и баланса. Иначе казано, не може да се твърди, че Решение 3 прави настоящите изменения противоконституционни.


Всички тези аргументи са изказвани в комисия и в пленарна зала. Аз лично смятам, че измененията в Конституцията са добри, водят до по-независим съд и по-отчетна прокуратура. Критиките към проекта бяха отчетени с измененията между първо и второ четене, като бяха обсъждани с професионалните общности в двата месеца между двете първи гласувания. Подхождаме към Конституцията с огромно внимание и с разбиране за отговорността, която носим. Ако някой е прочел някоя критична статия или е чул изказване на някой от опозицията или е извадил едно-две критични изречения от три страници становище на някоя институция, призовавам към по-задълбочен прочит. И на контекста, и на дебатите в комисия и в зала.

Материалът Три отговора за Конституцията е публикуван за пръв път на БЛОГодаря.

Приехме измененията в Конституцията

от Божидар Божанов
лиценз CC BY

Приехме окончателно измененията в Конституцията. Структурните предпоставки за независим съд и за отчетна прокуратура вече са налице. А подобряването на съдебната система е ключово за развитието на страната.

Аргументираните критики към законопроекта бяха чути и бяха направени съответните редакции (критика „заради самата критика“ винаги ще има).

А това, че с наши опоненти сме постигнали съгласие по тази голяма задача, е признак не на слабост, а на политическа адекватност. Никой няма сам да има 160 гласа, затова целите се постигат с разговор.

Дали това е исторически момент, ще кажат историците след десетилетия. Но със сигурност изкачихме един стръмен склон, който катерим от много години. Да, това не е върхът – катереното на стръмни склонове продължава. Това не е краят на съдебната реформа (ако някой реши да го определя така), но е ключова стъпка. Предстоят изменения на устройствени и процесуални закони.

Благодаря на всички за подкрепата, която направи възможно приемането на тези отдавна чакани промени.

Материалът Приехме измененията в Конституцията е публикуван за пръв път на БЛОГодаря.

Електронното бъдеще е възможно, но не е неизбежно

от Божидар Божанов
лиценз CC BY

С редица законодателни промени в последните месеци беше даден нов тласък на електронното управление. Разбира се, както се е доказвало многократно през годините, обнародването на един хубав текст в Държавен вестник не означава, че той ще бъде реализиран на практика, поради което предстои сериозна работа в изпълнителната власт.

Измененията в Закона за електронното управление бяха изготвени в Министерството на електронното управление (МЕУ) в предходното редовно правителство и приети през септември. В тях има редица подобрения, които изискват от администрацията сериозна работа.

Едно от тези изменения е приравняването на служебните справки по електронен път на удостоверенията, които администрацията изисква от гражданите. Задължението за администрацията да събира по служебен път информация, с която държавата вече разполага, е в Закона за електронното управление от 2009 г. За съжаление, практиката е, че администрациите цитират специалните закони, по които работят, и казват, че те се прилагат, а там по инерция законодателят е сложил изискване на удостоверения. За да не трябва да променяме цялата нормативна уредба, с измененията в закона се приравнява служебната справка на удостоверенията, изисквани по специалните закони. В допълнение се въвежда забрана за това в подзаконов акт да се предвижда изискване на удостоверения, както и гаранции за сигурността на служебното събиране, като по този начин удостоверенията, на които гражданите и бизнесът са куриери, най-накрая трябва да отпаднат. Това ще се случи, след като изпълнителната власт преправи наредбите си в съответствие със закона, за което Министерството на електронното управление е поело ангажимент.

Друга важна промяна е отпадането на изискването за квалифициран електронен подпис при заявяване на електронни услуги от физически лица. Електронният подпис е сигурен, но много неудобен и това през годините е било бариера пред използването на наличните е-услуги. С изменението вече няма да се изисква заявленията да бъдат подписвани, което ще позволи заявяване след идентификация по множество различни начини – вкл. с бъдещата електронна идентификация, с ПИК и др. Това означава надграждане на системи, така че те да позволят по-широко използване, но този процес вече започва.

