การละเมิดที่เปลี่ยนบทสนทนาเรื่องบัตรประจำตัวดิจิทัล

เมื่อวันที่ 1 กันยายน ไบรอัน เครบส์ นักข่าวด้านความมั่นคงปลอดภัยรายงานการละเมิดข้อมูลที่เกี่ยวข้องกับบันทึกใบขับขี่ 153 ล้านรายการ ขนาดของการรั่วไหลครั้งนี้เกิดขึ้นในช่วงเวลาที่ไม่เหมาะสมอย่างยิ่งสำหรับรัฐบาลของรัฐต่างๆ ทั่วประเทศที่ใช้เวลาหลายปีที่ผ่านมาผลักดันให้ประชาชนหันมาใช้ใบขับขี่บนมือถือและโปรแกรมบัตรประจำตัวดิจิทัลของรัฐ ข้อเสนอหลักเบื้องหลังโครงการเหล่านี้คือความสะดวกสบายเสมอมา: แตะโทรศัพท์ของคุณที่จุดตรวจรักษาความปลอดภัยสนามบิน ยืนยันอายุของคุณที่ร้านค้า หรือยืนยันตัวตนออนไลน์โดยไม่ต้องพกบัตรพลาสติก แต่การละเมิดขนาดใหญ่เช่นนี้เป็นเครื่องเตือนใจว่าการทำให้ข้อมูลประจำตัวเป็นดิจิทัลไม่ได้ทำให้ปลอดภัยมากขึ้นโดยอัตโนมัติ มันเพียงเปลี่ยนว่าความเสี่ยงนั้นอาศัยอยู่ที่ใด

นี่คือความขัดแย้งที่อยู่ใจกลางของการถกเถียงเรื่องตัวตนดิจิทัลในขณะนี้ รัฐต่างๆ ถูกบอกอย่างถูกต้องว่าเอกสารประจำตัวรูปแบบเก่าและระบบการยืนยันตัวตนที่ล้าสมัยนั้นเสี่ยงต่อการฉ้อโกงและการปลอมแปลง ในเวลาเดียวกัน การย้ายข้อมูลประจำตัวชุดเดียวกันนั้นเข้าสู่ระบบดิจิทัลที่เชื่อมต่อเครือข่ายกลับสร้างเป้าหมายใหม่ที่ใหญ่ขึ้นสำหรับผู้โจมตี การละเมิดเพียงครั้งเดียวที่เกี่ยวข้องกับข้อมูลใบขับขี่ในระดับนี้แสดงให้เห็นอย่างชัดเจนว่าทำไมนักเคลื่อนไหวด้านความเป็นส่วนตัวจึงระมัดระวังเกี่ยวกับความรวดเร็วในการเปิดตัวบัตรประจำตัวดิจิทัล

ทำไมบัตรประจำตัวดิจิทัลของรัฐจึงเพิ่มความเสี่ยงด้านความเป็นส่วนตัว

ใบขับขี่พลาสติกที่อยู่ในกระเป๋าสตางค์ ในแง่ความมั่นคงปลอดภัยแล้ว เป็นความเสี่ยงที่มีขอบเขตค่อนข้างจำกัด หากหายหรือถูกขโมย ความเสี่ยงจะจำกัดอยู่เพียงเอกสารใบเดียวนั้นและบุคคลที่ครอบครองมันอยู่ ระบบตัวตนดิจิทัลไม่ได้ทำงานแบบนั้น โดยทั่วไปแล้วระบบเหล่านี้พึ่งพาฐานข้อมูลแบบรวมศูนย์หรือแบบเครือข่าย บริการยืนยันตัวตนจากบุคคลที่สาม และกระเป๋าเงินในแอปที่ทั้งหมดต้องสื่อสารซึ่งกันและกัน จุดเชื่อมต่อแต่ละจุดเหล่านั้นเป็นช่องทางเข้าที่เป็นไปได้สำหรับผู้โจมตี และแต่ละจุดก็ขยายจำนวนฝ่ายที่เก็บหรือประมวลผลข้อมูลตัวตนที่ละเอียดอ่อน

