Kategoriarkiv: debat

dec 30 2009

Er der behov for en Lex Biometricus ?

I den løbende debat om biometri rejses spørgsmålet om lovgivningen er tilstrækkelig til dels at beskytte brugeren dels at udnytte teknologiens fulde udviklingspotentiale.

Biometri er ligesom andre teknologier ikke direkte omtalt i hverken persondatadirektivet eller persondataloven, men kun indirekte med reference til en række (teknologineutrale) principper om proportionalitet, personfølsomme data, gennemsigtighed samt tekniske forholdsregler. 

Udgangspunktet er, at biometri  betragtes som personfølsomme oplysninger, der er omfattet af persondatalovens bestemmelser både så vidt der er tale om det rå eksemplar (eksempelvis selve fingeraftrykket) og den digitaliserede udgave (minutiae data).  I de tilfælde hvor de biometriske data foreligger i krypteret form (anonymiseret) rejser der sig det interessante spørgsmål om der juridisk set stadig vil være tale om personhenførbare oplysninger, der falder ind under loven ? Det vil umiddelbart være rimeligt at antage, at den dataansvarlige skal overholde loven, eftersom der under alle omstændigheder vil være tale om en behandling af ”data”, selvom disse ikke teknisk set kan tilbageføres til datasubjektet. Men er der risiko for, at persondatabegrebet bliver for diffust ?  Spørgsmålet kan i øvrigt indgå i en diskussion om man generelt kan fastholde den gængse opfattelse, at privacy-beskyttelse kan opnås, blot man fjerner PII fra databaserne (anonymisering contra reidentifikation)? 

Et andet spørgsmål er imidlertid om betegnelsen, at ”biometri er noget du er” stadig vil være dækkende, når ny teknologisk forskning og udvikling (biometrisk kryptering) så at sige erstatter biometri med såkaldte ”pseudoidentiteter”, der gemmes på smart cards eller andre devices i brugerens besiddelse og kontrol ?

Teknologien (så vel som vore sociale normer) udfordrer hele tiden lovgivningen og lovgiverne er godt klar over, at loven altid vil halte efter med flere år. For at imødegå en ufuldstændig lovgivning har EU derfor tilpasset datadirektivet, som persondataloven hviler på, med en bestemmelse (artikel 17) om, at:

“Member States shall provide that the controller must implement appropriate technical and organizational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.”

Artikel 17 er gengivet i persondatalovens § 41 stk. 3. som følger: ”Den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Tilsvarende gælder for databehandlere.” Som det fremgår er  formuleringen “state of the art” gledet ud af den danske lovtekst.  Kort sagt, så skal den dataansvarlige træffe fornødne, men ikke nødvendigvis de nyeste eller mest avancerede tekniske sikkerhedsforanstaltninger. Ansvaret ligger dog stadig hos den dataansvarlige, men formålet er altid at undgå at selve databruddet faktisk finder sted. Det daværende IT-Sikkerhedspanel har tilbage i 2006 gjort opmærksom på dette problem og anbefalet en opstramning. Men er det desuagtet tilstrækkeligt at basere en løsning på et skøn i henhold til stadigvæk relativt ukonkrete kriterier, når man har at gøre med ny, hurtigt udviklende og kompliceret teknologi ? 

Artikel 17 er iøvrigt interessant, fordi den faktisk indirekte understøtter PET´s (privacy enhancing technologies), idet det i bemærkning 46 til direktivet klart fremgår, at de nødvendige tekniske forholdsregler fra start skal integreres i designet af selve databehandlingssystenet. Iagttager man nogle grundlæggende designprincipper, kan biometri indgå i en løsning, som opfylder de højeste krav til privacy- og persondatabeskyttelse i stedet for en anvendelse af teknologien til ukontrolleret biometrisk overvågning og personprofilering (function creep). Med hensyn til beskyttelse af individet i forbindelse med den automatiske behandling af persondata, henvises til en række anbefalinger, som Europarådet har offentliggjort 2. oktober 2009. Er der behov for et normsæt  af mandatoriske specifikke privacy principper som f.eks. dataminimering, gennemsigtighed, optimal bruger kontrol og forbedret sikkerhed ?