Със същите изменения се предвижда догодина всички регистри, които държавата води, да станат електронни. За целта се създава централизирана система за управление на регистри, така че да не се налага всеки регистър да се електронизира поотделно с отделна обществена поръчка, а разходите за бюджета да станат непосилни. Централизираната система ще позволява създаването на нов регистър с няколко клика. Всички тетрадки, екселски таблици и остарели информационни системи ще могат да бъдат мигрирани към съвременна система, която да е достатъчно защитена, да се грижи за резервните копия, за връзките с други регистри, за публикуване на отворени данни, за проследимост на действията в тях – все неща, които една екселска таблица не може да предостави.

Споменавайки електронната идентификация, трябва да дадем повече детайли – след като процедурата за нови лични документи на МВР беше обединена с процедурата за електронна идентификация, общата такава „заби“ в съда в Люксембург. Това наложи Министерството на електронното управление през 2022 г. да възложи изграждане на мобилно приложение за електронна идентификация, какъвто е правилният подход от няколко години насам. За съжаление, през лятото на 2022 г. МВР не даде достъп на министерството до данни, необходими за функционирането на приложението. Едва в края на 2022 г. съдът на Европейския съюз и съответно Върховният административен съд позволиха сключването на договор от страна на МВР. В момента МВР изпълнява своя проект, подготвен през 2016 г., като Министерството на електронното управление опитва да му предостави вече изграденото по мобилното приложение през изминалата година, за да могат гражданите да получат електронна идентичност в мобилните си устройства дори без нужда от смяна на личните си карти. Когато такова приложение е налично, в комбинация с отпадането на изискването за подпис всеки гражданин ще може да ползва всички налични електронни услуги.

На следващо място през септември бяха приети измененията в Кодекса на труда, с които се предвижда отпадане на трудовата книжка. Данните от нея ще се въвеждат в регистър в НАП, който ще бъде базиран на настоящия регистър на трудовите договори. НАП има срок до юни 2025 г. да направи бизнес анализа, да измени подзаконовата уредба и да надгради регистъра. Когато това се случи, трудовите книжки ще се ползват само при пенсиониране, и то само от служители, които имат стаж през миналото хилядолетие. Причината за това е, че масовото дигитализиране на старите хартиени трудови книжки, в които има доста грешки и злоупотреби, и за които отговорността е на служителите, е почти непосилна задача за реализиране в мащаб. Важното е, че избраният подход ще позволи трудовата книжка да отпадне от ежедневието и на бизнеса, и на служителите.

Други важни промени, които ще бъдат усетени от гражданите, са измененията в Закона за движението по пътищата. Те отварят път за електронно връчване, получаване на известия по имейл или sms за издадени електронни фишове, както и възможност за плащането им с карта онлайн още преди да бъдат връчени официално. Всички тези мерки ще позволят на добросъвестните водачи да си плащат глобите. Отпадането на синия талон от своя страна освен символно значение на скъсване с хартиеното минало прави възможно изцяло електронен процес по административно наказване по Закона за движението по пътищата – нещо, което синият талон спираше заради нуждата да бъде отнет и съответно върнат.

Не можем да пропуснем и измененията в Закона за достъп до обществена информация – на пръв поглед скучно транспониране на европейска директива, но на практика въвеждащ задължения за всички администрации да поддържат отворени данни в реално време чрез програмни интерфейси. Макар досега да имаше такива текстове, те бяха в наредба и тя рядко се спазваше. Оттук нататък липсата на такива интерфейси ще може да бъде санкционирана, а ползата от тях е безпрецедентна прозрачност. Един пример – данните за всички плащания на държавата през системата СЕБРА, които отворихме еднократно през 2022 г., сега ще трябва да бъдат достъпни в реално време.

По Плана за възстановяване и устойчивост (ПВУ) също предстоят важни проекти и мерки. Вече описахме напредъка по една от тях – за дигитализация на всички регистри. Първият голям проект е за дигитализация на хартиените архиви на имотния регистър, регистъра на населението и кадастъра. Там за разлика от трудовите книжки хартиените документи се съхраняват от администрацията по определен ред и подлежат на систематично привеждане в цифров вид заедно с необходимите метаданни. Това ще позволи най-накрая да имаме истински имотен регистър, да не трябва да заявяваме удостоверение за наследници по постоянен адрес (защото наследниците се установяват и чрез „ровене“ в хартиените картони за гражданска регистрация), ще бъдат усетени и много други ползи.

