Un consorzio di governatori guidato dallo Utah sta dando a dieci Stati tempo fino a gennaio 2027 per adottare regole di identità digitale improntate alla privacy. L'obiettivo, secondo il rapporto, è agire prima che lo standard per l'ID mobile ISO 18013-5 si diffonda ulteriormente senza supervisione. Gli esperti citati nella copertura affermano che tale standard mantiene capacità di tracciamento governativo. Per i residenti, il dibattito si riduce a una sola domanda: tracciamento delle credenziali di identità digitale e privacy, e se chi emette il tuo ID mobile possa vedere dove e quando lo usi.
Una nota sulle fonti: l'articolo di origine è breve e il testo a nostra disposizione è troncato. Nomina un consorzio, un gruppo di dieci Stati, una scadenza a gennaio 2027 e lo standard ISO 18013-5. Menziona anche qualcuno di nome Bramwell, ma il testo disponibile non completa quel riferimento. Questo articolo si attiene a quei punti e spiega la tecnologia in termini generali. Non afferma dettagli sul quadro del consorzio che la fonte non conferma.
Cosa significa la scadenza di gennaio 2027 per i residenti
Secondo il rapporto, dieci Stati hanno tempo fino a gennaio 2027 per adottare regole di identità digitale improntate alla privacy. La logica dietro una scadenza è che gli standard tecnici tendono a consolidarsi una volta ampiamente diffusi. Se gli ID mobili vengono distribuiti in più Stati secondo uno standard che consente il tracciamento, e non esistono regole di supervisione, quelle scelte progettuali diventano difficili da invertire.
Per i residenti, l'effetto pratico è che nei prossimi mesi è più probabile che le regole vengano definite. Le legislature statali, le agenzie per i veicoli a motore e gli uffici dei governatori possono ancora decidere quali dati un sistema di identità digitale possa registrare, per quanto tempo possa conservarli e chi possa accedervi. Una volta che un sistema è operativo, cambiare tali impostazioni di solito significa ricostruire parti di esso.
Come funziona il tracciamento delle credenziali negli ID mobili ISO 18013-5
ISO 18013-5 è uno standard internazionale per le patenti di guida mobili. Definisce come un telefono possa presentare dati di identità a un verificatore, come un agente di polizia, un rivenditore o un punto di controllo aeroportuale. La fonte afferma che gli esperti ritengono che lo standard mantenga capacità di tracciamento governativo. Il testo dell'articolo che abbiamo non esplicita il meccanismo, quindi ecco la preoccupazione generale in termini semplici.
Il rischio di tracciamento in qualsiasi sistema di credenziali digitali di solito deriva da alcuni punti:
- Registri di verifica. Se l'app di un verificatore o un servizio back-end registra ogni volta che una credenziale viene controllata, tali registrazioni possono costruire una cronologia di dove hai mostrato il tuo ID.
- Contatto con l'emittente. Se un controllo richiede che il sistema si rivolga all'emittente governativo, l'emittente potrebbe venire a conoscenza di quando e dove è stata usata la credenziale.
- Conservazione. Anche registri modesti diventano sensibili quando vengono conservati a lungo o combinati con altri database.
Se una specifica implementazione statale faccia qualcuna di queste cose dipende da come è configurata, ed è esattamente per questo che le regole di supervisione contano. Uno standard può consentire un uso protettivo della privacy e al contempo permettere il tracciamento. Le regole che lo circondano decidono quale dei due i residenti ottengono.
Le implementazioni nel mondo reale mostrano perché questo conta. La nostra copertura dell'ID digitale IKD dell'Indonesia che supera i 20,5 milioni di utenti esamina i rischi per la privacy che emergono quando un'identità digitale nazionale si espande rapidamente.
Alternative improntate alla privacy: divulgazione selettiva e prove a conoscenza zero
Il design di un'identità digitale improntata alla privacy si basa generalmente su due idee.