I relation til persondataloven kan en teknologiløsning med biometri approberes enten ud fra en almindelig proportionalitets/interesseafvejning eller i henhold til et samtykke af den registrerede.  Vurderes det, at den dataansvarliges interesse vejer tungere end hensynet til den registrerede, er sidstnævntes manglende samtykke uden betydning. Giver det anledning til at overveje om brugersamtykke skal være obligatorisk  og desforuden nærmere præciseres?

En væsentlig problemstilling er om opbevaring af biometriske data kan finde sted i en central database, i en decentral aflæsningsenhed eller på  et smart card. Skal de to første optioner overhovedet være mulig og i bekræftende fald kun i henhold til lov ? I den forbindelse er det relevant at stille sig det spørgsmål om det i det hele taget skal være muligt at identificere en person ved hjælp af biometri eller om det fuldt ud er tilstrækkeligt med en autentificering ? Skal det eksempelvis ved lov bestemmes, at biometri alene kan anvendes som verifikationsmetode baseret på et af to formål:  

  1. At bevise at du er den du siger du er (positiv verifikation) eller
  2. At bevise at du ikke er den du siger du ikke er (negativ verifikation) 

I forlængelse heraf kan det anføres, at flere eksperter har rekommanderet, at biometri i e-pas alene skal tjene et verifikationsformål, hvorefter de data, der er gemt i dokumentet sammenholdes med de data, som præsenteres af dokumentets indehaver. Bør det være en lovanbefaling ?

Imidlertid  skal man være opmærksom på, at brugeren sjældent er klar over hvad der faktisk er gemt på et smart card, hvordan man får adgang til disse data  eller hvem der gør brug af denne information. Det er muligt, at den dataansvarlige har et ejerskab til selve kortet og de persondata, der er gemt på kortet, men det er ikke nødvendigvis det samme som at fastslå, at kortholderen (brugeren) mister sin ret til at have kontrol over sine persondata/pseudoidentiteter.

Spørgsmålet er, hvem der kontrollerer back office og det er derfor nødvendigt at tage stilling til rettigheder og ansvar for kortudsteder, den dataansvarlige og kortholder. 

Endelig kan man stille det spørgsmål om der bør gælde enslydende regler for implementering af biometriske systemer for både private og offentlige organisationer med hensyn til   indsamling, brug, deling, transmission, logning, opbevaring, disposition, grænseoverskridende overførsel og sletning af biometriske data i hele dets livscyklus. Hertil kan suppleres med en vurdering af i hvilket omfang særlige sikkerhedshensyn gør det nødvendigt at undtage staten, således som det i dag er gældende i forhold til persondataloven. 

Der er grund til at gå ud fra, at der vil blive installeret flere og flere biometriske systemer i de kommende år hvilket kan tale for at tiden er moden til at overveje et regelgrundlag, som er fremtidsorienteret. Jeg har forsøgt at stille nogle spørgsmål om biometri,som kunne trænge til en afklaring og jeg mener, at der derfor på den baggrund er belæg for at anbefale, at der nedsættes et af regeringen udpeget udvalg med repræsentanter for relevante myndigheder, eksperter og branche- og interesseorganisationer med det formål at undersøge om en lov om biometri er nødvendig. En sådan evaluering kunne passende indgå i en helt overordnet fastsættelse af statens principper for security og privacy teknologier, forskning og innovation.

En analyse bør ikke kun have en strikt teknologisk tilgang men f.eks. forholde sig til bestemte fremtidige projekter som borgerservicekortet, inddrage retlige aspekter af ID-management og tage højde for hele den IT-infrastruktur som biometri vil kunne være en del af, eventuelle backupsystemer, testningskrav, øvrige organisatoriske virkemidler  samt registreringsprocedurer. Når det sidste punkt nævnes, så er det fordi det ikke kan understreges for meget, at biometri alene ikke kan etablere en “ægte identitet”. Et biometrisk system kan ikke afholde nogen fra at benytte en falsk legitimation på tidspunktet for en registrering. Systemet kan kun afholde dem fra at bruge en andens identitet, når først de er registreret.  

