Table of Contents
Nie byliśmy i nie jesteśmy w żaden sposób związani z ZUS, poza wypełnianiem ustawowego obowiązku ubezpieczenia społecznego.
Z zainteresowaniem przyjąłem wejście w życie ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. nr 112, poz. 1198).
Postanowiłem sprawdzić komputeryzację Zakładu Ubezpieczeń Społecznych.
Jak powszechnie wiadomo, ZUS komputeryzuje prywatna firma PROKOM, specjalizująca się w zamówieniach rządowych. W efekcie działań komputeryzacyjnych płatnicy ubezpieczeń otrzymali przymus rozliczeń z ZUSem poprzez oprogramowanie działające wyłącznie pod systemem MS Windows.
Ze znajomymi rozpoczęliśmy publiczny projekt o kryptonimie Janosik - napisania alternatywnego oprogramowania, które ma być w założeniu dostępne dla wszystkich systemów. Niestety spotkaliśmy się z trudną barierą, a mianowicie brakiem specyfikacji przekazu elektronicznego.
Sprawa ma trzy wątki - pierwszy to ujawnienie techniki szyfrowania, drugi to brak kontroli ZUS nad szyfrowaniem, trzeci to dziwne porozumienie z firmą Microsoft, wymuszające zakup systemu Windows tej firmy.
Zacząłem bardzo grzecznie, od pisma do najbliższego oddziału ZUS-u.
23 marca 2002r. skierowałem pismo do dyrektora oddziału wrocławskiego ZUS, właściwego dla mnie obszarowo.
Dyrektor odpowiedział szybko, lecz nie na temat:
Odpowiedź ta mnie nie zadowoliła, stąd moja prośba o konkrety.
Po kilku dniach dostałem obietnicę przedstawienia wyjaśnień, jak tylko dyrektor uzyska wsparcie z centrali.
Niestety określony ustawą czas minął, zatem zdecydowałem się z żalem na http://www.ibiblio.org/ser/SP-versus-RP/zus/krok-5.pdfskargę do NSA.
13 czerwca 2002 dostałem wezwanie sędziego NSA, w sprawie "uzupełnienia skargi poprzez dostarczenie kopii pisma wzywającego do usunięcia naruszenia interesu prawnego - w terminie 7 dni od daty otrzymania wezwania, pod rygorem skutków prawnych".
Na to pismo złożyłem wyczerpujące wyjaśnienia.
Ponieważ minął już kawałek czasu, bez sygnałów z sądu, zadzwoniłem do sekretariatu, gdzie nieoficjalnie dowiedziałem się, że sprawa będzie rozpatrywana na posiedzeniu niejawnym w dniu 7 lipca 2002. Nie wiem, jakie są przesłanki do zwołania tego posiedzenia, dowiem się zapewne po fakcie.
15 lipca odwiedziłem sąd, i zajrzałem do akt sprawy. Dowiedziałem się, że nadano mojej sprawie nową sygnaturę akt - z II SAB/Wr 72/02 przeniesiono je do II SA/Wr 1589/02. W dokumentach znalazłem odręczną notatkę sędziego z dnia 8 lipca 2002, o następującej treści:
Zarządzenie: proszę o zdjęcie sprawy z wokandy posiedzenia niejawnego. Jednocześnie należy wykreślić n/n sprawę z rejestru II SAB/Wr jako załatwioną w inny sposób i wpisać tę sprawę do rejestru II SA/Wr. Pismo z dnia 2 kwietnia 2002 r. kierowane przez skarżącego do Dyrektora ZUS należy uznać za wezwanie do usunięcia naruszenia. Stąd też należy wezwać skarżącego do wniesienia wpisu od skargi i po wykonaniu tej czynności skierować skargę do strony przeciwnej celem odpowiedzi na skargę i przesłanie akt.
Niezwłocznie wniosłem zatem opłatę wpisową w wysokości 10 PLN, i starałem się dowiedzieć w sekretariacie, jakie są prognozy dotyczące czasu, w jakim sprawa zostanie znów rozpatrywana. Uprzejma sekretarka powiedziała mi nieoficjalnie, że najprawdopodobniej sąd zajmie się sprawą w... październiku. Na moje pytanie, czemu dopiero w pażdzierniku, 6 miesięcy od mojej prośby, dowiedziałem się, że w sierpniu sędziowie są na wakacjach i sąd jest praktycznie zamknięty, nie odbywają się bowiem żadne rozprawy, a we wrześniu trzeba będzie nadrabiać zaległości [zapewne z sierpnia - SP].
