Μέχρι το τέλος του 2026, κάθε χώρα της ΕΕ θα υποχρεούται από το νόμο να παρέχει στους πολίτες ένα «Ευρωπαϊκό Πορτοφόλι Ψηφιακής Ταυτότητας».
Αυτή η εφαρμογή για smartphone συγκεντρώνει σε ένα μόνο μέρος την κρατική ταυτότητα, την άδεια οδήγησης, το πτυχίο και άλλα επαληθευμένα έγγραφα ενός ατόμου και έχει σχεδιαστεί ώστε να λειτουργεί και στις 27 χώρες της ΕΕ.
Ομάδες για τα ψηφιακά δικαιώματα προειδοποιούν, όμως, ότι η τεχνολογία και τα μέτρα ασφαλείας που προορίζονται για την προστασία της δεν είναι έτοιμα και ότι το πορτοφόλι θα μπορούσε να μετατραπεί ακριβώς στο είδος του εργαλείου παρακολούθησης που είχε σχεδιαστεί για να αποτρέψει.
«Βρισκόμαστε ίσως στο 50-60% των τεχνικών προδιαγραφών που απαιτούνται για την κατασκευή αυτού του πορτοφολιού», λέει στο Euronews ο Thomas Lohninger, εκτελεστικός διευθυντής της αυστριακής οργάνωσης για τα ψηφιακά δικαιώματα epicenter.works και μέλος του διοικητικού συμβουλίου της European Digital Rights (EDRi). «Το υπόλοιπο 40% δεν υπάρχει ακόμα. Δεν υπάρχει καθόλου», υπογραμμίζει.
Το πρόβλημα του «honeypot»
Η συγκέντρωση της ταυτότητας, των δεδομένων υγείας, της άδειας οδήγησης και των οικονομικών στοιχείων ενός ατόμου σε μία συσκευή αυξάνει το κόστος μιας μεμονωμένης αστοχίας ασφαλείας. Ένα κλεμμένο τηλέφωνο, μια κακόβουλη εφαρμογή ή μια παραβίαση στο cloud θα μπορούσε να εκθέσει τα πάντα ταυτόχρονα. Σε αντίθεση με έναν κωδικό πρόσβασης που έχει διαρρεύσει, ένα στοιχείο ταυτοποίησης που έχει παραβιαστεί φέρει μια κρυπτογραφική υπογραφή γνησιότητας, καθιστώντας την κατάχρηση πολύ πιο καταστροφική.
«Αν βάζεις όλα τα αυγά σου σε ένα καλάθι, τότε ελπίζεις ότι αυτό το καλάθι δεν θα αποτύχει ποτέ», λέει ο Lohninger. «Φαντάσου αν αυτό το μικρό πορτοφόλι υποστεί εισβολή ή έχει διακοπή λειτουργίας για λίγες μόνο ώρες ή για μια εβδομάδα. Οι άνθρωποι θα έμεναν αποκλεισμένοι από τα κοινωνικά τους δίκτυα. Δεν θα μπορούσαν να χρησιμοποιήσουν τα μέσα μαζικής μεταφοράς. Η άδεια οδήγησής τους δεν θα ήταν πλέον στη διάθεσή τους», προειδοποιεί.
Χαρακτηρίζει το πορτοφόλι ως «κρίσιμη υποδομή» που συνδέει τον δημόσιο και τον ιδιωτικό τομέα «όπως δεν έχουμε κάνει ποτέ στην ΕΕ», αλλά και ως στόχο όχι μόνο για τους κυβερνοεγκληματίες, αλλά και για κρατικούς παράγοντες.
Ο κανονισμός επιβάλλει τεχνικά μέτρα προστασίας: κρυπτογραφικό υλικό ανθεκτικό σε παραβιάσεις για την αποθήκευση κλειδιών, διαπιστευτήρια συνδεδεμένα με συγκεκριμένη συσκευή ώστε να μην μπορούν να αντιγραφούν, έλεγχο ταυτότητας για κάθε οργανισμό που ζητά δεδομένα, καθώς και έναν κανόνα που απαιτεί την ενημέρωση των χρηστών εντός 24 ωρών από την ανάκληση ενός διαπιστευτηρίου.
Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων επισημαίνει τα ασφαλή στοιχεία υλικού ως βασική προστασία κατά της κλοπής. Ωστόσο, η απώλεια ενός τηλεφώνου εξακολουθεί να σημαίνει έναν αγώνα δρόμου για την ανάκτηση ενός πορτοφολιού πριν το εκμεταλλευτεί κάποιος εγκληματίας. Οι ελεγκτές της ΕΕ σημειώνουν ότι η ανάκτηση έχει δοκιμαστεί μόνο εν μέρει.
