1 сентября журналист по вопросам безопасности Брайан Кребс сообщил об утечке данных, затронувшей 153 миллиона записей водительских удостоверений. Масштаб раскрытия информации приходится на неудобный момент для правительств штатов по всей стране...

Утечка, которая меняет разговор о цифровых удостоверениях личности

1 сентября журналист по вопросам безопасности Брайан Кребс сообщил об утечке данных, затронувшей 153 миллиона записей водительских удостоверений. Масштаб раскрытия информации приходится на неудобный момент для правительств штатов по всей стране, которые последние несколько лет продвигали жителей к мобильным водительским удостоверениям и программам цифровых государственных удостоверений личности. Идея, лежащая в основе этих инициатив, всегда заключалась в удобстве: прикоснитесь к телефону на досмотре в аэропорту, подтвердите свой возраст в магазине или удостоверьте свою личность онлайн, не имея при себе физической карты. Но утечка такого масштаба напоминает о том, что оцифровка личности не делает её автоматически безопаснее. Она может просто изменить место, где находится риск.

Это и есть парадокс, лежащий в основе нынешних дебатов о цифровой идентификации. Штатам справедливо говорят, что устаревшие бумажные документы и устаревшие системы проверки уязвимы для мошенничества и подделок. В то же время перенос тех же данных об идентичности в цифровые сетевые системы создаёт новые, более крупные цели для злоумышленников. Единичная утечка данных водительских удостоверений такого масштаба как нельзя лучше иллюстрирует, почему защитники конфиденциальности проявляют осторожность в отношении того, насколько быстро происходит внедрение цифровых удостоверений личности.

Почему цифровые государственные удостоверения личности повышают ставки в вопросах конфиденциальности

Физическое водительское удостоверение, лежащее в бумажнике, с точки зрения безопасности представляет собой относительно ограниченный риск. Если оно потеряно или украдено, раскрытие информации ограничивается этим одним документом и лицом, которое владеет им физически. Системы цифровой идентификации работают не так. Обычно они зависят от централизованных или сетевых баз данных, сторонних сервисов проверки и приложений-кошельков, которые должны взаимодействовать друг с другом. Каждая из этих точек соединения является потенциальным входом для злоумышленников, и каждая расширяет круг сторон, которые хранят или обрабатывают конфиденциальные данные об идентичности.

Именно этот расширенный охват делает утечку, о которой сообщил Krebs on Security, столь значимой для планирования цифровых удостоверений личности. Данные водительских удостоверений — это не просто имя и фотография. Обычно они включают домашние адреса, даты рождения, номера удостоверений, а иногда и подписи, которые могут быть использованы для кражи личности, мошеннического создания аккаунтов или атак социальной инженерии ещё долго после первоначальной утечки. Когда те же данные привязаны к цифровому удостоверению, предназначенному для многократного использования в аэропортах, розничных магазинах и правительственных порталах, последствия утечки становится труднее сдержать и труднее обратить вспять.

Соединённые Штаты не одиноки в решении этой проблемы. Другие страны изучают столь же амбициозные системы проверки личности по разным причинам. Индия, например, рассматривает рамки, которые потребовали бы широкой проверки личности для пользователей социальных сетей в рамках усилий по защите несовершеннолетних в интернете. Это предложение, как и стремление США к мобильным водительским удостоверениям, иллюстрирует повторяющуюся тему: решение одной проблемы, будь то предотвращение мошенничества или безопасность детей, часто означает требование от гораздо большего числа людей передавать подтверждённые данные об идентичности в централизованную систему, и этот компромисс заслуживает пристального внимания, прежде чем станет стандартной практикой.