Вторият голям проект по ПВУ е осигуряването на високоскоростна свързаност за всички региони в страната. Мрежата на Министерството на електронното управление ще достигне до всички 265 общини, а телекомите и интернет доставчиците ще осигурят покритие с висока скорост на слабо населените места. Така например в пощенските клонове ще могат да бъдат предоставяни административни услуги, като пощите ще бъдат в ролята на посредник (отново изменение, прието с промените в Закона за електронното управление). За съжаление, поради забавяне, натрупано при служебния кабинет, големият проект за дигитализация на пощите отпадна от ПВУ, но не отпада и възможността те да предоставят услуги, за да не трябва хората в малките населени места да ходят до областния град, за да ползват административни услуги.

Продължава да има нужда от подобрения в много закони, но основната работа е свършена в последните месеци. Сега предстои изпълнителната власт и администрацията да използват политическата подкрепа, която има за тези мерки, за да може след две години да имаме променена държава – по-електронна, по-ефективна, по-удобна за гражданите и бизнеса, по-сигурна и по-защитена от корупционни практики.

За да изпълни всичко това обаче, държавата трябва да организира по-добре възлагането на софтуер и други информационни и комуникационни технологии. Това е важна точка в програмата на правителството, без която изброените мерки могат да се окажат затлачени от безкрайни процедури, недобросъвестни изпълнителни, липса на вътрешен капацитет за управление на проекти, саботаж и административно безвремие. В програмата на правителството е включена промяна на начина, по който държавата ползва ИТ, като би трябвало тази промяна да намери своето законово изражение догодина.

Електронното бъдеще е възможно, но не е неизбежно – нужна е сериозна работа и активна политическа подкрепа, иначе има риск добрите намерения, макар и обнародвани в Държавен вестник, да не постигнат желания резултат.

(Статията е написана специално за сп. Мениджър)

Материалът Електронното бъдеще е възможно, но не е неизбежно е публикуван за пръв път на БЛОГодаря.

„Няма хора“ за ИТ в държавната администрация?

от Божидар Божанов
лиценз CC BY

На последното заседание на комисията по електронно управление беше повдигнат въпроса за кадровото осигуряване в администрацията във връзка с информационните технологии и електронното управление.

Това е сериозен дългосрочен проблем, който има нужда от стратегическо решение. Да, държавата аутсорсва ИТ дейности, но дори управлението на аутсорсинга изисква вътрешен капацитет. Още повече, че има стратегически функции, които държавата трябва да може да обезпечи сама.

В тази посока направихме две първи стъпки преди година и нещо: да дадем възможност за заплати с над 80% спрямо нормата за администрацията за определени категории ИТ специалисти и да започнем централизирането на т.нар. service desk услуги в изпълнителната агенция към МЕУ.

Но трябва много по-широк обхват на реформата. Имам разписана базова концепция, която стъпва на принципа на „споделените услуги“ и разделя тези услуги на пет групи:
Разработка на софтуер, инфраструктура (мрежи и хардуер), системна администрация и интеграция, мрежова и информационна сигурност, service desk.

Разпокъсаността на експертите по различните структури в държавата не е ефективна и трябва да се премине към консолидация и споделени услуги. Това обаче трябва да се претегли спрямо секторната експертиза, която се изисква в някои администрации.

Такъв подход ще позволи не просто по-високи заплати, а създаване на екипи и структури, които могат да привличат повече хора, да гарантират кариерно развитие. Иначе казано – да не са типична администрация, а ИТ организации, с мислене и начин на работа на ИТ организация.

В следващите месеци ще обсъждам и развивам тази концепция, докато тя стигне до своето законодателно изражение. Защото без да създадем подходяща институционална среда, ще продължаваме да си говорим, че „няма хора“.

Материалът „Няма хора“ за ИТ в държавната администрация? е публикуван за пръв път на БЛОГодаря.