«Big brother» εκ σχεδιασμού
Η βασική δέσμευση του πορτοφολιού όσον αφορά στην προστασία της ιδιωτικής ζωής είναι η επιλεκτική αποκάλυψη: κάποιος που αποδεικνύει ότι είναι άνω των 18 ετών θα πρέπει να μπορεί να κοινοποιεί μόνο αυτό το γεγονός, και όχι το όνομά του, τη διεύθυνσή του ή τον αριθμό ταυτότητάς του. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (EDPS) το αποκαλεί «εξουσιοδότηση χωρίς ταυτοποίηση», μια προστασία από την παρακολούθηση και τη δημιουργία προφίλ που μια φυσική ταυτότητα δεν μπορεί να προσφέρει.
Ο Lohninger χαρακτηρίζει τον κίνδυνο ως «υπερ-ταυτοποίηση». Η επαλήθευση της ταυτότητας κάποιου στο διαδίκτυο είναι επί του παρόντος αργή και δαπανηρή· οι τράπεζες και οι πάροχοι κινητής τηλεφωνίας πληρώνουν για να την πραγματοποιήσουν, σύμφωνα με τους κανόνες κατά του ξεπλύματος χρήματος. Το πορτοφόλι θα μπορούσε να καταστήσει την ταυτοποίηση πολύ γρήγορη, φθηνή και ευρέως διαθέσιμη, προειδοποιεί. Αυτό δημιουργεί κίνητρο για την κατάργηση της ανωνυμίας που υπάρχει σήμερα στα κοινωνικά δίκτυα ή στις εγγραφές μέσω ηλεκτρονικού ταχυδρομείου.
Επισημαίνει επίσης πως το ίδιο πορτοφόλι θα μπορούσε να χρησιμοποιηθεί για φόρους, υγειονομική περίθαλψη, δημόσιες μεταφορές, τραπεζικές συναλλαγές και σύνδεση στο Facebook· τομείς της ζωής που προηγουμένως ήταν ξεχωριστοί θα μπορούσαν να συνδεθούν μέσω ενός ενιαίου συστήματος. «Αυτοί οι τομείς της ζωής θα μπορούσαν να συνδεθούν», λέει. «Υπάρχει αυτός ο μεγάλος κίνδυνος ενός πανοπτικού συστήματος, όπου μπορείς πραγματικά να δεις τα πάντα από όλους».
Η EDRi έχει πιέσει για την καθιέρωση μιας νομικής αρχής που ονομάζεται «μη παρατηρησιμότητα», με σκοπό να εμποδίσει τους παρόχους πορτοφολιών, τις κυβερνήσεις ή, ενδεχομένως, την Google, να βλέπουν τι κάνουν οι χρήστες μέσα στο σύστημα. Τα σχέδια κανόνων εφαρμογής, υποστηρίζει η EDRi, αποδυναμώνουν επί του παρόντος ακριβώς αυτή την προστασία, ενώ προωθούν υποχρεωτικούς βιομετρικούς ελέγχους προσώπου που δεν προβλέπονται στον αρχικό νόμο.
Η κρυπτογραφία δεν έχει ολοκληρωθεί στην ΕΕ
Μεγάλο μέρος της τεχνολογίας που αποσκοπεί στο να καταστήσει το πορτοφόλι ασφαλές και ταυτόχρονα να προστατεύει την ιδιωτικότητα δεν υπάρχει ακόμη, εξηγεί ο Lohninger. Οι αποδείξεις μηδενικής γνώσης, κρυπτογραφικές τεχνικές που επιτρέπουν σε κάποιον να αποδείξει ένα γεγονός – όπως ότι είναι άνω των 18 ετών – χωρίς να αποκαλύψει τα υποκείμενα δεδομένα, αποτελούν «τα όρια της κρυπτογραφικής επιστήμης».
«Υπάρχει ένα τρίγωνο μεταξύ ιδιωτικότητας, ασφάλειας και ευχρηστίας», επισημαίνει, σημειώνοντας πως «είναι πολύ δύσκολο να επιτευχθούν και τα τρία στο 100%. Το πορτοφόλι σίγουρα θα κάνει κάποιες… παραχωρήσεις σε αυτό το σημείο».
