Gdy Ontario i Kolumbia Brytyjska badają możliwości cyfrowej identyfikacji, znajome pytanie nabiera nowej pilności: co się stanie, gdy karty z twojego portfela przeniosą się do smartfona? Wygoda jest łatwa do wyobrażenia. Ryzyka dla prywatności związane z cyfrowym dowodem osobistym, z którymi mogą się zmierzyć mieszkańcy Kanady, są trudniejsze do zauważenia i zasługują na bliższe przyjrzenie się, zanim adopcja stanie się rutyną.

Ten artykuł opiera się na raporcie The White Hatter, który podnosi pytania dotyczące prywatności, cyberbezpieczeństwa, nadzoru, kradzieży tożsamości i wolności osobistych. Materiał źródłowy stawia pytania, zamiast oferować pełną specyfikację techniczną, dlatego skupiamy się na tym, o co warto pytać i co warto sprawdzić, a nie na twierdzeniach o tym, jak będzie działać jakikolwiek system prowincjonalny.

Co proponują Ontario i Kolumbia Brytyjska

Według źródła obie prowincje badają cyfrową identyfikację, która pozwoliłaby mieszkańcom nosić dowód osobisty w smartfonie. Kluczową kwestią jest to, że rząd prowincjonalny mógłby zastąpić, a przynajmniej umieścić obok, fizyczny dowód osobisty poświadczeniem przechowywanym na urządzeniu.

Źródło nie opisuje szczegółów projektu technicznego, terminów wdrożenia ani tego, czy poświadczenia byłyby opcjonalne. Te luki mają znaczenie. Dobrowolne poświadczenie używane do kilku usług ma inny profil ryzyka niż takie, które staje się domyślnym sposobem potwierdzania, kim jesteś, w sklepach, online czy przy okienkach urzędowych.

Gdzie cyfrowy dowód osobisty stwarza ryzyko dla prywatności i bezpieczeństwa

Źródło wskazuje kilka kategorii obaw. Oto jak zwykle przejawiają się one w praktyce.

Nadzór. Fizyczna karta jest okazywana i chowana. Cyfrowe poświadczenie może, w zależności od projektu, generować zapisy za każdym razem, gdy jest używane. Jeśli te zapisy są rejestrowane, łączone lub przechowywane, mogą zbudować obraz tego, gdzie i kiedy weryfikowałeś swoją tożsamość. Dobry projekt to ogranicza. Zły projekt to zaprasza.

Kradzież tożsamości. Przeniesienie poświadczeń do telefonu zmienia powierzchnię ataku. Zgubiony portfel dotyka jednej osoby. Słabość w aplikacji, systemie backendowym lub procesie odzyskiwania konta w telefonie może dotknąć wielu osób naraz. Kradzież telefonu, złośliwe oprogramowanie i inżynieria społeczna stają się istotne dla twojej tożsamości, nie tylko dla twoich kontaktów i zdjęć.

Centralizacja. Każdy system, który koncentruje dane tożsamości, tworzy atrakcyjny cel. To, czy cyfrowy dowód osobisty opiera się na centralnej bazie danych, czy przechowuje poświadczenia głównie na urządzeniu, jest jednym z najważniejszych wyborów projektowych, a społeczeństwo powinno oczekiwać jasnych odpowiedzi na ten temat.

Wolności osobiste i dostęp. Źródło wskazuje również na szersze pytania dotyczące wolności osobistych. Osoby bez nowego smartfona, niezawodnego zasięgu lub komfortu w korzystaniu z aplikacji mogłyby zostać pominięte, gdyby fizyczne opcje zniknęły. Każdy plan zastąpienia fizycznego dowodu osobistego powinien wyjaśniać, jak ci mieszkańcy nadal będą mogli potwierdzić, kim są.

Lekcje z cyfrowego dowodu osobistego powiązanego z weryfikacją wieku

Cyfrowy dowód osobisty jest często promowany wraz z innymi celami, a weryfikacja wieku jest jednym z powszechnych. Takie połączenie może rozszerzyć zastosowanie systemu dowodów osobistych daleko poza jego pierwotny cel.

