Zobacz także:
Zobacz także:
Ministerstwo Cyfryzacji w kwietniu 2026 roku uruchomiło komunikator mSzyfr, który według zapowiedzi ma zapewniać „pełną suwerenność cyfrową”.
Serwis ten jest przeznaczony głównie dla organów państwowych, ale do platformy – za zgodą ministerstwa – dostęp mogą otrzymywać też „inne podmioty”.
Według dokumentów uzyskanych przez redakcję „Kontrabandy” w trybie dostępu do informacji publicznej, jak dotąd na utrzymanie komunikatora mSzyfr wydano ponad 1,2 mln złotych.
Do 30 marca 2026 roku trwała umowa dotycząca komunikatora Threema, której łączny koszt wynosił 21,8 mln złotych. Ministerstwo Cyfryzacji postanowiło tej umowy nie przedłużać, nie podając przy tym konkretnego powodu.
Zgodnie z informacją publiczną przesłaną dnia 15 czerwca 2026 roku, odpowiedzialność za utrzymanie mSzyfru spoczywa na NASK–PIB – organie państwowym nadzorowanym przez Ministerstwo Cyfryzacji.
Ministerstwo, zapytane przez redakcję „Kontrabandy” o audyty bezpieczeństwa dotyczące mSzyfru, odmówiło ich udostępnienia, powołując się na art. 37 ustawy o krajowym systemie cyberbezpieczeństwa. Zgodnie z tym artykułem, pozyskanie takich audytów drogą wniosku o informację publiczną jest niemożliwe.
Sekretarz stanu w ministerstwie, Paweł Olszewski, podkreślał na jednej z komisji sejmowych, że mSzyfr jest oparty o „polskie rozwiązania, polską infrastrukturę, polski kod”, i że „nie ma żadnych zewnętrznych komponentów”.
Jednak na stronie rządowej podano, że mSzyfr opiera się na Element Server Suite Pro – komercyjnej wersji komunikatora Element, który używa otwartego protokołu Matrix.
Oba projekty – Element (komunikator) i Matrix (protokół) – stworzyła brytyjska firma Element Creations Limited, która do 2025 roku nazywała się New Vector Limited. To drugie jest zarządzane od dłuższego czasu przez Matrix Foundation.
W oficjalnym dokumencie FAQ przygotowanym przez NASK, mSzyfr opisano jako rozwiązanie open source.
Częściowo to jest prawdą – kod aplikacji klienckiej, na której mSzyfr został oparty (Element X), jest dostępny na wolnej licencji (GNU AGPLv3). Jednak Element Server Suite Pro – oprogramowanie stanowiące podstawę mSzyfru – to produkt komercyjny, którego kod źródłowy nie jest publicznie dostępny.
Redakcja „Kontrabandy” wystąpiła z kolejnym wnioskiem o udostępnienie informacji publicznej. Zwróciliśmy się również o komentarz rzecznika prasowego Ministerstwa Cyfryzacji w sprawie wypowiedzi Pawła Olszewskiego.
– Sformułowanie wskazujące, że komunikator jest oparty na polskim kodzie i nie zawiera żadnych zewnętrznych komponentów ma na celu podkreślenie, że kod, na którym oparty jest komunikator, został zweryfikowany oraz dostosowany przez polskich programistów i nie zawiera komponentów, dla których nie jest znany kod źródłowy – pisze rzeczniczka prasowa Ministerstwa Cyfryzacji w e-mailu.
NASK na swojej stronie internetowej opublikował pliki ZIP z kodem źródłowym aplikacji klienckich mSzyfru, co było następstwem warunków licencyjnych (GNU AGPLv3 wymaga, żeby zmodyfikowany kod źródłowy był w całości publiczny). Celem archiwizacji (oraz umożliwienia podglądania dokonywanych zmian w czasie) opublikowaliśmy jego kopię w wersji dla Androida oraz dla iOS w serwisie Codeberg.
W kodzie mSzyfru – zarówno w przypadku jednej, jak i drugiej platformy – pozostało wiele odniesień do macierzystej aplikacji. Na czas publikacji artykułu wersja na Androida była oparta o Element X w wersji 26.03.4 (najnowsza w chwili publikacji: 26.06.4), zaś na iOS-a – 25.12.1 (najnowsza w chwili publikacji: 26.06.1).
Przykładami w aplikacji na Androida mogą być plik README.md, który wprost mówi o tym, że dotyczy on aplikacji Element X:
…plik LearnMoreConfig.kt, z którego odniesienia do strony element.io nie zostały usunięte:
…aż w końcu po plik CHANGES.md, opisujący każdą zmianę, która została wdrożona w aplikacji Element X.
Ponieważ kod mSzyfru został opublikowany wyłącznie w formie plików ZIP, to był jedyny punkt odniesienia, jak bardzo aktualny był kod aplikacji do komunikacji rządowej.
Jeżeli uznamy, że mSzyfr w wersji na Androida rzeczywiście dalej jest oparty o tę samą wersję Element X, to przynajmniej dwie istotne poprawki bezpieczeństwa mogą mieć znaczenie w przypadku braku synchronizacji kodu mSzyfru z projektem macierzystym. Na ten moment mowa o zgłoszeniach o numerach CVE-2026-45056 oraz CVE-2026-45057, które w macierzystej aplikacji Element X na Androida zostały załatane w wersji 26.05.1.
Nie jesteśmy w stanie niezależnie potwierdzić, czy podjęto jakiekolwiek działania w tej sprawie z uwagi na formę publikacji kodu zastosowaną przez NASK.
Po zgłoszeniu sprawy do CERT-u, już następnego dnia otrzymaliśmy informację, że zgłoszenie zostało „przekazane do odpowiednich osób”.
AKTUALIZACJA (24/06/2026): do artykułu dodaliśmy informację zwrotną od CERT-u nt. naszego zgłoszenia.
AKTUALIZACJA (29/06/2026): do artykułu dodaliśmy odpowiedź od Ministerstwa Cyfryzacji w sprawie sformułowania o „polskim kodzie mSzyfru”.
Zdjęcie tytułowe zostało zrobione własnoręcznie i jest ono dostępne na Wikimedia Commons na licencji CC BY-SA 4.0 International. Treść artykułu powstała na podstawie następujących zewnętrznych źródeł tekstowych i/lub audiowizualnych:
„Kontrabanda” jest portalem, na którym nie ma reklam, nadmiaru treści sponsorowanych ani też clickbaitów. Powołują się na nas media takie jak oko.press, CyberDefence24, czy organizacje takie jak Polskie Towarzystwo Informatyczne. Niemniej naszym jedynym źródłem utrzymania się są na ten moment dobrowolne datki.
Wesprzyj naszą działalnośćNie ma żadnych komentarzy pod tym wpisem.
Preferuj: