Stafræn ökuskírteini, fyrsti hluti - Leiðin að stafvæðingu
5. desember, 2025
Þann 1. október síðastliðinn voru stafræn ökuskírteini, sem afhent voru í svokölluðum stafrænum veskjum, alfarið lögð af og ný stafræn ökuskírteini færð inn í island.is appið . Í þessu bloggi, sem gefið verður út í þremur hlutum, ætlum við að rekja sögu þessara skírteina, fara yfir þau áhrif sem þessi breyting hefur í för með sér, frá öryggislegu sjónarmiði, og kafa dýpra í tæknilega útfærslu upprunalegu skilríkjanna.
Upphafið
Þann 1. október 2019 gáfu Norðmenn út rafræn ökuskírteini, fyrstir allra Evrópuþjóða . Hugmyndin með útgáfu skírteinanna var að koma til móts við ört stækkandi hóp fólks sem gleymdi ökuskírteininu heima við akstur og gat ekki sýnt fram á ökuréttindi innti lögreglan eftir þeim. Samgöngustofa fylgdist spennt með útgáfu norsku skírteinanna og í byrjun árs 2020 tilkynnti ráðherra á Twitter að útgáfa stafrænna ökuskírteina á Íslandi væri í vændum .
Norsku ökuskírteinin í sérstöku appi sem inniheldur líka skanna.
Þann 1. júlí 2020 voru ný stafræn ökuskírteini kynnt til sögunnar á blaðamannafundi . Um var að ræða samstarfsverkefni milli tveggja ráðuneyta og sá Stafrænt Ísland, verkefnastofa Fjármálaráðuneytisins, um tæknilega útfærslu þeirra. Útgáfa stafrænu skírteinanna krafðist reglugerðarbreytingar , en hún var orðuð á þann veg að skírteinin væru jafngild hefðbundnum ökuskírteinum innanlands. Stafrænu ökuskírteinin væri þannig einnig hægt að nota sem persónuskilríki og var það staðfest af ráðherra á blaðamannafundinum. Skírteinin nutu strax gríðarlegra vinsælda og voru um 25.000 rafræn ökuskírteini gefin út fyrsta sólarhringinn eftir blaðamannafundinn og voru þau orðin tæplega 100.000 í byrjun árs 2021 .
Íslensku ökuskírteinin í stafrænu veski.
Útfærslan
Svokallaður PKPass-staðall , frá Apple, varð fyrir valinu við útfærslu íslensku skírteinanna. Þessi staðall, upprunalega þróaður fyrir Apple Wallet, er notaður víða fyrir ýmis konar kort sem ætluð eru stafrænum veskjum, svo sem flugmiða, bíómiða, klippikort o.s.frv. Stafrænu ökuskírteinin fengu svipaða hönnun og þau hefðbundnu, þ.e. einkennandi bleika bakgrunninn, sýndu nafn, fæðingarár, kennitölu, mynd og flokka ökuréttinda, eins og reglugerðin gerir ráð fyrir . Neðst á kortinu var svo tvívítt strikamerki, eða kóði, sem ætlað var til skönnunar skírteinisins. Fyrst um sinn var þó enginn skanni gefinn út samhliða stafræna ökuskírteininu, heldur átti að láta það nægja að sýna skilríkið þegar tilefni þótti til .
Útfærsla íslensku skírteinanna var þannig með öðru sniði en þeirra norsku. Norsku skírteinin voru gefin út með sérstöku appi, sem einnig gat skannað skírteini annarra til að staðfesta gildi þeirra. En einn stærsti munurinn á þessum tveimur skírteinum eru skilaboðin sem fylgdu með útgáfu þeirra. Í Noregi var sérstaklega tekið fram að þessi skírteini væru ekki ígildi persónuskilríkja og væru einungis ætluð lögreglu til að staðfesta ökuréttindi ökumanna . Aftur á móti voru skírteinin hér heima lögð að jöfnu plastskírteinunum og staðfest að hægt væri að mæta með þau í apótek, Vínbúðina og á kjörstað til að sanna á sér deili.
Ekki leið á löngu þar til bera fór á umræðu í þjóðfélaginu varðandi öryggi nýju skírteinanna , þá sérstaklega þegar kemur að fölsun þeirra. Bent var á aðferðir á borð við skjáskot og heimasmíðuð kort (PKPass) á samfélagsmiðlum.
Falsanir
Fölsun skilríkja á sér jafn langa sögu og skilríkin sjálf. Á meðan einhver hefur hag af því að villa á sér heimildir eða hagræða sínum upplýsingum, svo sem aldri, mun hvatinn til fölsunar aldrei hverfa. Hefðbundin plastskilríki eru engin undantekning á því og hafa einmitt borist af því fréttir, undanfarna mánuði, að góðar falsanir á íslenskum ökuskírteinum gangi kaupum og sölum á netinu .
