7 июля 2019

Беседка №247. Кризис цифровой личности

Илья Субботин

Анализ становления инфраструктуры документов и проверки личности в цифровую эпоху…

Оригинальный материал, автор – Акшай Шарма

Что обозначается термином «личность»? Имя, которым называют друзья и члены семьи, или то внешнее обличие, которое удостоверяет документ? Если мы выберем второй вариант, то, естественно, большой акцент будет на проверке легитимности и правильности так называемого удостоверения личности, доказательства её существования.

Бумага и пластик

Спросите кого угодно: «Как вас зовут?», и честное большинство ответит правдиво. Чуть более хитрые могут и не назвать своего имени. Причины могут быть разными, будь то необходимость повышенной приватности и анонимности или преступные намерения.

И потом, есть исключения, например, прозвища и переиначенные на иностранный манер имена. Как пример, вот варианты написания простого славянского имени Игорь. В зависимости от написания и языка оно может принимать следующие вариации: Игорь, Igor’, Ігор, Ihor, Ігар, Ihar, Игор.

Что такое дата рождения? Дата, известная вам и ближайшим родственникам или указанная в документах (хотя в них бывают ошибки)?

Чтобы избежать хаоса, возникающего в подобных сценариях, мы придумали документы: обычный лист бумаги, выступающий как удостоверение личности, без особого внимания к возможности его подделки. В верхней его части приклеена фотография, написаны имя, дата и место рождения, всё это подкрепляется печатью и подписью представителя органа власти, выдавшего документ. Раньше этого было достаточно.

Особенности безопасности

Вскоре мы поняли, что инфраструктура неидеальна и подвержена подделке. Мы стали умнее и начали использовать ультрафиолетовые знаки, метки безопасности, голограммы, специальные чернила. Но что насчёт сестры Элизы, которая очень на неё похожа и выдаёт себя за неё в день экзамена по вождению? Подобные нарушения происходят по сей день в некоторых юрисдикциях.

Потом появились NFC-чипы с зашифрованной биометрической информацией – фотография и отпечатки пальцев владельца делают подделку практически невозможной. Если у вас есть электронный паспорт (ePassport), биометрический вид на жительство (Biometric Residence Permit, BRP) или подобный пластиковый документ, то он подписан электронной подписью и может быть проверен цифровым способом на предмет того, был ли он на самом деле выпущен указанным органом, а также имел ли место факт подлога. Всё это доступно благодаря инфраструктуре сертификации открытых ключей.

Упомянутые меры делают подделку электронного паспорта или BRP и уход от ответственности практически невозможным. Расчёт мошенников будет ошибочным. При попытке выдать фальшивый биометрический документ за подлинник мошенника поймают, но только если у проверяющего документ будет доступ к технологии чтения и проверки чипа. И знаете, что самое интересное? Информация не содержится в самом чипе (и является децентрализованной), поэтому нет необходимости в постоянном доступе к онлайн-базе информации, которую можно взломать или «положить». Вся забота о безопасности и сохранности вашего удостоверения личности ложится непосредственно на вас.

Но если вы ещё умнее, то вы никогда и ни за что не сделаете себе биометрическое удостоверение личности. Вы скорее используете поддельные документы и данные для получения бумажных документов. Например, предоставив счёт за коммунальные услуги с указанным вымышленным адресом и заявив его как реальный адрес. Или можно использовать реальное свидетельство о рождении человека, чью личность вы пытаетесь украсть.

Парадокс с удостоверением личности: эта проблема похожа на ситуацию с яйцом и курицей. Чтобы получить удостоверение личности, нужно иметь удостоверение личности. Звучит так себе, правда?

Бумажные документы в цифровой эпохе

Даже в эпоху «цифры» мы слишком многое доверяем бумаге. А «облачный паспорт» пока что находится в процессе тестирования. Но бумажные документы вполне оправдывают себя, ведь базы данных взламываются, а сервера «падают».

Представьте, что вы попали в длинную очередь на границе по причине отказа систем контроля. По крайней мере, вас смогут спасти пластиковые и бумажные документы. В случае системного сбоя работники службы пограничного контроля смогут временно вернуться к старому процессу проверки документов, включающему в себя проверку ультрафиолетом или считыванием данных в аппаратном режиме (MRZ). Если бы им пришлось полностью полагаться на технологии, то в случае с проверкой личности им можно было бы лишь пожелать удачи.

И потом, многих беспокоит аспект приватности. Международная база данных, использующая сопоставление на основе ДНК, распознавания лица и отпечатков пальцев, с большой долей вероятности сведёт на нет необходимость носить с собой какие-либо документы или запоминать информацию, но такой подход хоть и является изощрённым, но может слишком сильно влезать в нашу приватность.