Det er klart at der kan argumenteres både for og imod en mere detaljeret lovgivning i forhold til den nuværende regulering, som for det meste bygger på persondataloven. Derfor bør en undersøgelse naturligvis også overveje formålstjenlige alternativer til en egentlig lov, f.eks. standardisering, branchekodeks, flere fagkompetencer/ressourcer til Datatilsynet, flere øremærkede forskningsmidler til privacy enhancing technologies (PETs), reelle offentlig støttede informationskampagner  mm. Hertil kommer, at eventuel gældende EU lovgivning muligvis kan komplicere processen. Selvfølgelig skal man heller ikke lovgive om hvad som helst uden at der er tungtvejende grunde hertil, jfr. eksempelvis diskussionen om et burkaforbud og et prostitutionsforbud. Men der er efter min personlige opfattelse nogle åbenbare argumenter, som principielt kan tale for en lov. 

For det første er biometri en unik personlig identifikationsmetode, der  i tilfælde af kompromittering kan medføre fatale konsekvenser for den pågældende. For det andet vil det være meget nærliggende at antage, at en regelregulering med henblik på at præcisere en række spørgsmål specifikt i forhold til biometri, herunder at forstærke privacy og persondatabeskyttelsen er nødvendig for at skabe tillid og tryghed for brugeren, men, og det er efter min opfattelse en væsentlig pointe, også i lige så høj grad med det formål at sikre tiltro til selve teknologiens security og privacy.

Det er i den sammenhæng  ikke uvæsentligt at fremføre, at biometri er er en teknologi vi alle, om vi vil det eller ej, før eller siden vil komme til at stifte bekendtskab med.

dec 13 2009

Biometri er faktisk bedre end sit rygte

Hvordan går det egentlig med markedsføringen og implementeringen og ikke mindst den offentlige debat om biometri på det danske marked ? Er vi nået videre fra en spæd start for ca. 8 år siden i kølvandet på 11.9. eller slæber branchen og det omkringliggende samfund stadig rundt med en udpræget skuffelse og knuste drømme om en teknologi, som har lovet så meget og opnået så lidt ?

Vel, der er nok ikke nogen tvivl om, at biometri er kommet rigtig dårligt fra start af i alt fald to årsager. For det første har lanceringen af large scale biometriske systemer til grænsekontrol og kriminalprævention, som introduceret af USA efter terrorangrebet på bl.a. World Trade Center (det såkaldte US-VISIT program) med følgeskab af EU, skabt en frygt for mange for det ultimative overvågningssamfund. For det andet har en lang række leverandører med en overdreven og unuanceret anprisning af biometri som et universalmiddel i jagten efter at score en let og hurtig gevinst efter at kommercialiseringen af teknologien så småt kom i gang i begyndelsen af 1990´erne medført manglende troværdighed.

At biometri er blevet overhypet og overfrygtet er en international trend, som det må konstateres også har gjort sig gældende i Danmark. Det på trods af, at man ikke just kan påstå, at de danske medier generelt er nær så anti-biometriske som i visse andre lande, f.eks. Storbritannien. Selvom det også vil være forkert at hævde, at diverse brancheforeninger og myndigheder er decideret negative, så er indstillingen imidlertid stadig meget afventende. Derimod udviser visse interesseorganisationer og store dele af den akademiske verden en udpræget mistro til teknologien.

Det er altid at forudse, at ny og banebrydende teknologi på en og samme tid både tiltrækker og afskrækker, men jeg tror nok, at den kendsgerning at essentielle spørgsmål om krænkelse af de fundamentale frihedsrettigheder bliver fremført i debatten og den deraf følgende politisering af biometri er ganske enestående og er vitterlig kommet bag på de fleste med den åbenlyse konsekvens at det forventede afgørende gennembrud stadig lader vente på sig i alt fald for så vidt angår den private sektor.

Lad det være sagt med det samme, at den kritiske debat om krænkelse af privacy og databeskyttelse, om den manglende demokratiske legitimitet og om lovgivningen er tilstrækkelig er meget væsentlig. Jeg er specielt helt enig i privatlivsbeskyttelsen og tog netop selv, efter mange år i sikkerhedsbranchen og efter at have beskæftiget mig med biometri som id-teknologi siden 2003, initiativet til at starte Dansk Privacy Netværk i 2007. Det ændrer imidlertid ikke ved årsagsforklaringen, men rejser derimod det helt naturlige spørgsmål, om branchen har været god nok til at formilde relevant og lødig information og til hurtigt og overbevisende at tilpasse sig markedet og kundernes behov.

