Med titlen Flying 2.0 – Enabling automated air travel by identifying and addressing the challenges of IoT & RFID technology, har ENISA netop offentliggjort en undersøgelse af Internet of Things og RFID i flytrafikken.

ENISA (Det Europæiske Agentur for Net- og Informationssikkerhed) er oprettet i 2004 og har fortrinsvis til opgave, at indsamle relevant information til gennemførelse af en analyse af eksisterende og nye risici, navnlig risici, der kan få følger for de elektroniske kommunikationsnets modstandsdygtighed og tilgængelighed og for autenticiteten, integriteten og fortroligheden i forbindelse med denne kommunikation. Agenturet skal ligeledes udvikle “fælles metoder” til forebyggelse af sikkerhedsspørgsmål, bidrage til bevidstgørelse og fremme udvekslinger af “den aktuelt bedste praksis” og “metoder til varsling” samt risikovurderinger og forvaltnings-aktiviteter.

IoT (Internet of Things), der også kan betegnes som it-i-alting, pervasive computing, ubiquitous computing, ambient intelligence eller smartdust, er et koncept der går ud på at forbinde alle mulige objekter med hinanden via trådløse eller kabelforbundne kommunikationsnetværk uanset hvor de befinder sig. Man forestiller sig, at hvis alle ting i vores dagligdag, fra yoghurt til en flyvemaskine, er udstyret med RFID-tags, så kan de identificeres og forvaltes af computere på samme måde som vi mennesker er i stand til. Det skønnes, at IoT skal kode og følge mellem 50-100 billioner objekter. Ethvert menneske er omgivet af mellem 1.000-5.000 genstande.

Som opfølgning på Europa-Kommissionens handlingsplan for Europa om IoT , har ENISA identificeret og vurderet de nye og fremtidige risici, der aktiverer IoT og RFID-teknologi og som specifikt er forbundet med fremtidige flyrejser, hvor rejsende, lufthavnspersonale og bagage skaber et stigende, løbende samspil mellem intelligente enheder. Det indebærer udveksling af store mængder af følsomme oplysninger og eftersom der er ca 28,000 flyvninger i Europa hver eneste dag (eller ca 10 mill. pr. år), så er betydningen af flyrejser let at forstå, som det hedder i pressemeddelelsen i forbindelse med rapportens offentliggørelse.

På baggrund af en omfattende risikovurdering baseret på en lang række scenarier der involverer IoT og RFID, identificerer rapporten væsentlige sikkerhedsrisici, privacy, sociale samt juridiske konsekvenser og kommer også med konkrete administrative, forskningsmæssige og juridiske anbefalinger. Risici omfatter “brud på retningslinjer for flyrejser, frustration hos de rejsende og ringe social accept, tab og krænkelser af borgerns/passagerens privacy samt social udstødelse”.

Enisa´s direktør Dr. Udo Helmbrecht har i øvrigt følgende bemærkninger til rapporten: “For til fulde at kunne udnytte fordelene ved IoT, er det nødvendigt at identificere de udfordringer og risici som IoT indebærer på en proaktiv måde. Disse risici har ikke altid noget at gøre med teknologien som sådan, men derimod med den måde, vi bruger den på”.

Rapporten præsenterer følgende anbefalinger:

Tre policy anbefalinger:

• Revurdere eksisterende forretningsstrukturer og indføre nye forretningsmodeller. Lufttransportens aktører (f.eks. flyselskaber, lufthavne, logistikfirmaer og myndigheder) bør proaktivt planlægge, designe og være opmærksom på nye forretningsmodeller
• Brugervenlighed og rummelighed med hensyn til udstyr og procedurer
• Udarbejde og gennemførere politikker for data management og databeskyttelse

Fem anbefalinger for forskning:

• Databeskyttelse og privacy
• Usability
• Multi-modal autentifikation i forbindelse med biometriske procedurer
• Foreslå standarder for krypteringsprotokoller og
• Identificere og forstå en referenceramme for tillid

Tre juridiske anbefalinger:

• Support til brugerne, f.eks bedre information om behandling af brugernes data og mulighed for bedre at kunne udøve rettigheder som bruger
• Prioritere information og data
• Harmonisering af dataindsamling i lufthavnsbutikker samt øge bevidstheden blandt rejsende om indsamling og behandling af data

Tre anbefalinger gives specifikt til Europa-Kommissionen:

