Proboj koji mijenja razgovor o digitalnoj osobnoj iskaznici
- rujna sigurnosni novinar Brian Krebs izvijestio je o proboju podataka koji uključuje 153 milijuna evidencija vozačkih dozvola. Razmjera izloženosti dolazi u nezgodnom trenutku za državne vlade diljem zemlje koje su posljednjih nekoliko godina gurale građane prema mobilnim vozačkim dozvolama i programima digitalnih državnih osobnih iskaznica. Ideja iza tih inicijativa oduvijek je bila praktičnost: dodirnite telefon na zračnoj luci, potvrdite dob u trgovini ili potvrdite identitet na internetu bez nošenja fizičke kartice. No proboj ove veličine podsjetnik je da digitalizacija identiteta ne čini ga automatski sigurnijim. Ona jednostavno može promijeniti mjesto gdje rizik živi.
To je paradoks u središtu trenutne rasprave o digitalnom identitetu. Državama se, ispravno, govori da su naslijeđene papirnate vjerodajnice i zastarjeli sustavi provjere ranjivi na prijevare i krivotvorine. Istodobno, premještanje tih istih podataka o identitetu u digitalne, umrežene sustave stvara nove, veće mete za napadače. Jedan proboj koji uključuje podatke o vozačkim dozvolama ove razmjere savršeno ilustrira zašto su zagovornici privatnosti bili oprezni oko toga koliko se brzo odvija uvođenje digitalnih osobnih iskaznica.
Zašto digitalne državne osobne iskaznice podižu uloge za privatnost
Fizička vozačka dozvola koja leži u novčaniku, u sigurnosnom smislu, relativno je ograničen rizik. Ako se izgubi ili ukrade, izloženost je ograničena na taj jedan dokument i osobu koja ga fizički posjeduje. Digitalni sustavi identiteta ne funkcioniraju na taj način. Oni obično ovise o centraliziranim ili umreženim bazama podataka, uslugama trećih strana za provjeru i aplikacijskim novčanicima koji svi moraju međusobno komunicirati. Svaka od tih točaka povezivanja potencijalni je ulaz za napadače, a svaka proširuje broj strana koje posjeduju ili obrađuju osjetljive podatke o identitetu.
To prošireno područje djelovanja upravo je ono što proboj poput onoga o kojem je izvijestio KrebsOnSecurity čini tako značajnim za planiranje digitalnih osobnih iskaznica. Podaci o vozačkoj dozvoli nisu samo ime i fotografija. Obično uključuju kućne adrese, datume rođenja, brojeve dozvola, a ponekad i potpise, što se sve može zlorabiti za krađu identiteta, lažno otvaranje računa ili napade socijalnog inženjeringa dugo nakon početnog proboja. Kada su ti isti podaci povezani s digitalnom vjerodajnicom namijenjenom ponovnoj uporabi na aerodromima, u trgovinama i na vladinim portalima, posljedice curenja postaju teže za ograničiti i teže za poništiti.
Sjedinjene Države nisu same u suočavanju s tom napetošću. Druge zemlje istražuju jednako ambiciozne sustave provjere identiteta iz različitih razloga. Indija, na primjer, razmatra okvir koji bi zahtijevao široku provjeru identiteta za korisnike društvenih mreža kao dio napora za zaštitu maloljetnika na internetu. Taj prijedlog, poput američkog guranja prema mobilnim vozačkim dozvolama, ilustrira temu koja se ponavlja: rješavanje jednog problema, bilo da je riječ o prevenciji prijevara ili sigurnosti djece, često znači tražiti od mnogo više ljudi da predaju verificirane podatke o identitetu centraliziranom sustavu, a ta razmjena zaslužuje pomno ispitivanje prije nego što postane standardna praksa.
Paradoks: Više rizika, više hitnosti
Ovdje pojam "paradoks" postaje koristan. Isti proboj koji digitalne državne osobne iskaznice čini rizičnijima također čini slučaj za njihovu ispravnu izgradnju hitnijim. Papirnate i plastične vjerodajnice nikada nisu bile imune na prijevare, a statičke baze podataka s osobnim informacijama probijane su godinama bez obzira na to ima li država program digitalnih osobnih iskaznica. Pravo pitanje koje ovaj incident postavlja nije trebaju li države napustiti napore oko digitalnog identiteta, već grade li se trenutni programi s dovoljnim standardima sigurnosti, enkripcije i minimizacije podataka da izdrže napade ove razmjere.