Alligevel kan vi i Danmark fremvise efter omstændighederne ganske interessante business cases som kan medvirke til at rette op på biometriens image. Men eksemplerne gør det ikke alene.

Den seriøse del af branchen vil ikke påstå at biometri er ufejlbarlig. Det er der ingen teknologi der er. Der er heller ikke nogen troværdig leverandør eller rådgiver, som vil tilbyde eller anbefale et system der totalt beror på teknologi alene. Det er ikke en god strategi. Ægte security er en løsning, hvor tekniske, proceduremæssige samt situationsbestemte security forholdsregler indbyrdes understøtter hinanden. Med en nøgtern erkendelse af biometriens muligheder og begrænsninger, bør branchen blive langt bedre til at målrette markedsføringen mod helt konkrete og klare løsninger hvori indgår biometriens unikke fordele i stedet for ”at skyde med spredehagl”.

Fejlen består først og fremmest i at fokusere på, at biometri kan løse alle security-udfordringer. For det kan den ikke. Hertil kommer at et tema som kundevenlighed bør fremhæves mere samt at selve det basale spørgsmål om sikring af brugerens privacy faktisk kan opnås ved brug af et korrekt biometri-design.

I den forbindelse deltager jeg selv i The User Advisory Board for Turbine forskningsprojektet , der har til formål at udvikle en sikker beskyttelse af biometriske data baseret på avanceret krypteringsteknologi. Jeg er også bekendt med at et par danske firmaer til min glæde er på vej med lignende banebrydende koncepter.

Derudover skal branchen hele tiden evne at kunne teknologiudvikle biometri med henblik på at tilbyde endnu flere brugervenlige og lavpraktiske tjenester, hvilket jeg selv gjorde opmærksom på tilbage i 2005 i en kronik i Børsen.

Endelig bør branchen være mere aktiv til at gå ind i og medvirke til en mere afbalanceret debat om biometri eksempelvis ved løbende at kommentere mediernes dækning af biometri.

Den seneste omtale i internationale medier, er en historie om en kinesisk kvinde, der er blevet arresteret i Japan for at have foretaget et kirurgisk indgreb i sine fingre med henblik på at narre den biometriske grænsekontrol ved indrejse til landet.

Bortset fra at man altid skal være varsom med at tage alt for givet og uanset at der kan argumenteres fornuftigt for den principielle mulighed for at spoofe biometri, så er den slags historier uden tvivl med til at tegne et negativt og forvrænget billede af teknologien, fordi der generaliseres og som oftest på grundlag af manglende faktuel information. Det er således en kendsgerning , at langt de fleste e-pas indeholder multimodal biometri/multifaktor autentifikation og at markedet tilbyder meget robust scannerudstyr. Hertil kommer, at der faktisk bliver taget hånd om det i medierne ofte omtalte sårbarhedsproblem ved det biometriske pas, nemlig sikring af den integrerede RFID-chip mod kopiering (kloning) og dermed beskyttelsen af de lagrede biometriske data. Løsningen går simpelt hen ud på, at scanneren er i stand til at verificere om chippen er den originale.

Branchen skal være godt klædt på til at møde markedets og samfundets udfordringer og derfor vil Danish Biometrics øge aktivitetsniveauet markant fremover med en række initiativer som f.eks. netværksmøder og en mere effektiv informationstjeneste. Det sammenholdt med at der på tærkslen til 2010 forudses en stigende brancheomsætning med bl.a. implementering af e-pas og visasystem i Danmark, vil med garanti medvirke til en lødig og frugtbar markedsføring og implementering af biometri.

okt 15 2009

Danish Biometrics opretter brugerforum

Med det formål at varetage alle relevante brugerinteresser har Danish Biometrics oprettet et brugerforum for virksomheder, private organisationer, offentlige myndigheder og enkeltpersoner.