Αυτό αφήνει ανοιχτό το ερώτημα ποια παραχώρηση θα γίνει πρώτη. Ένα σύστημα πιστοποίησης μπορεί να είναι κρυπτογραφικά ασφαλές, με ισχυρά κλειδιά, έγκυρες υπογραφές και χωρίς προφανή παραβίαση, και παρόλα αυτά να διαρρέει πληροφορίες σχετικά με τη συμπεριφορά ενός ατόμου, αν το ίδιο αναγνωριστικό ή χαρακτηριστικό επαναχρησιμοποιείται σε διάφορες υπηρεσίες, επιτρέποντας στους επαληθευτές να συνδέσουν ξεχωριστές συναλλαγές με το ίδιο άτομο, ακόμη και χωρίς να συνοδεύονται από όνομα.
Ο διασυνοριακός αδύναμος κρίκος
Επειδή το πορτοφόλι βασίζεται στην αμοιβαία αναγνώριση, μια τράπεζα ή μια κρατική υπηρεσία σε μια χώρα πρέπει να εμπιστεύεται τους ελέγχους ταυτότητας που διενεργούνται σύμφωνα με τα πρότυπα εγγραφής, πιστοποίησης και ασφάλειας μιας άλλης χώρας. Ο Lohninger δεν αναμένει τα περισσότερα εθνικά συστήματα να είναι εξίσου ισχυρά μέχρι την προθεσμία. «Ακόμη και χώρες που ξοδεύουν πολλά χρήματα για αυτό, όπως η Γαλλία και η Γερμανία, δεν είναι έτοιμες. Δεν θα καταφέρουν να φτάσουν εντελώς μέχρι τον τερματισμό», επισημαίνει.
Αυτή η ανισότητα αποτελεί από μόνη της κίνδυνο για την ασφάλεια: ένα σύστημα που έχει σχεδιαστεί για 27 εφαρμογές που βασίζονται στην αμοιβαία εμπιστοσύνη είναι τόσο ισχυρό όσο η πιο αδύναμη εθνική εφαρμογή, η πιο αργή αντίδραση σε περιστατικά και η λιγότερο αυστηρή διαδικασία εγγραφής. Η συμβουλή του Lohninger είναι να επιδείξουμε προσοχή προς το παρόν: «Ας περιμένουμε και ας μην είμαστε από τους πρώτους που θα το υιοθετήσουν. Θέλω να γίνει ένας έλεγχος, μια ανεξάρτητη ακαδημαϊκή και κοινωνική έρευνα σχετικά με το τι μας προσφέρουν οι κυβερνήσεις, πριν υιοθετήσουμε αυτά τα συστήματα».
Γιατί αυξάνεται το διακύβευμα – Τι κάνει η Ελλάδα;
Η συζήτηση για την ασφάλεια εντείνεται, καθώς κυβερνήσεις σε όλη την Ευρώπη – συμπεριλαμβανομένων της Ελλάδας, της Γαλλίας, της Δανίας και της Αυστρίας – προωθούν νέους νόμους για την επαλήθευση της ηλικίας στα μέσα κοινωνικής δικτύωσης, ενώ σχετική ανακοίνωση σε επίπεδο ΕΕ έκανε η πρόεδρο της Ευρωπαϊκής Επιτροπής, Ούρσουλα φον ντερ Λάιεν.
Το πορτοφόλι προβάλλεται ως το εργαλείο επιβολής, συνδυάζοντας ένα σύστημα ταυτοποίησης υψηλής αξίας με, όπως το θέτει ο Λόχνινγκερ, «τις πιο αμφίβολες εταιρείες με τις οποίες αλληλεπιδρούμε καθημερινά».
Για να παρακολουθεί πώς χρησιμοποιείται το σύστημα μόλις τεθεί σε λειτουργία, η epicenter.works δημιουργεί μια πλατφόρμα ανοιχτών δεδομένων με την ονομασία «Who Identifies Me», σχεδιασμένη ώστε να επιτρέπει σε δημοσιογράφους και ομάδες της κοινωνίας των πολιτών να εντοπίζουν ποιες εταιρείες και συνοριακές υπηρεσίες ζητούν τα δεδομένα των πολιτών, μια λειτουργία εποπτείας που ο Lohninger θεωρεί απαραίτητη μόλις αρχίσουν να εμφανίζονται πραγματικά περιστατικά ασφαλείας.
«Η εμπιστοσύνη του κοινού είναι πραγματικά ο πιο σπάνιος πόρος σε όλη αυτή την υπόθεση», υπογραμμίζει, σημειώνοντας πως «έχουμε δει σε διάφορες περιοχές του κόσμου ότι, όταν αυτά τα μεγάλα κυβερνητικά συστήματα ψηφιακής ταυτότητας τίθενται σε λειτουργία και παρουσιάζουν προβλήματα, οι άνθρωποι απομακρύνονται».
Δεν υπάρχουν σχόλια:
Δημοσίευση σχολίου