20 sierpnia otrzymałem jednak z ZUSu decyzję o odmowie udzielenia oczekiwanych informacji. Jak wynika z tego pisma, ZUS nie wie, w jaki sposób szyfrowane są dokumenty płatników!!!
Natychmiast, w tym samym dniu, wysłałem list polecony do prezesa firmy Prokom Software S.A. - z tym samym pytaniem, które zadałem w marcu ZUSowi. Trochę żałuję, że nie pomyślałem o tym wcześniej, ale trudno - czekam na odpowiedź.
Dzień później napisałem kolejny wniosek do ZUS z pytaniem, kto, jeśli nie ZUS, zna specyfikację szyfrowania.
Tym razem znacznie szybciej, bo już 30 sierpnia dostałem odpowiedź, żeZUS nie wie, kto może wiedzieć, jak są szyfrowane dane. Uznaję to za ewidentną szykanę ze strony ZUSu, i zamierzam zdecydowanie odwołać się w tej sprawie do Naczelnego Sądu Administracyjnego, gdyż nie wierzę, że ZUS nie wie, kto i jak szyfuje dane, które do niego docierają. Przecież same się nie szyfrują - tak na chłopski rozum, co nie? A jeśli nawet ZUS ich nie szyfruje, to chyba wie, kto w jego imieniu to robi?
W dniu 2 września, na żądanie sądu, podtrzymałem skargę.
4 pażdziernika 2002 r., po miesiącu milczenia sądu, zdecydowałem się go odwiedzić i przejrzeć akta. Niestety prezes sądu nie zdecydował się wyznaczyć daty rozprawy, gdyż podobno (nieautoryzowana wypowiedź sekretarki) nie ma mocy przerobowych. Iluzją jest zatem artykuł 21 ust. 2 ustawy o dostępie do informacji publicznej, mówiący, że: skargę rozpatruje się w terminie 30 dni od dnia otrzymania akt wraz z odpowiedzią na skargę. Zmuszony byłem zatem skierować skargęna ręcę prezesa sądu.
29 pażdziernika 2002 r. otrzymałem list z wyznaczeniem daty pierwszej rozprawy - rozpoznania sprawy - 21 listopada, g. 14.50
Rozprawa się odbyła, jak się okazało, popełniłem błąd proceduralny, polegający na tym, że powieniem złożyć kolejną skargę na odmowną decyzję ZUSu, zamiast podtrzymywać skargę na bezczynność. Wysoki Sąd uznał w swej łaskawości, że ze względu na to, że zachowałem termin złożenia skargi, przesunie moją skargę do oddzielnego postępowania, i wezwie ZUS do odpowiedzi na skargę w ciągu 15 dni. Zatem realny termin kolejnej rozprawy, to styczeń 2003 roku. Chciałbym podziękować trzem członkom RWO za uczestniczenie w rozprawie z ławy dla publiczności, niestety Sąd nie zgodził się na rejestrację dźwieku z rozprawy, abym mógł zapoznać wszystkich z jej przebiegiem.
Zgodnie z poleceniem sądu, ZUS nadesłał akta sprawy wraz z pismem wiodącym. Sąd wyznaczył rozprawę w celu rozpoznania sprawy na dzień 6 lutego 2003 roku, godzina 11, sala B, w siedzibie Ośrodka Zamiejscowego NSA we Wrocławiu, ul. Św. Mikołaja 78/79.
Rozprawa się odbyła, niestety znów nie po mojej myśli. A szło już bardzo dobrze, gdyż:
Zaoferował pomoc i przyjechał reprezentować mnie przed sądem adwokat z Łodzi, pan Artur Kmieciak. P. Artur świetnie orientuje się w tematyce Wolnego Oprogramowania i jego znaczenia w bezpieczeństwie systemów informatycznych, zatem znakomicie przedstawił sądowi sprawę ze strony nietechnicznej;
Zjawili się reporterzy większości dolnośląskich dzienników, była kamera TVN24 - zatem sprawa nabiera sporego wydźwięku społecznego;
Była pełna sala, dopisała publiczność zainteresowana rozstrzygnięciem sprawy.
Niestety sąd znów oddalił skargę z przyczyn proceduralnych - mianowicie ZUS w decyzji o odmowie dostępu do informacji wadliwie poinformował mnie o trybie skarżenia tej decyzji - zgodnie z tym co napisał, skierowałem sprawę do NSA. Sąd jednak uznał, że ZUS powinien najpierw sam zająć się moim odwołaniem.