• Håndhævelse og anvendelse af retningslinjer for EU-regelsættet
• Tilpasning af både industrielle og samfundsmæssige behov i forskningen samt etiske grænser for forskningen
• Behov for konsekvensanalyser og piloter med hensyn til nye teknologier før implementering

Rapporten oplister følgende risici som de mest betydningsfulde:

• Svigtende reservation, check-in og boarding procedure – proceduremæssige/ operationelle fejl og andre organisatoriske afbrydelser
• Problemer i forbindelse med udstedelse/kontrol af e-visa – f.eks. risikoen for staters manglende evne til at udstede og kontrollere brugen af elektroniske visa på grund af systemfejl, svigt af udstyr og identitetstyveri
• Tab eller brud på borgerens/pasagererens privacy – IoT er karakteriseret ved forekomsten af udstyr, sensorer, læsere, og applikationer, som har potentialet til at indsamle en flerhed af datatyper om enkeltpersoner, der bevæger sig i disse miljøer
• Kompromittering og misbrug af statsejede person- og passager databaser
• Genbrug af data/function creep – risikoen for, at data vil blive brugt til formål, enten som supplement eller helt andre, som oprindeligt var angivet
• Bekymring i forbindelse med sundhedsbehandlinger – Det forventes, at IoT vil skabe betydelige konsekvenser for fremtidig levering af grænseoverskydende sundhedsydelser
• Bruger frustration og lille grad af brugeraccept
• Aggressiv profilering og social sortering fører til social udstødelse – I et omfattende interaktivt miljø som IoT er dataindsamling og profilering kendsgerninger som ikke nødvendigvis er negative som sådan. Imidlertid vil overdreven dataindsamling og profilering uundgåeligt føre til social sortering i henhold til kommercielle eller andre formål, der kan føre til udstødelse af mennesker og hindre adgang til forskellige tjenester
• Lovgivningen halter bagud i forhold til den hurtige teknologiske udvikling
• Manglende overholdelse af persondatalovgivning

For så vidt angår biometri, som dette indlæg herefter vil koncentrere sig om, omtaler rapporten en række scenarier hvori indgår biometriske procedurer i forbindelse med automatisk autentifikation, der er relevant som en del af de såkaldte fast-track programmer ved check-in og boarding. For at speede boarding proceduren op anvendes såkaldt smart boarding,der er et passager management system, hvor passageren allerede er identificeret på baggrund af det link der er etableret mellem check-in systemet og boarding kontrol via DCS (departure control system). Af eksempler kan nævnes det såkaldte Privium system i Schipol og det automatiske system i gateområdet i Heathrow’s terminal 5. Imidlertid forudsætter et sådant system en forhåndsgodkendelse af det pågældende lands datatilsyn, fordi private firmaer ikke umiddelbart kan få adgang til de biometriske data, der er gemt i e-passets chip, hvilket har fået flere flyselskaber, f.eks. Air France, til at lancere egne proprietære systemer for intra-Shengen flyvninger.

I en præcisering af beskyttelsesværdige materielle værdier fremhæver rapporten som en høj værdi e-pas og ID-kort, der betegnes som ny generation IoT smart ID med embedded RFID, digitalt foto og biometriske data (f.eks. fingeraftryk og irismønstre). Ligeledes betragtes specifikt mobiltelefonen og PDA´en som et medie af høj værdi.

I den efterfølgende fortegnelse af større risici bliver der i underkategorien “organisatoriske og policy risici” gjort en særlig bemærkning om lagring og indsamling af biometriske data i statslige centraldatabaser. Det hedder endvidere, at “en sammenkædning af identitet med biometri ofte er blevet fremført som værende problematisk på grund af risikoen for, at sådanne data kan kompromitteres. Mens passwords eller pinkoder kan ændres, er dette ikke tilfældet, såfremt en identitet er blevet afsløret ved brug af biometri…” Og længere henne hedder det: “Tab eller kompromittering af biometriske data repræsenterer en unik og stor potentiel skaderisiko i form af identitetstyveri” samt at “unøjagtige data kan medføre, at borgerne kan blive identificeret forkert som ‘mistænkte’ (falske positiver), hvorimod faktiske gerningsmænd ikke vil blive behørigt afsløret (falske negativer).” Det bemærkes herefter at “automatiske procedurer med anvendelse af biometri til kontrol i databaser muligvis ikke er det ultimative universalmiddel i forbindelse med identitetsproblemer.”