La divulgazione selettiva ti consente di condividere solo l'attributo di cui un verificatore ha bisogno. Un bar deve sapere che hai più di 21 anni, non il tuo indirizzo o la tua data di nascita completa. Una credenziale ben progettata può rivelare solo quel singolo dato.
Le prove a conoscenza zero vanno oltre. Ti permettono di dimostrare che un'affermazione è vera, come "ho più di 18 anni", senza rivelare affatto i dati sottostanti, e senza dare al verificatore qualcosa che possa essere ricondotto a te tra una visita e l'altra.
Queste tecniche riducono ciò che i verificatori apprendono, ma non fermano automaticamente il tracciamento. La registrazione presso il verificatore, il contatto con l'emittente e i lunghi periodi di conservazione possono indebolirle. Le regole improntate alla privacy devono quindi coprire sia la crittografia sia le pratiche di trattamento dei dati circostanti.
La stessa tensione appare nei controlli di età online. Una tavola rotonda di SFLC.in sui rischi per la privacy nella verifica dell'età mostra come i sistemi di verifica possano raccogliere più di quanto necessitino.
Diritti da cercare nelle regole di identità digitale del tuo Stato
La fonte non elenca i requisiti specifici del consorzio, quindi considera questa una lista di controllo per il lettore piuttosto che una descrizione del suo quadro. Quando il tuo Stato discute o lancia un ID mobile, cerca:
- Un divieto di uso per tracciamento. Regole che proibiscono all'emittente di registrare dove e quando presenti la tua credenziale.
- Minimizzazione dei dati. I verificatori dovrebbero richiedere solo gli attributi di cui hanno bisogno, e il sistema dovrebbe supportare la divulgazione selettiva.
- Limiti di conservazione brevi e definiti. Eventuali registri esistenti dovrebbero essere cancellati secondo un calendario prestabilito.
- Supervisione indipendente. Un processo di audit o un'autorità di regolamentazione che possa verificare se il sistema si comporta come promesso.
- Uso volontario. Un'opzione di ID fisico che rimanga pienamente valida, così che nessuno sia costretto alla versione digitale.
- Limiti sull'uso secondario. Restrizioni sulla condivisione dei dati con altre agenzie o soggetti commerciali.
Cosa significa per te
Se vivi in uno dei dieci Stati, nei prossimi mesi è quando il contributo pubblico conta di più. Se vivi altrove, le stesse domande si applicano man mano che gli ID mobili si espandono. Non devi evitare del tutto l'identità digitale. L'obiettivo è sapere come la versione del tuo Stato gestisce la registrazione e la conservazione prima di farvi affidamento.
Nel frattempo, puoi conservare un ID fisico per le situazioni in cui preferiresti non generare un record digitale, e puoi chiedere alla tua agenzia per i veicoli a motore cosa memorizza quando un ID mobile viene verificato.
Punti chiave
- Controlla il programma del tuo Stato. Consulta l'informativa sulla privacy pubblicata dalla tua agenzia per i veicoli a motore per il suo ID mobile e verifica se affronta la registrazione e la conservazione.
- Chiedi direttamente del tracciamento. Contatta il tuo rappresentante statale o l'agenzia e chiedi se presentare la tua credenziale possa essere registrato o ricondotto a te.
- Sostieni regole improntate alla privacy. Commenta le regole o le normative proposte che limitano il tracciamento e richiedono la divulgazione selettiva.
- Mantieni aperte le opzioni. Conserva un ID fisico ove possibile.
- Impara da altre implementazioni. Gli articoli sull'IKD dell'Indonesia e sui controlli di età di SFLC.in collegati sopra mostrano come i sistemi di identità digitale e di verifica possano creare rischi per la privacy quando le salvaguardie restano indietro rispetto alla distribuzione.
La privacy del tracciamento delle credenziali di identità digitale sarà decisa nelle regole scritte ora, quindi vale la pena scoprire cosa sta pianificando il tuo Stato.