Einmitt sökum þessa hafa útgefendur skírteina og skilríkja, bæði hérlendis og erlendis, unnið að því að bæta öryggisráðstafanir í gegnum tíðina. Þetta á sérstaklega við um skírteini sem eiga að gilda utan landsteinanna. Dæmi um þróun slíkra öryggisráðstafana má sjá í samevrópskri skírteinaskrá, en nýjasta útgáfa hefðbundinna íslenskra ökuskírteina hefur t.a.m. sex innbyggða öryggiseiginleika.
Það má ekki gleymast að notendur skírteina (þeir sem taka á móti þeim), og þá sérstaklega þeirra skírteina sem nota á sem skilríki, eru fólk. Bakgrunnur þessa fólks getur verið gríðarlega ólíkur. Á landamærum tekur fólk á móti skilríkjum sem er sérþjálfað í að koma auga á misræmi og falsanir. Aftur á móti, í apótekum og skemmtistöðum, erum við með venjulegt fólk sem, all jafna, hefur takmarkaða þekkingu á fölsunum. En samt sem áður er þetta fólk, oft á tíðum, með ákveðna innbyggða tortryggni gagnvart skilríkjum. Við skiljum flest hvernig fölsun hefðbundinna skilríkja getur átt sér stað og þannig höfum við, jafnvel ómeðvitað, varann á. Þeir sem vinna við að meðhöndla skírteini reglulega taka jafnvel eftir litlum hlutum eins og þyngdarmun, áferð, einkennilegu letri, o.s.frv.
Ef við berum þetta saman við falsanir á skírteinum sem birtast á skjá, þá er sú aðferð alls ekki hliðstæð hefðbundnum skilríkjum. Fölsun á slíkum skilríkjum, að því gefnu að ekki sé skannað til að sannreyna skírteinin, felst einfaldlega í eftirlíkingu á útliti einhvers sem birtist á skjá, þ.e. appi ef um símaskjá er að ræða. Með PKPass-leiðinni, sem valin var, voru reyndar aðrar einfaldari fölsunaraðferðir í boði, sem líkja mætti við að breyta texta í Word-skjali, sem gerði þau einstaklega hentug til fölsunar. Farið verður nánar út í það í þriðja hluta þessa bloggs.
Í grunninn snýst þessi fölsun, ef fölsun skyldi kalla, um að endurgera einhvers konar útlit og birta á skjá. Einfaldasta leiðin til þess er einfaldlega að sýna bara mynd eða skjáskot af skilríki. Myndirnar má endurvinna til að breyta kennitölu, passamynd eða hverju öðru sem sýnist. Sú útfærsla stenst ekki mikla „skoðun“, fái viðtakandi skírteinisins að eiga eitthvað við símann þar sem þau eru birt, en þessi leið hefur án efa nýst mörgum.
En hvað ef viðtakandi skilríkis fær frjálsan aðgang að síma skilríkjahafa og getur opnað appið sem hýsir það sjálfur? Staðreyndin er sú að það er einfaldlega hægt að endurgera og herma eftir hvaða appi sem er. Hægt er að smíða nákvæma eftirlíkingu af veskisappi sem inniheldur skírteini með hvaða upplýsingum sem er. Með tilkomu gervigreindar er þessi aðferð aðgengileg enn fleirum sem áhuga hafa á slíkum fölsunum.
Það sem er mikilvægast að skilja er að ólíkt plastskírteinum, þar sem hægt er að hafa öryggiseiginleika á borð við þrívíðar glansmyndir, fínprentun, útfjólubláa prentun, innrauða prentun, leturgröft og litabreytingar, þá er ekkert slíkt hægt að hafa á skjá. Pixlar eru bara pixlar.
Við sjáum því að ekki er hægt að leggja fölsun þessara tveggja tegunda skilríkja að jöfnu. Að koma upp aðstöðu til að falsa íslensk plastökuskírteini myndi fylgja gríðarlegur tilkostnaður með sérhæfðum tækjabúnaði, hráefni og öðru slíku. Fylgst er með sölu ákveðinna tækja og efna, sem gerir ferlið torvelt og opnar á möguleikann á rakningu. Komist upp um fölsunina og tækin gerð upptæk, mun það hafa sama tilkostnað að byrja upp á nýtt.
Ef við berum þetta svo saman við fölsun stafrænna ökuskírteina (án skanna), þá fylgir því nánast enginn tilkostnaður, þar sem allt er gert rafrænt. Segjum sem svo að app sé búið til sem er klón af veskisappi og birtir þannig skilríki, þá er hægt að dreifa slíku appi um allan heim um leið og hönnun þess er lokið. Jafnvel þótt upprunalegi höfundurinn finnist og hans útgáfa sé tekin niður, þá gæti frumkóði appsins verið kominn út um allan heim og þannig ómögulegt að „fjarlægja“ það af Internetinu.
Við sjáum því að það er ekki hægt að bera saman áhrifin sem verða af fölsun hefðbundinna skírteina og þeirra stafrænu.