I sammenhæng med risikoen for aggressiv profilering og social sortering, der kan lede til social udstødelse, nævner rapporten specielt det forhold, at biometrisk udstyr kan udelukke visse kategorier af personer på grund af selve måden de fungerer på. Eksempelvis kan både meget gamle og unge have problemer med at afgive fingeraftryk eller gennemføre iris-scanninger (øjensygdomme osv.). Fingeraftryks- og irisscannere betragtes også som en teknisk risiko, idet de kan være ineffektive i forhold til visse ældre passagerere eller personer med fingerskader. Sådanne risici anses for at være en såkaldt “ikke-ondsindet “fejl” ved de biometriske sensorer og som en teknologisk begrænsning, hvor manuelle processer vil være en løsning heraf.

I listen over sårbarheder og trusler (bilag I) er det interessant, at “overafhængighed af biometri” betragtes som en sårbarhed (v23). Det nævnes, at biometrisk identifikation har relativt høje fejlprocenter (især automatisk ansigtsgenkendelse). Selv om moderne biometriske sensorer (især fingeraftryk og iris) er vanskelige at kompromittere (liveness detection), så er det stadig muligt at spoofe dem. Det er en vigtig sikkerhedsfaktor at have kendskab til mangelfulde biometriske systemer, jfr. Large-scale Biometrics Deployment in Europe: Identifying Challenges and Threats.

Det er også vigtigt at gøre opmærksom på listens angivelse af “statens overvågning af borgerne” som en trussel (t26). en ubegrundet politisk dagsorden fører ofte til en overdreven overvågning af borgerne. Enhver omtalt sag (sandfærdig eller opfundet) svækker på dramatisk vis tilliden til og accepten af teknologi (især biometri og RFID). Endelig kan man nævne “ringe accept af udstyr/procedurer” (t30). RFID opfattes af mange som en trussel mod privacy (“spychips”). I forbindelse med en offentlig EU-høring om RFID var de fleste bekymringer relateret til privacy. Også nogle biometriske teknologier har lav social accept, særligt fingeraftryk, som i almindelighed betragtes som knyttet til strafferetlig efterforskning.

Som det fremgår ovenfor er et af rapportens forskningsanbefalinger såkaldt multi-modal autentifikation. Automatisk autentifikation anses for at være nøglen til en effektiv og sikker operationel procedure i lufttransportsystemet. Erfaringerne viser imidlertid, at de nuværende implementeringer af biometriske systemer stadig viser visse svagheder, selv om de i princippet synes at være lovende. Brug af multifaktor autentificering (f.eks password plus biometri, biometri plus token) har potentialet til at hæve sikkerheden generelt. På samme måde vil multimodal biometri (parallel anvendelse af en flerhed af biometriske teknologier) gøre autentifikationsprocessen mere robust overfor fejl og omgåelse. Et andet aspekt er muligheden for at øge systemets fleksibilitet ved anvendelse af alternative autentificeringsfaktorer i de tilfælde, hvor den primære autentificering ikke er til rådighed (f.eks iris scanning for personer, der ikke har fingeraftryk).

Konklusionen er en anbefaling om mere forskning og udvikling af biometriske procedurer til autentifikation, dels for så vidt angår specifikke teknologier, dels for så vidt angår multimodal løsninger, der kombinerer forskellige teknologier med henblik på at overvinde deres individuelle svagheder.

Enisa-rapporten zoomer ind på 2 vigtige temaer, dels om den stigende betydning af IoT generelt og dels specifikt i relation til den enorme forøgelse af lufthavnssikkerheden i kølvandet på 11. september. Der er tale om menneskeskabte trusler og sårbarheder og ikke om naturskabte, som jo ellers er ret aktuelle med de islandske vulkanske sandkorn. Enisa´s risiko- og sårbarhedsanlyser og i den sammenhæng også de såkaldte PIA´er (privacy impact assessments) er gode værktøjer med henblik på security og privacy awareness om materielle og immaterielle værdier. Det er min opfattelse at der altid bør tages udgangspunkt i den personlige integritet og jeg synes at rapporten er opmærksom herpå. Jeg er også enig i, at der bør forskes mere i multifaktor autentificering og multimodal biometri. Imidlertid er det nærliggende at gøre opmærksom på, at et smart card med biometrisk kryptering kunne være et fremtidigt all in one rejsedokument, der i høj grad vil kunne imødegå en lang række af de opstillede risici i relation til centrale databaser og beskyttelse af den enkeltes privacy og persondata.