Парадокс: больше риска, больше срочности

Вот где термин «парадокс» становится полезным. Та же утечка, которая делает цифровые государственные удостоверения личности более рискованными, также делает аргумент за их правильное создание более срочным. Бумажные и пластиковые документы никогда не были застрахованы от мошенничества, а статические базы данных личной информации взламывались годами, независимо от того, есть ли у штата программа цифровых удостоверений. Реальный вопрос, поднятый этим инцидентом, заключается не в том, должны ли штаты отказаться от усилий по цифровой идентификации, а в том, строятся ли текущие программы с достаточными стандартами безопасности, шифрования и минимизации данных, чтобы выдержать атаки такого масштаба.

Штаты, которые всё ещё находятся на ранних стадиях разработки систем мобильных водительских удостоверений, имеют возможность с самого начала заложить более надёжные средства защиты, а не модернизировать их после утечки. Это включает решения о том, какие данные действительно необходимо хранить, как долго они сохраняются, кто может получить к ним доступ и как регистрируются и проверяются запросы на верификацию.

Что это значит для вас

Если вы живёте в штате, который предлагает или запускает пилотный проект мобильного водительского удостоверения, эта утечка — хороший повод остановиться и подумать о собственной подверженности риску. Это не означает, что цифровые удостоверения личности по своей сути небезопасны в использовании, но это означает, что данные, стоящие за ними, где бы они ни хранились, являются целью, которую стоит тщательно защищать. Спросите, как программа вашего штата обрабатывает хранение данных и ограничивает ли она объём информации, передаваемой во время запроса на верификацию.

В более широком смысле, это напоминание о том, что любая система, хранящая большие объёмы данных об идентичности, цифровая она или нет, является целью высокой ценности. Удобство прикосновения к телефону для подтверждения того, кто вы есть, реально, но так же реальна и ответственность организаций, создающих это удобство, за защиту данных, стоящих за ним.

Практические рекомендации

• Проверьте, опубликовала ли программа цифрового водительского удостоверения вашего штата информацию о своих методах обеспечения безопасности данных.
• Внимательно следите за своими кредитными и сервисами мониторинга личности, если вы живёте в районе, затронутом крупномасштабными утечками данных об идентичности.
• Будьте осторожны с тем, каким приложениям или сервисам вы позволяете проверять вашу личность, и проверяйте, какие данные они сохраняют.
• Поддерживайте политику на уровне штата, требующую минимизации данных и независимых аудитов безопасности для систем цифровых удостоверений личности до их широкого внедрения.
• Следите за сообщениями об утечках, подобных этой, поскольку они часто сигнализируют о более широких системных рисках в том, как обрабатываются данные об идентичности.

FAQ: Q1: О какой утечке данных говорится в статье? A1: В статье рассказывается о сообщённой утечке, затронувшей 153 миллиона записей водительских удостоверений, о которой 1 сентября впервые сообщил журналист по вопросам безопасности Брайан Кребс. Q2: Почему эта утечка важна для программ цифровых государственных удостоверений личности? A2: Она важна, потому что показывает, что оцифровка личности может просто перенести риск в более крупные сетевые системы, а утечка такого масштаба подчёркивает опасения защитников конфиденциальности относительно скорости внедрения цифровых удостоверений личности. Q3: Какие данные обычно содержатся в записях водительских удостоверений? A3: Записи водительских удостоверений обычно включают домашние адреса, даты рождения, номера удостоверений, а иногда и подписи, которые могут быть использованы для кражи личности или мошенничества. Q4: Чем физическое водительское удостоверение отличается от цифрового удостоверения личности с точки зрения риска? A4: Физическое удостоверение представляет собой ограниченный риск, поскольку при его потере раскрывается только этот один документ, в то время как цифровые системы зависят от централизованных баз данных, сторонних сервисов и приложений-кошельков, которые создают больше точек входа для злоумышленников. Q5: Говорится ли в статье, что другие страны сталкиваются с аналогичными проблемами в отношении цифровых удостоверений личности? A5: Да, в ней отмечается, что Индия рассматривает широкую проверку личности для пользователей социальных сетей, что показывает, что другие страны изучают амбициозные системы идентификации, сталкиваясь с аналогичными проблемами.