W najbliższych dniach zamierzam, postępując zgodnie z wolą sądu, zamierzałem odwołać się od decyzji ZUS - do ZUS.
Po tej rozprawie pojawiło się wiele relacji prasowych, lokalne gazety zajęły się tą sprawą solidnie, głównie na pierwszych stronach. Wrocławska Gazeta Wyborcza nie popisała się, starając się w tytule "Czy wrocławski student wygra z ZUSem?" pomniejszyć rangę sprawy - nie jestem studentem, dziennikarzowi mówiłem jedynie, że studiowałem na PWr. Autor artykułu z Wyborczej powtórzył swe nieskomplikowane szufladkowanie w Gazecie Prawnej. Obecnie posiadam własną firmę, co innym dziennikarzom na szczęście nie umknęło. Napisały:
Gazeta Wrocławska
Słowo Polskie
Gazeta Prawna
Gazeta Wyborcza
Rzeczpospolita
CHIP
20 lutego 2003 r., po dłuższym namyśle, zdecydowaliśmy się wysłać do ZUSu prośbę o sprecyzowanie formuły wniesienia odwołania, jako że poprzednia rada ZUSu okazała się nietrafna.
5 marca dostałem mało zrozumiałą odpowiedź - obecnie kombinuję o co chodzi i jakie kroki przedsięwziąć.
Zdecydowaliśmy się wspólnie z innymi sympatykami inicjatwy Janosik, że inne osoby zaczną zajmować się oddziałami lokalnymi, które już chyba wypracowały system odpowiedzi, a ja zacznę uderzać równolegle wyżej, do Centrali ZUS.
Ze względu na brak ochoty na zabawę w kotka i myszkę, skierowałem pytanie bezpośrednio do prezesa ZUS-u.
W przepisowym terminie odpowiedź nie wpłynęła, wezwałem ZUS do odpowiedzi.
Nadeszła odpowiedź - negatywna.
Mecenas Artur Kmieciak otrzymuje moje pełnomocnictwo i pisze odwołanie.
Przychodzi kolejna decyzja negatywna, kończąca postępowanie administracyjne.
Teraz pozostaje jedynie skarga do NSA. Zatem mija ponad 16 miesięcy, w których Zakład Ubezpieczeń Społecznych skutecznie broni się przed ujawnieniem informacji publicznej.
W wyniku mojego postępowania, gdy odkryłem, że ZUS nie ma kontroli nad poziomem zabezpieczeń danych płatników, zawiadomiłem Najwyższą Izbę Kontroli o fakcie, że ZUS nie kontroluje sposóbu elektronicznego przepływu dokumentów i w związku z tym nie jest w stanie zagwarantować odpowiedniego poziomu bezpieczeństwa.
28 sierpnia 2002 dostałem odpowiedź z NIK, że zgodnie z właściwością NIK przekazał sprawę Generalnemu Inspektorowi Ochrony Danych Osobowych.
21 października dostałem interesującą odpowiedź z biura GIODO. Dyrektor departamentu prawnego przedstawił zaskakującą teorię, jakoby ujawnienie specyfikacji szyfru obniżało jego wartość kryptograficzną! Poza tym niestety nie dowiedziałem się z listu, czy analiza zabezpieczeń została przeprowadzona na podstawie strony internetowej z ogólnym opisem metody szyfrowania, czy też GIODO wszedł w posiadanie oczekiwanej przeze mnie specyfikacji. Jeżeli ma dostęp do tych danych, to skąd je wziął, skoro ZUS nimi nie dysponuje? Po wyjaśnieniach GIODO nabrałem podejrzeń, że dane osobowe w Polsce są słabo chronione, jeśli w ogóle są.
29 października skierowałem do GIODO pismo z prośbą o ponowną analizę moich wątpliwości.
W grudniu otrzymałem kolejną odpowiedź GIODO, w której GIODO nadal twierdzi, że specyfikacji nie zna, ale podejrzewa, że jest w porządku. Nie dam rady skomentować postawy GIODO, bo ręce opadają pod stół i nie mogę jednocześnie pisać na klawiaturze. Mimo mojej wyraźnej prośby, GIODO nie podało autora analiz bezpieczeństwa, które rzekomo przeprowadzono na jego zlecenie.
