18 травня 2024 року у Play Store та App Store запрацював додаток Резерв+, призначений для обліку військовозобов’язаних громадян України. Міністерство оборони у перший же день зранку повідомило, що 150 тисяч громадян вже успішно авторизувалися у застосунку, і ще сотні тисяч запитів – у черзі. Сьогодні ж кількість авторизацій дійшла до пів мільйона.
Саме 18 травня я вже опівдні скачав новий додаток для Android смартфонів, і тоді у Play Store показувало більше 10 тис. завантажень. А ось зранку 20 травня – дійсно понад 100 тисяч. Тому навряд чи на ранок 18-го було саме 150 тисяч авторизацій, невже всі інші зайшли зі своїх iPhone?
Я звичайно ж вирішив підготувати огляд, як завантаження, так і роботи застосунку, проте додам і коментарі фахівців з кібербезпеки.
Завантаження
З цим ніяких проблем немає. У Play Store додаток знайшовся за запитом “Резерв+”. А ось у App Store я його таким чином не зміг знайти. Лише, коли набрав “Ministerstvo oborony”.
Резерв+ версія 1.0.3 для Android важить 11 МБ, працює на ОС Android 6.0 і вище. Застосунок для iOS займає 19,2 МБ і підтримується на iOS 13.0 та вище.
Додаток легко встановляється та запускається.
Авторизація
А далі настають проблеми. По-перше, поки що авторизація лише через BankID, для чого пропонується вибрати свій банк у списку і через банківський застосунок авторизуватися.
У мене це легко вдалося через ПриватБанк. Далі я підтвердив особисті дані, які легко завантажилися з банку. Там чомусь не було email, тому я його додав.
Для цього треба натиснути кнопку “Оновити”, просто так у поле “Дані відсутні” додати не можна.
Код одразу приходить, вводимо його. Після чого авторизація повністю проходить.
Хоча багато користувачів у перші дні скаржаться, що не можуть пройти авторизацію через BankID.
Також додаток пропонує задати цифровий код та ідентифікацію за відбитком пальця та розпізнавання обличчя.
Дані з реєстру
Після цього Резерв+ починає підтягувати особисті дані з реєстру “Оберіг” і просить зачекати до завершення процесу. У мене процес не закінчився ні зразу, ні пізніше у цей день, хоча я намагався декілька разів перевірити. Не відбулося цього й на наступний день.
А ось коли я зайшов у додаток 20 травня, отримав те саме повідомлення: “Сталося щось дивне”, і засстосунок знову розпочав авторизація з нуля.
Після чого я пройшов всю авторизація повністю до звернення програми до реєстру, і вуаля, нарешті дані підтягнулися.
Робота Резерв+
Поки що нічого особливого у додатку немає. Для майбутніх перевірок видно, що ваші дані оновлено та можна отримати повну інформацію, якщо натиснути на кнопку “+” При цьому можна також оновити дані з реєстру.
У правому верхньому куті можна перейти на Сповіщення і подивитися, які операції робив останнім часом додаток.
Тобто, все більш менш працює. Якщо у когось щось не вийшло, рекомендую спробувати ще раз. Очевидно, що розробники виклали 18 травня сирий варіант, бо треба було встигнути на початок дії Закону про мобілізацію. Далі будуть усувати недоліки та оптимізувати роботу. Як повідомляло Міноборони:
“Технічна команда працює 24/7, виправляє всі помилки та реагує на зауваження”.
Електронний квиток зі штрих-кодом поки що не формується, але у Міноборони обіцяють це за місяць.
Безпека
У тому ж повідомленні від розробників було сказано: “Застосунок захищений від DDOS-атак та намагань ворога його зламати, тому функція авторизації може працювати не у всіх одночасно”.
Але що кажуть фахівці з кібербезпеки? Костянтин Корсун просто радить “піти в ЦНАП, ніж встановлювати додаток”.
“Крім того, що додаток банально не працює, так ще й невідомо які дані збирає, невідомо куди їх передає, і чи хоч якось захищає ті «уточнені дані». І нагадаю, що для уточнення даних у військовозобов’язаних є ще 60 днів”, – пише він.
За його словами, фахівці з’ясували декілька цікавих обставин щодо додатку:
- Він зроблений на основі додатку для школярів Мрія. Саме тому там можна побачити такі поля як «домашні завдання», «пропущений урок», «оцінки». Але нюанс у тому, що додаток Мрія досі офіційно не запускали. Тобто, рядки попали випадково, їх повинні прибрати.
- З-за кордону додаток не доступний для завантаження: як для Android, так і для iOS. Хоча для тих українців, які знаходяться за кордоном – це єдина можливість уточнити свої дані, сформувати відповідний електронний документ та з ним отримати таки доступ до консульських послуг.
- Десь у публічному доступі вже є АРК-файл додатку Резерв+, і тому до нього можуть отримати доступ хакери.
- Все ще багато людей, які завантажили додаток, не можуть в ньому авторизуватися через BankID.
- BankID є єдиним з можливих засобів авторизації в додатку. Ніяких інших не передбачається. Наприклад цілком легальний ЕЦП.
“Тобто спочатку ліпимо продукт щоб він хоч якось купи тримався, не тестуємо, не думаємо, не прораховуємо ризики, а просто вивалюємо на користувача. Будуть орати – будемо фіксити. Не будуть (або не сильно) – значить і так з’їдять. Державницький підхід «хуже нє будєт», – додає Корсун.
На мою ж думку, альтернативи все одно немає, тому розробникам треба якнайшвидше прибрати баги, додати інші варіанти авторизації та ввести реальні рівні кібербезпеки.