Niedawnym studium przypadku jest Karnataka w Indiach, gdzie projekt polityki wymagałby od studentów używania poświadczeń tożsamości Aadhaar przy rejestracji w mediach społecznościowych. Omówiliśmy tę propozycję w Planie Aadhaar dla mediów społecznościowych w Karnatace budzą obawy o nadzór. Została przedstawiona jako środek weryfikacji wieku, jednak wzbudziła obawy dotyczące łączenia rządowej tożsamości z aktywnością online.

Sytuacja w Kanadzie nie jest taka sama, a źródło nie twierdzi, że Ontario lub Kolumbia Brytyjska planują coś podobnego. Lekcja jest węższa: gdy istnieje zaufane rządowe poświadczenie, może narastać presja, by używać go do większej liczby kontroli, w większej liczbie miejsc. Mieszkańcy słusznie pytają wcześnie, gdzie leżą granice i czy egzekwuje je prawo, a nie tylko polityka.

Co to oznacza dla ciebie

Nic w źródle nie sugeruje, że musisz działać już dziś. Cyfrowy dowód osobisty w Ontario i Kolumbii Brytyjskiej jest badany, a szczegóły mogą się jeszcze zmienić. Ale możesz się przygotować.

  • Zachowaj fizyczny dowód osobisty. Jeśli opcja cyfrowa zostanie uruchomiona, traktuj ją jako dodatek, dopóki nie będziesz zadowolony z tego, jak działa.
  • Najpierw zabezpiecz telefon. Silny kod dostępu, aktualne oprogramowanie i staranne ustawienia odzyskiwania konta mają większe znaczenie, gdy twój telefon przechowuje twoją tożsamość.
  • Zwracaj uwagę, o co się prosi. Jeśli firma prosi o zeskanowanie dowodu osobistego, zapytaj, czy potrzebuje pełnego rekordu, czy tylko prostego tak lub nie, na przykład potwierdzenia wieku.
  • Śledź konsultacje. Programy prowincjonalne tego rodzaju zwykle obejmują konsultacje publiczne, przeglądy prywatności i ustawodawstwo. To momenty, w których kształtowane są wybory projektowe.

Pytania, które warto zadać, zanim przyjmiesz cyfrowy dowód osobisty

Krótka lista kontrolna może pomóc ci ocenić każdy prowincjonalny cyfrowy dowód osobisty, kiedy tylko się pojawi:

  1. Jakie dane przechowuje i gdzie? Na twoim urządzeniu, na serwerach rządowych, czy w obu miejscach?
  2. Co jest udostępniane, gdy go używam? Czy weryfikujący widzi tylko to, czego potrzebuje, czy wszystko, co jest na karcie?
  3. Czy użycia są rejestrowane? Jeśli tak, kto może widzieć dzienniki i jak długo są przechowywane?
  4. Czy jest naprawdę opcjonalny? Czy fizyczny dowód osobisty pozostanie akceptowany wszędzie?
  5. Co się stanie, jeśli mój telefon zostanie zgubiony, skradziony lub przejęty? Jak szybko poświadczenie może zostać unieważnione i przywrócone?
  6. Kto może go żądać? Czy istnieją prawne ograniczenia dla prywatnych firm i platform online?
  7. Czy opublikowano niezależny przegląd prywatności?

Wnioski

Debata o ryzykach dla prywatności związanych z cyfrowym dowodem osobistym, z którymi mierzy się Kanada, jest w rzeczywistości debatą o projekcie i ograniczeniach. Dobrze zbudowany system może zmniejszyć nadmierne udostępnianie danych. Źle zarządzany może ułatwić śledzenie i naruszenia danych.

  • Zapytaj, jakie dane przechowuje i udostępnia prowincjonalny cyfrowy dowód osobisty, zanim się zarejestrujesz.
  • Zachowaj fizyczny dowód osobisty jako kopię zapasową, dopóki szczegóły nie są ustalone.
  • Śledź, jak Ontario i Kolumbia Brytyjska podchodzą do weryfikacji wieku i przepisów dotyczących dowodów osobistych, w miarę rozwoju propozycji.
  • Przeczytaj o przypadku Karnataki w naszym omówieniu nadzoru Aadhaar jako przykładzie tego, jak systemy powiązane z dowodami osobistymi mogą budzić obawy o nadzór.

Wygoda i prywatność nie są przeciwieństwami, ale tylko wtedy, gdy ludzie zadają właściwe pytania wcześnie.