Ponieważ ciągle jednak nie została wyjaśniona odpowiedzialność Zakładu Ubezpieczeń Społecznych za porozumienie z Microsoftem ograniczające konkurencję, 24 czerwca skierowałem pismo do Urzędu Ochrony Konkurencji i Konsumentów. Dzień później dostałem pismo z Delegatury Wrocławskiej UOKiK o przekazaniu sprawy na ręce Marka Wojtkiewicza, Dyrektora Departamentu Finansowych i Usług UOKiK. Po kilku tygodniach otrzymałem odpowiedź od p.o. zastępcy dyrektora Departamentu Instytuji Finansowych, Usług i Rolnictwa UOKiK, składające się z dwóch stron.
pierwszej, informującej mnie, że ZUS nie jest objęty ustawą z dnia 15 grudnia 2000 r. o ochronie konkurencji i konsumentów,
drugiej, będącej pismem UOKiK do podsekretarza stanu w Ministerstwie Pracy i Polityki społecznej, w której wiceprezes UOKiK apeluje do ministra o ponowne przyjrzenie się sprawie Płatnika pod kątem obsługi wielu systemów operacyjnych.
Zatem okazuje się, że jesteśmy zdani na łaskę rządu - wyjęcie tak wielkiej instytucji jak ZUS spod ustawowego dbania o demonopolizację rynku, pozwala na dowolne manipulacje. Jeśli ZUS powie nam jutro, że mamy dostarczać dokumenty wyłącznie Pocztą Polską, nic nam do tego, jeśli nakaże, że pieczątki trzeba robić w firmie Iksiński SA, również będziemy musieli to zrobić.
Jak się dowiedziałem 17 grudnia 2002 r. z "Gazety Wrocławskiej" - Prokom wykonał oprogramowanie tylko pod system Windows na wyraźne zlecenie ZUSu.
ZUS zatem świadomie zmusza do kupowania systemu Windows i doprowadza przez to do uzależnienia płatników od tego systemu.
Table of Contents
Dwa dni o otrzymaniu ostatecznej odmowy z ZUS, Paweł Hikiert zdecydował się ujawnić specyfikację, o którą wnioskujemy.
Przed przystąpieniem do zabawy, warto jest ściągnać przykładowy zestaw skryptów do testów, niezbędne będą również: program openssl i standardowe narzędzia uniksowe.
Oto szybki sposób, jak praktycznie wygląda proces zastępujący płatnika - przekaz elektroniczny:
#!/bin/bash # uwaga uwaga uwaga! # z lenistwa nie zrobiłem automatycznego update'u rozmiarów pliku zzipowanego # oraz zaszyfrowanego, więc tak naprawdę program trzeba będzie odpalić 2 razy # 1. by uzyskać te dane i je wprowadzić w odpowiednie miejsca pliku $BASE # 2. by wygenerować właściwy plik KSI # jako bazy dla nagłówkó użyłem 'prawdziwego' pliku KSI BASE=2003010101_r # zipowanie zip -3 -J -X data 2003010101_r.kdu mv data.zip data # generowanie pliku hexkey z key cat key | xxd -c 16 | sed -e "s/0*: //; s/ //g" | dd bs=1 count=32 > hexkey cat hexkey | dd bs=1 count=16 >> hexkey # kopiowanie 1 części nagłówków dd if=$BASE of=stage1 bs=1 count=3087 # szyfrownaie klucza openssl rsautl -in key -inkey cert.pem -certin -encrypt > stage2 # kopiowanie 2 części nagłówków dd if=$BASE of=stage3 bs=1 skip=3215 count=149 # szyfrowanie wiadomości openssl enc -des-ede3 -e -K `cat hexkey` -iv 0 -in data -out stage4 # kopiowanie 3 części nagłówków dd if=$BASE of=stage5 bs=1 skip=4252 count=75 # generowanie sygnatury cat stage1 stage2 stage3 stage4 stage5 | openssl dgst -sha1 -binary | openssl rsautl -inkey privkey.pem -sign > stage7 # kopiowanie 4 częsci nagłówków dd if=$BASE of=stage6 bs=1 skip=4327 count=4260 # kopiowanie 5 części nagłówków dd if=$BASE of=stage8 bs=1 skip=8715 # złożenie wszystkiego do kupy cat stage1 stage2 stage3 stage4 stage5 stage6 stage7 stage8 > KSI echo Pamiętaj by sprawdzić rozmiary plików! ls -l data stage4 echo Pierwszy rozmiar powinien być w sekcji naglowek.kompresji echo Drugi rozmiar powinien być w sekcji naglowek.szyfr echo Jeśli się nie zgadzają, zmodyfikuj je w pliku $BASE i ponownie echo uruchom program # sprzątnięcie rm stage* data hexkey