Ideen er at etablere en åben platform, hvor dels aktuelle brugere så vel som potentielle brugere kan fremsætte både konkrete og generelle ønsker, udfordringer, nye features og standarder, og hvor dels Danish Biometrics kan præsentere ideer og forslag til forbedringer og aktiviteter. En sådan dialog er vigtig for ny og kompliceret teknologi, som biometri må karakteriseres at være.

Det siger sig selv, at det er god marketing at lytte til kunderne. At benytte sig af markedsundersøgelser er én mulighed, men at leverandører kan være i en direkte og løbende dialog med nuværende og potentielle kunder og i et tæt og konstruktivt samarbejde med brugerne udvikle nye produkter og løsninger er noget helt andet, som Danish Biometrics kan være med til at understøtte.

Med brugerforummet gøres informationen tilgængelig for alle med det ønske at præge den offentlige debat på en sober måde. Men det er også intentionen at styrke hele branchen og sidst men ikke mindst, at medvirke til en ansvarlig teknologi- og markedsudvikling.

Det nye initiativ imødekommer et længe næret ønske hos både medlemmer af Danish Biometrics samt andre aktører.

okt 11 2009

Biometri er noget du har

Det fremføres ofte i debatten, at biometri er offentlig tilgængelig information. Vi aflægger vore fingeraftryk alle vegne (på ølglas, dørhåndtag osv.) og vore ansigter afbildes på fotos, der lægges på internettet endda uden at vi selv ved af det.

Men denne uafvendelige kendsgerning udelukker ikke, at biometriske kendetegn er og bliver unikke. De er bare ikke hemmelige. Udfordringen for leverandørernes forskning- og udviklingsafdelinger består i, at gøre dem hemmelige. Og hvorfor det ? Fordi en kompromitteret biometri ikke kan erstattes. Du kan ganske vist designe et biometrisk system med substituering af op til ni fingre og en iris (alle dine fingeraftryk er forskellige og selv din venstre iris er forskellig fra din højre). Men en forfalsket biometri er tabt for altid.   

Det er også en kendt sag, at især fingeraftryksbiometri kan hackes eller spoofes. Hvorledes dette kan lade sig gøre har den tyske Chaos Computer Club bl.a. givet tips om  i en videosekvens. For fuldstændighedens skyld skal det imidlertid anføres, at disse angreb ofte gennemføres i laboratorier, på baggrund af en forud indhøstet indgående viden om det biometriske system og hvor positive tests ofte først lykkes efter mange forsøg. Men selv om det i den virkelige verden vil være endog meget svært at gennemføre en hacking, så udelukker det dog ikke, at det principielt er muligt.   

Derfor tages disse eksempler alvorligt og er faktisk med til løbende at forbedre teknologien. Hidtil er dette sket ved at raffinere sensorerne (f.eks. med anvendelse af multispektral billedanalyse), at fusionere flere forskellige biometriske modaliteter (f.eks. fingeraftryk og iris), at supplere med PIN-koder mm.  

Når det er sagt, så hersker der heller ikke nogen tvivl om, at passwords (eller noget du ved) og smartcards alene eller i kombination heller ikke giver sikker autentificering, eftersom de enten kan glemmes eller tabes og ydermere ikke effektivt kan bindes til en person, hvorved systemet ikke kan differentiere mellem en legitim bruger og angriber.  

Når nu biometri ikke er hemmelig,hvorfor så ikke dels kryptere disse data og derudover benytte biometri som en krypteringsnøgle  ?  At kryptere den biometriske template i en database kan lade sig gøre på sædvanlig vis og vil forbedre systemets security, men spørgsmålet om privacy er uløst, i de tilfælde hvor kontrollen med krypteringsnøglerne og dermed af de biometriske data er hos ejeren af en centraldatabase (i modsætning til en lokaldatabase). Det andet spørgsmål kan imidlertid ikke umiddelbart lade sig gøre, fordi de biometriske data (templates) er forskellige af natur. Hvert nyt realtime fingeraftryk er forskelligt og konventionel kryptering tolererer ikke en eneste bitfejl.  Eftersom traditionel hashing kryptering indtil videre har vist sig for kompliceret koncentrerer nyere forskning sig i stedet for at udvikle metoder til at binde en krypteringsnøgle til de biometriske data, således at nøglen hele tiden kan regenereres. Forskningen kaldes for biometrisk kryptering og defineres som en proces, der på en sikker måde binder (ikke indlejrer) en PIN eller en krypteringsnøgle til biometrisk data, så hverken nøglen eller de biometriske data kan udledes fra den gemte template. Nøglen kan kun dekrypteres med den registrerede persons realtime biometriske data, f.eks. et fingeraftryk. Hermed kan man dekryptere en PIN, et password eller en alfanumerisk streng for adskillige applikationer.