Baráttan gegn fölsunum
Víkjum aftur að sögu skírteinanna. Þann 2. febrúar 2021, fimm mánuðum eftir innleiðingu skírteinanna, gaf Stafrænt Ísland út leiðbeiningar um hvernig sannreyna skuli stafrænt ökuskírteini . Í þeim var m.a. bent á að snúa ætti skírteininu við til að tryggja að ekki væri um skjáskot að ræða. Í leiðbeiningunum er einnig minnst á að möguleiki sé fyrir hendi að koma upp skanna eða uppflettingu fyrir skírteinin, en til þess þurfi að hafa samband við Stafrænt Ísland.
Ætla má að ástæða hafi verið fyrir útgáfu þessara leiðbeininga, en um sumarið bárust af því fréttir að dyraverðir sæju ítrekað falsanir á stafrænum ökuskírteinum á skemmtistöðum borgarinnar . Stuttu síðar var það haft eftir aðstoðarforstjóra ÁTVR að sífellt fleiri fölsuðum stafrænum ökuskírteinum væri framvísað í Vínbúðunum og nánast ómögulegt hafi reynst að sannprófa skírteinin . Þessir tímar voru einnig rifjaðir upp á nýlegri ráðstefnu Stafræns Íslands, Tengjum ríkið 2025.
Eftir því sem leið á var vaxandi fölsun, sáum við, og við urðum að fá einhverja lausn til þess að geta skannað skilríkin eins og við vissum að lögreglan væri að gera.
Kristján Ólafsson - Framkvæmdastjóri Vínbúða og þjónustu, ÁTVR
Á þessum tíma má einnig sjá ábendingar á samfélagsmiðlum um hinar ýmsu fölsunarleiðir .
Þann 1. september 2021 gaf netöryggisfyrirtækið Syndis svo út blogg sem fór ítarlega í tæknilega útfærslu skírteinanna og sýndi hversu auðvelt væri að falsa skilríki sem stæðust öll próf í leiðbeiningum Stafræns Íslands um sannreyningu skilríkjanna. Á þessum tíma stóðu yfir Alþingiskosningar og umræða vaknaði um möguleika á notkun falsaðra skilríkja til kosningasvika. Sú umræða undirstrikaði mikilvægi heilinda skilríkja þegar kemur að þjóðaröryggi.
Skanni var gerður aðgengilegur starfsfólki kjörstaða fyrir lok Alþingiskosninganna 2021 og tæpu ári seinna var skanninn gerður aðgengilegur öllum með aðgang að island.is appinu .
Næstu þrjú árin virðist enn bera á fölsunum stafrænna ökuskírteina, þrátt fyrir tilkomu skannans . Ástæða þess virðist vera að skanninn hafi ekki verið í notkun alls staðar þar sem tekið er á móti stafrænu ökuskírteinunum. Í byrjun árs 2024 tók Úrskurðanefnd umhverfis- og auðlindamála einmitt fyrir eitt slíkt mál, þar sem starfsmaður snusverslunar skannaði ekki falsað skilríki ungmennis við afgreiðslu. Ályktun nefndarinnar var sú að verslanir bæru ekki ábyrgð á fölsun skírteina og þyrftu þannig ekki að sannreyna gildi þeirra.
Hvað er skírteini?
Hér rekumst við einmitt á mögulega stærsta vandamálið við innleiðingu stafrænna skírteina, og það er einfaldlega spurningin hvað er skírteinið? Ef rætt er um hefðbundin skírteini er svarið augljóst, skírteinið er plaststykkið með myndinni og textanum. En þegar það kemur að stafrænu skírteini eru mörkin óljós. Í augum stjórnvalda virðist skírteinið vera myndin sem birtist á símanum og þær upplýsingar sem á henni koma fram. En eins og við höfum rakið áður, þá er aldrei hægt að treysta því sem stendur á tölvuskjá . Ólíkt þeim öryggisráðstöfunum sem hægt er að beita við prentun skilríkja þá er ekkert slíkt í boði þegar myndir eru birtar á skjá. Það er hægt að láta hvað sem er birtast á tölvu- eða símaskjá. Upplýsingar sem birtar eru á síma eru því með öllu óáreiðanlegar nema hægt sé að staðfesta þær með áreiðanlegum hætti.
Frá öryggislegu sjónarmiði myndi svarið við spurningunni því vera: traustverðu upplýsingarnar sem koma upp þegar skírteinið er skannað, ekki það sem stendur á skjánum hjá handhafa skírteinisins.
Þetta er dæmigert dæmi um misræmi milli raunheimsins og hins stafræna heims. Þó að talað sé um veski og kort í rafrænum veskjum, þá eru þessi fyrirbæri alls ekki sambærileg. Það að hlutirnir séu kallaðir sömu nöfnum þýðir ekki að þeir séu eins. Þetta getur verið sérstaklega hættulegt þegar fólk hefur lært að umgangast fyrirbæri í raunheimum og ætlar að heimfæra sömu umgengni upp á þann stafræna. Þetta verður einmitt umfjöllunarefni næsta hluta bloggsins.