Онлайн-проверка личности

Но что происходит, когда вы захотите доказать вашу личность в сети? Вот в этом случае всё непросто. Многие важные для бизнеса приложения сегодня для процедуры верификации используют один из следующих методов:

• Запрашивают пересылку скана вашего документа по сети
• Осуществляют динамическую аутентификацию на базе искусственного интеллекта, что на практике представляет собой набор случайных вопросов о кредитной истории, если она у вас есть
• Просят навести камеру смартфона на документ для продвинутой аутентификации по особенностям, могут дополнительно запросить «видео-селфи» для определения того, что вы – не робот, вычисления сходства лица на видео и на фото с документов и так далее.

Проблемы

Но вот в чём проблема со всеми этими подходами. Нельзя проверить аутентичность удостоверения личности в сети тем же способом, что и вживую. Не получится просветить документ ультрафиолетом, а меры защиты сведены к нулю, и их не отличить от подделки: в трёхмерном пространстве не получится наклонить цифровое изображение и увидеть изменение в цветах голограммы, а MRZ-код, являющийся довольно неплохим механизмом проверки, может высчитать и эмулировать искусный мастер подделок.

Для чтения встроенных биометрических и NFC-чипов требуется специальная инфраструктура. Даже в случае наличия у пользователя смартфона с NFC для чтения и отправки информации через приложения этот процесс не будет таким же безопасным, как физическое наличие пластикового удостоверения личности в руках и проверка его собственным считывателем чипов.

Проблема «тонкой папки»: аутентификация посредством искусственного интеллекта не сработает для людей без кредитной истории. Для генерирования контрольных вопросов попросту недостаточно информации. Очень вероятно, что по этой причине система проверки GOV.UK Verify даёт лишь 47% вероятности успешной проверки, а ведь в неё вложили 130 миллионов фунтов стерлингов, большое разочарование.

По сути, пока существует онлайн-база, способная проверить информацию по вашему документу, вам придется поверить, что цифровым изображениям можно доверять. Глобальной базы паспортов не существует. Что касается водительских удостоверений, иммиграционных документов и биометрических видов на жительство, то всё субъективно и зависит от выпустившего документ органа, который ограничивает использование подобных баз для особых целей.

Соцсети, криптовалюта, блокчейн

Говоря об «онлайн-базах»: а что насчёт социальных сетей? Будет ли профиль в LinkedIn и Facebook надёжным доказательством личности? Или только в случае, если у пользователя там достаточно много связей? Что насчёт фейковых профилей? Что насчёт использующего фейковый профиль в соцсети самозванца, добавляющего реальных друзей человека в список своих сетевых знакомых? Эти вопросы лишь усложняют проблему.

Блокчейн — это технология, на которой базируется биткоин, а P2P-системы, само собой, могут децентрализовать информацию о документе. Но сами по себе они не смогут проверить надёжность информации, например, удостоверить подлинность профиля в соцсети как доказательства надёжности.

Нужно решение вполне реальной проблемы.

Приложения для знакомств, сервисы предоставления жилья (Airbnb), сайты для взрослых (которые теперь обязаны по закону проверять возраст пользователей), финтех- и онлайн-платформы по продаже товаров с возрастным ограничением (лекарства, огнестрельное оружие, фейерверки, мариахуана, табак) – для всех этих сервисов проблема онлайн-верификации личности стоит очень остро, и пока что не существует надёжного способа её решения. И хоть такие компании, как Yoti, Jumio и ID.me, и пытаются преодолеть этот барьер, нельзя полагаться на их тезис о том, что стоит остановиться на проверке предоставляемых пользователем оригиналов документов, а не сканов.

Просто по причине того, что сканированная копия документа «выглядит как настоящая», нельзя утверждать, что это на самом деле так вне зависимости от того, насколько продвинутыми и «умными» являются ваши AI/ML алгоритмы. Эти системы смогут «подсказать» факт подделки, если заметят его. Однако они не смогут определить явное отсутствие подделок, пока информация не будет проверена в официальной базе данных.

Необходимо найти цифровое решение проблемы с документами, которое будет надёжным, менее беспардонным, направленным на сохранение тайны частной жизни, доступным и безопасным. Пока это не будет сделано, все имеющиеся у нас точки данных представляют определённую степень риска: как мне поверить, что скан изображения или «видео-селфи» является настоящим? Или как определить, что человек, вводящий в сети номер кредитной карты, на самом деле является её правомерным обладателем? Наша зона комфорта по отношению к тому, на какой риск мы готовы пойти, определяет сегодняшние решения и те, которые останутся в будущем.

Оригинальный материал, автор – Акшай Шарма

На фоне недавней новости о том, как человек чуть не лишился квартиры в Москве из-за подделки мошенниками его электронной подписи, можно сделать вывод, что на данном этапе цифровое подтверждение личности пока что хромает или же требует двух-, а то и трёхфакторной авторизации. Впрочем, не смолкают и новости о том, что вот-вот мы перейдём на электронные документы, в том же Китае уже работает система по оплате товаров взглядом в камеру терминала на кассе. И, конечно, всё это – клад для разнообразных преступных элементов.

Как вы считаете, цифровая личность и её идентификация в сети – апокалиптическая утопия или необходимый шаг в будущее?