พื้นที่การเข้าถึงที่ขยายกว้างขึ้นนี้คือสิ่งที่ทำให้การละเมิดอย่างที่เครบส์รายงานใน Krebs on Security มีความสำคัญอย่างยิ่งต่อการวางแผนบัตรประจำตัวดิจิทัล ข้อมูลใบขับขี่ไม่ได้เป็นเพียงชื่อและรูปถ่าย โดยทั่วไปแล้ว它包括ที่อยู่บ้าน วันเกิด หมายเลขใบขับขี่ และบางครั้งลายเซ็น ซึ่งทั้งหมดสามารถนำไปใช้ซ้ำเพื่อการโจรกรรมข้อมูลส่วนบุคคล การสร้างบัญชีปลอม หรือการโจมตีทางวิศวกรรมสังคมได้นานหลังจากการละเมิดครั้งแรกเกิดขึ้น เมื่อข้อมูลชุดเดียวกันนี้ถูกผูกเข้ากับเอกสารประจำตัวดิจิทัลที่ตั้งใจให้ใช้ซ้ำแล้วซ้ำเล่าตามสนามบิน ร้านค้าปลีก และพอร์ทัลของรัฐบาล ผลกระทบของการรั่วไหลจึงควบคุมได้ยากขึ้นและแก้ไขย้อนกลับได้ยากขึ้น

สหรัฐอเมริกาไม่ได้เผชิญกับความตึงเครียดนี้เพียงลำพัง ประเทศอื่นๆ กำลังสำรวจระบบยืนยันตัวตนที่มีความทะเยอทะยานคล้ายคลึงกันด้วยเหตุผลที่แตกต่างกัน ตัวอย่างเช่น อินเดียกำลังพิจารณากรอบแนวคิดที่จะกำหนดให้ผู้ใช้โซเชียลมีเดียต้องยืนยันตัวตนในวงกว้างซึ่งเป็นส่วนหนึ่งของความพยายามปกป้องผู้เยาว์ทางออนไลน์ ข้อเสนอนั้น เช่นเดียวกับการผลักดันของสหรัฐฯ ไปสู่ใบขับขี่บนมือถือ สะท้อนให้เห็นธีมที่เกิดขึ้นซ้ำแล้วซ้ำเล่า: การแก้ปัญหาหนึ่ง ไม่ว่าจะเป็นการป้องกันการฉ้อโกงหรือความปลอดภัยของเด็ก มักหมายถึงการขอให้ผู้คนจำนวนมากขึ้นมอบข้อมูลตัวตนที่ได้รับการยืนยันให้กับระบบรวมศูนย์ และการแลกเปลี่ยนนั้นสมควรได้รับการตรวจสอบอย่างรอบคอบก่อนที่จะกลายเป็นแนวทางปฏิบัติมาตรฐาน

ความขัดแย้ง: ความเสี่ยงมากขึ้น ความเร่งด่วนมากขึ้น

นี่คือจุดที่คำว่า "ความขัดแย้ง" มีประโยชน์ การละเมิดแบบเดียวกับที่ทำให้บัตรประจำตัวดิจิทัลของรัฐดูเสี่ยงขึ้น ก็ทำให้เหตุผลในการสร้างมันอย่างถูกต้องดูเร่งด่วนขึ้นเช่นกัน เอกสารกระดาษและพลาสติกไม่เคยปลอดภัยจากการฉ้อโกง และฐานข้อมูลข้อมูลส่วนบุคคลแบบคงที่ก็ถูกเจาะมาหลายปีแล้วไม่ว่ารัฐนั้นจะมีโปรแกรมบัตรประจำตัวดิจิทัลหรือไม่ก็ตาม คำถามที่แท้จริงที่เหตุการณ์นี้หยิบยกขึ้นมาไม่ใช่ว่ารัฐต่างๆ ควรละทิ้งความพยายามด้านตัวตนดิจิทัลหรือไม่ แต่เป็นว่าโปรแกรมในปัจจุบันถูกสร้างขึ้นด้วยมาตรฐานความปลอดภัย การเข้ารหัส และการลดปริมาณข้อมูลที่เพียงพอที่จะทนทานต่อการโจมตีในระดับนี้หรือไม่