Det vil føre for vidt at komme nærmere ind på de forskellige modeller for biometrisk kryptering i denne omgang, men temaet vil blive taget op ved en senere lejlighed. Nogle hovedprincipper kan dog anføres:

 •  brug af biometriske eksemplarer (f.eks. friske fingeraftryk) og biometriske templates anvendes kun for at danne samt verificere bestemte pseudo-identiteter (som ikke må indeholde biometriske data) og det biometriske eksemplar så vel som den biometriske template må ikke gemmes overhovedet.
• undgå at biometriske data eller andre data kan benyttes til at udlede en bestemt persons identitet 
• undgå at biometriske data eller andre data kan bruges til at linke personer (datasubjekter) på tværs af databaser (function creep)
 • begrænse processen af persondata til et absolut minimum
• slette det biometriske eksemplar og den biometriske template (rodidentitet) så hurtigt som muligt efter processen, såfremt disse ikke er nødvendige til brug for processens formål
• udelukke rekonstruktion af det biometriske eksemplar fra den biometriske template (uden reverse engineering)
• gøre brug af lokal database samt verifikationsfunktion og gemme persondata på en device under kontrol af datasubjektet (match-on-card eller system-on-card)
• undgå at nogen yderligere persondata er direkte linket til de biometriske data (til brug for den midlertidige proces), såfremt dette ikke er nødvendigt for processens formål
• informere brugeren (datasubjektet) om systemets formål, funktion og proces 
• såfremt det kræves, at enhver bestemt pseudoidentitet genereres fra et nyt (frisk) biometrisk eksemplar med henblik på at øge gennemsigtighed
• generering af forskellige pseudoidentiteter, som til enhver tid kan tilbagekaldes af datasubjektet, til forskellige applikationer

Lad os forestille os et scenarie med brug af en biometrisk krypteringsløsning i forbindelse med eksempelvis receptudskrivning.

1. Patienten (datasubjektet) besøger sin læge, der skriver en recept. Recepten sendes til patientens indbakke på den landsdækkende receptserver.
2. Derhjemme, bruger patienten sin personlige computer til at få adgang til receptserveren. Via en sikker forbindelse, autentificerer receptserveren sig overfor patientens smartcard, og som ved denne autentificering ved, hvilken indbakke, der skal åbnes. I indbakken er gemt de yderligere data, der kræves for at udføre hybridverifikationen. Patientens realtime biometriske data bruges sammen med de supplerende oplysninger til at oprette en midlertidig pseudo-identitet (PI1*). Denne bliver herefter sendt til den centrale applikation og sammenlignes med en tidligere (ved registreringen) gemt pseudo-identitet (PI1). Eftersom der er en match får patienten adgang.
3. Herefter finder patienten den pågældende recept i indbakken og tildeler apoteket adgang til den. Dette sker ved at etablere et link mellem recepten og den pseudo-identitet, som patienten gør brug af på apoteket.
4. På apoteket bruger patienten sit  personlige smart card i forbindelse med apotekets terminal ( indstiks- eller berøringsfri læser). Terminalen autentificerer sig selv og får adgang til sin indbakke på patientens smartcard, hvor yderligere data til brug for verifikationsprocessen er gemt. Ved at bruge patientens realtime biometriske data (via en scanner på f.eks. selve patientens smartcard) sammen med de supplerende oplysninger, kreeres en  midlertidig pseudo-identitet (PI2*), der sammenlignes med den oprindelige (PI2), der er gemt på patientens smartcard ved registreringen. Apoteket’s system sammenligner de to pseudo-identiteter, og eftersom der er et match, kan systemet nu bruge pseudo-identiteten til at søge efter linkede recepter.
5. Den recept, der er linket til patientens ”apotek-pseudo-identitet” bliver fundet og patienten kan få sin medicin. Apoteket opdaterer recepten med bemærkning om hvilken medicin der er blevet udleveret.

