Post-Equifax ID Wasteland: Opfordrer til et universelt digitalt ID

I kølvandet på det massive Equifax-dataovertrædelse er der endnu en gang blevet skinnet en rampelys på overforbrug af det ikke-så-hemmelige nummer der videregives til et nationalt ID i USA - Social Security Number (SSN). Måske er vi blevet følelsesløse over for disse hacks og dataovertrædelser. Hvad, mit kreditkortnummer blev kompromitteret? Kreditkortselskabet annullerer det og udsteder et andet. Mine adresseoplysninger? Mit celle nummer? Det er godt der allerede mange steder. Mit bankkontonummer? Uanset hvad, vil jeg ændre det.

Hold det - nogen fik min SSN? Det er ikke let at ændre. Og desværre bliver den ene overbrugt til identitet ikke kun af regeringsorganer, men også af forsyningsselskaber, telekommunikationsselskaber og finansielle serviceselskaber til at identificere dig og give dig kredit og adgang til deres tjenester.

Oprindelser af SSN

SSN blev aldrig designet til at være et universelt ID. Det var designet til unikt at identificere en person, spore deres levetidsindtjening og gøre det muligt for dem at samle deres fordele ved pensionering. IRS og en række andre offentlige agenturer på alle niveauer vedtog den som en identifikator. På grund af manglen på nogen anden form for universel identifikation vedtog private virksomheder den som en form for oprettelse af konti entydigt. Og det er blevet et krav for at have en bankkonto og mest enhver anden finansiel service.

SSN er nøglen til alle de oplysninger, som store kreditbureausselskaber kan lide Equifaxhold os om - men i betragtning af hvor ofte du bruger det til identifikation, kan det ikke betragtes som en hemmelighed som en adgangskode. I 2009 fandt forskere ved Carnegie Mellon University, at de kunne udvikle en algoritme til at gætte SSN'er fra offentligt tilgængelige oplysninger. En del af grunden hertil er den oprindelige struktur af selve SSN, som er baseret på udgiftsstatus og også er samlet omkring fødselsdato. Siden de sene 1980'er er de automatisk udstedt ved fødslen. At vide, hvor og hvornår nogen blev født - noget, som mange har frigivet på Facebook - kan hjælpe en hacker med at udlede en SSN med en gætte-algoritme og en rimelig kraftig bærbar computer.

Så SSN er ikke en sikker form for ID i nutidens internetforbundne verden. Hvad er alternativet? Efter 9 / 11 kom spørgsmålet om sikre nationale ID'er op som en måde at sikre mod forfalskning af ID-dokumenter til rejse og andre formål. I 2001 Larry Ellison fra Oracle opfordrede til et kryptografisk sikkert nationalt ID, og tilbød at levere den nødvendige teknologi gratis. Reaktionen var forudsigelig som konservative, libertarians og borgerlige frihedsgrupper bekymret for privatlivets fred var hårdt imod konceptet.

Mens der fortsat er en hård modstand mod ovennævnte idé, er andre bestræbelser for mere sikre ID'er gået fremad. Baseret på 9 / 11-Kommissionens henstilling vedtog Kongressen i 2005 Kongres REAL ID Act, som sætter minimums sikkerhedsstandarder for statsudstedte ID'er som kørekort. Dette er langt fra et universelt ID og var virkelig designet til at gøre det sværere at forfalske denne type identifikation for at give bedre sikkerhed for flyrejser og adgang til føderale bygninger. Bedre sikkerhedsstandarder for førerkort vil hjælpe, da de stadig bruges til fysisk identifikation til større transaktioner som f.eks. At købe en bil eller et hus, men oftere end ikke bare er nummeret nødvendigt til en fjerntransaktion af anden art. Hvis en hacker scorer en fuld Equifax-profil (inklusive et SSN og førerkortnummer) på nogen, er de i forretning.

Moderne universelt ID-design

Uden for USA, måske mest ambitiøse nationale ID-indsats er Aadhaar i Indien, som nu omfatter 1.2 milliarder mennesker. Oprindeligt begyndt i 2009 som en måde at unikt identificere folk til statslige sociale velfærdsydelser, er det blevet en all-but-obligatorisk identifikation for rejser, finansielle tjenester og internettjenester. Hvis det lyder uhyggeligt som brugen af ​​SSN i ​​USA, ja, er det - undtagen Aadhaar er et system baseret på moderne teknologi, der bruger fingeraftryk, iris-scanninger og fotos som unikke identifikatorer.

Nogle kritikere i Indien er bekymrede over konsekvenserne af at tillade private virksomheder at tappe ind i systemet. Tidligere i år viste Microsoft en demo i Mumbai af sin nye Skype Lite-service ved hjælp af AAdhaar til entydigt at identificere en bruger. Mens autorisationsprocessen ligner brugen af ​​en Facebook- eller Google-login-tilladelse til at identificere nogen på nettet (som i disse tilfælde ikke rigtig fungerer som en identifikation af en rigtig person), idet dataene om identiteten ikke videresendes, Bekymringer om sikkerhed og privatliv er gyldige.

Læs hele historien her ...