รัฐที่ยังอยู่ในช่วงเริ่มต้นของการออกแบบระบบใบขับขี่บนมือถือมีโอกาสที่จะสร้างการป้องกันที่แข็งแกร่งขึ้นตั้งแต่ต้น แทนที่จะปรับปรุงแก้ไขภายหลังการละเมิด ซึ่งรวมถึงการตัดสินใจว่าข้อมูลใดที่จำเป็นต้องจัดเก็บจริง เก็บไว้นานเท่าใด ใครสามารถเข้าถึงได้ และบันทึกการร้องขอยืนยันตัวตนและตรวจสอบอย่างไร

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณอาศัยอยู่ในรัฐที่เสนอหรือกำลังทดลองใช้ใบขับขี่บนมือถือ การละเมิดครั้งนี้เป็นช่วงเวลาที่ดีที่จะหยุดคิดถึงความเสี่ยงของคุณเอง มันไม่ได้หมายความว่าบัตรประจำตัวดิจิทัลไม่ปลอดภัยโดยเนื้อแท้ที่จะใช้ แต่มันหมายความว่าข้อมูลเบื้องหลังมัน ไม่ว่าจะเก็บไว้ที่ใด เป็นเป้าหมายที่ควรค่าแก่การปกป้องอย่างระมัดระวัง ถามว่าโปรแกรมของรัฐของคุณจัดการกับการจัดเก็บข้อมูลอย่างไร และไม่ว่าจะจำกัดข้อมูลที่ถูกแบ่งปันระหว่างการร้องขอยืนยันตัวตนหรือไม่

ในวงกว้างมากขึ้น นี่เป็นเครื่องเตือนใจว่าระบบใดก็ตามที่เก็บข้อมูลตัวตนจำนวนมาก ไม่ว่าจะเป็นดิจิทัลหรือไม่ ก็เป็นเป้าหมายที่มีมูลค่าสูง ความสะดวกสบายของการแตะโทรศัพท์เพื่อพิสูจน์ว่าคุณเป็นใครนั้นมีจริง แต่ความรับผิดชอบขององค์กรที่สร้างความสะดวกสบายนั้นในการรักษาความปลอดภัยข้อมูลเบื้องหลังก็มีจริงเช่นกัน

ข้อปฏิบัติที่นำไปใช้ได้จริง

  • ตรวจสอบว่าโปรแกรมใบขับขี่ดิจิทัลของรัฐคุณเผยแพร่ข้อมูลเกี่ยวกับแนวปฏิบัติด้านความปลอดภัยของข้อมูลหรือไม่
  • ติดตามบริการตรวจสอบเครดิตและตัวตนของคุณอย่างใกล้ชิดหากคุณอาศัยอยู่ในพื้นที่ที่ได้รับผลกระทบจากการละเมิดข้อมูลตัวตนขนาดใหญ่
  • ระมัดระวังเกี่ยวกับแอปหรือบริการที่คุณอนุญาตให้ยืนยันตัวตนของคุณ และตรวจสอบว่าพวกเขาเก็บข้อมูลอะไรบ้าง
  • สนับสนุนนโยบายระดับรัฐที่กำหนดให้มีการลดปริมาณข้อมูลและการตรวจสอบความปลอดภัยโดยอิสระสำหรับระบบบัตรประจำตัวดิจิทัลก่อนการนำไปใช้ในวงกว้าง
  • ติดตามข่าวสารการเปิดเผยการละเมิดเช่นนี้อยู่เสมอ เนื่องจากมักส่งสัญญาณถึงความเสี่ยงเชิงระบบในวงกว้างในการจัดการข้อมูลตัวตน