Države koje su još u ranim fazama dizajniranja sustava mobilnih vozačkih dozvola imaju priliku ugraditi snažnije zaštite od samog početka, umjesto da ih naknadno ugrađuju nakon proboja. To uključuje odluke o tome koje podatke zapravo treba pohraniti, koliko dugo ih treba čuvati, tko im može pristupiti te kako se zahtjevi za provjeru bilježe i revidiraju.
Što to znači za vas
Ako živite u državi koja nudi ili pilotira mobilnu vozačku dozvolu, ovaj proboj dobar je trenutak da zastanete i razmislite o vlastitoj izloženosti. To ne znači da su digitalne osobne iskaznice same po sebi nesigurne za korištenje, ali znači da su podaci iza njih, gdje god bili pohranjeni, meta koju vrijedi pažljivo zaštititi. Pitajte kako program vaše države upravlja pohranom podataka i ograničava li informacije koje se dijele tijekom zahtjeva za provjeru.
Šire gledano, ovo je podsjetnik da je svaki sustav koji drži velike količine podataka o identitetu, digitalnih ili ne, meta visoke vrijednosti. Praktičnost dodirivanja telefona za dokazivanje tko ste stvarna je, ali isto tako i odgovornost organizacija koje grade tu praktičnost da osiguraju podatke iza nje.
Korisni zaključci
- Provjerite je li program digitalne vozačke dozvole vaše države objavio informacije o svojim praksama sigurnosti podataka.
- Pažljivo pratite svoje kreditne i usluge praćenja identiteta ako živite u području pogođenom velikim probojima podataka o identitetu.
- Budite oprezni s aplikacijama ili uslugama kojima dopuštate provjeru vašeg identiteta te pregledajte koje podatke zadržavaju.
- Podržite državne politike koje zahtijevaju minimizaciju podataka i neovisne sigurnosne revizije za sustave digitalnih osobnih iskaznica prije širokog usvajanja.
- Budite informirani o obavijestima o probojima poput ove jer često signaliziraju šire sistemske rizike u načinu na koji se podaci o identitetu obrađuju.
FAQ (prevedite svako pitanje i odgovor): Q1: O kojem je proboju podataka riječ u članku? A1: Članak govori o prijavljenom proboju koji uključuje 153 milijuna evidencija vozačkih dozvola, a prvi ga je izvijestio sigurnosni novinar Brian Krebs 1. rujna. Q2: Zašto je ovaj proboj važan za programe digitalnih državnih osobnih iskaznica? A2: Važan je jer pokazuje da digitalizacija identiteta može jednostavno premjestiti rizik u veće umrežene sustave, a proboj ove razmjere naglašava zabrinutosti zagovornika privatnosti oko brzine uvođenja digitalnih osobnih iskaznica. Q3: Koje vrste podataka obično uključuju evidencije vozačkih dozvola? A3: Evidencije vozačkih dozvola obično uključuju kućne adrese, datume rođenja, brojeve dozvola, a ponekad i potpise, što se može koristiti za krađu identiteta ili prijevare. Q4: Kako se fizička vozačka dozvola razlikuje od digitalne osobne iskaznice u smislu rizika? A4: Fizička dozvola je ograničen rizik jer se gubitkom izlaže samo taj jedan dokument, dok digitalni sustavi ovise o centraliziranim bazama podataka, uslugama trećih strana i aplikacijskim novčanicima koji stvaraju više ulaznih točaka za napadače. Q5: Kaže li članak da se druge zemlje suočavaju sa sličnim zabrinutostima oko digitalnih osobnih iskaznica? A5: Da, napominje da Indija razmatra široku provjeru identiteta za korisnike društvenih mreža, što pokazuje da druge zemlje istražuju ambiciozne sustave identiteta dok se suočavaju sa sličnim napetostima.