Biometrisk kryptering kan således både sikre security og privacy. Sådan som de biometriske data indgår i processen ved kun at blive anvendt ved registreringen af en person, hvorefter de transformeres til pseudoidentiteter, kan man faktisk ikke mere definere biometri som “noget du er”, men mere som “noget du har”, nemlig unikke pseudoidentiteter. Det komplette koncept kan i øvrigt også indeholde “noget du ved” (hybridverifikation), hvorefter der sker en effektiv integration af alle hidtil kendte autentifiseringsmetoder. Man kan med rette tale om den højeste grad af en  privacy enhancing technology-løsning. 

Biometrisk kryptering bør være en obligatorisk feature for et fremtidigt dansk borgerservicekort.

I undermenuen biometrisk kryptering kan man finde yderligere information om biometrisk kryptering.

okt 4 2009

Biometri og demokrati

Vidensamfundet og den teknologiske udvikling udfordrer både videnskaben og demokratiet og forskyder løbende grænserne mellem videnskab, teknologi og samfund.

På den ene side skal vi sikre den fri forskning, men vi skal også være kritiske overfor videnskaben og der er, udover deltagelse af tænketanke, interesseorganisationer, virksomheder og NGO’ere, god grund til ikke alene at motivere og folkeoplyse men også at myndiggøre især den almindelige samfundsborger.

Det er vigtigt at understrege, at en betingelse for et vellykket forskningsarbejde er, at borgerne føler, at der tages hensyn til deres betænkeligheder, og at deres etiske grænser respekteres.

Hvorledes dette kan ske er ikke umiddelbart indlysende.

Der er dansk tradition for, at politiske beslutninger om ny teknologi og kontroversiel forskning baserer sig på en offentlig debat. Men finder den sted og hvordan kan den øve indflydelse på beslutningsprocessen, således at videnskab og teknologi integreres på en harmonisk måde i samfundet ?

Det er tilsyneladende et paradoks, at samtidig med at den teknologiske udvikling accelererer og forandrer danskernes liv og samfundet markant, så er vi ikke desto mindre blevet mere passive i forhold til at følge udviklingen og selv at præge debatten. Måske skyldes det, at universiteternes forskningsformidling satser mere på markedsføring end borgerinddragelse. Denne konklusion kan udledes af seniorforsker på Center for Forskningsanalyse Niels Mejlgaards forskning, baseret på data fra de såkaldte Eurobarometer-undersøgelser omkring følsomme teknologier. Disse undersøgelser er blevet gennemført regelmæssigt over de seneste 20 år blandt 25.000 europæere, hvoraf ca. 1.000 er danskere.

Forskningen synes overraskende at vise, at flere danskere er begyndt at opfatte sig selv som tilskuere i forhold til den teknologiske udvikling, i samme periode som universiteterne har opprioriteret indsatsen såvel økonomisk som personalemæssigt for at markedsføre og ‘sælge’ deres forskning. Spørgsmålet er, om dette markedsføringsfokus i forskningskommunikationen får flere danskere til at opfatte sig selv som tilskuere, fordi de netop behandles som tilskuere ? “Hvis det er tilfældet, udgør det ikke blot et formidlingsmæssigt, men også et demokratisk problem. Danskerne praktiserer og definerer deres medlemskab af det moderne teknologidrevne vidensamfund forskelligt, og det må forskningskommunikationen indrette sig på, hvis den gerne vil opfattes som relevant af forskellige grupper i befolkningen.”, udtaler Niels Mejlgaard.

Følsomme og i manges øjne kontroversielle teknologier, der rejser mange sociale, etiske, økonomiske, sundheds- og miljømæssige spørgsmål, er f.eks. bio- og nanoteknologier og for den sags skyld også biometri. Det kan undre og burde egentlig være mere end oplagt, at der ikke er langt mere fokus ikke alene i Danmark men internationalt  på regulering, standardisering, testning og mærkning af disse teknologier end det hidtil har været tilfældet.

Det bør være en hjørnesten for enhver demokratisk regering, at sikre et offentligt engagement i den politiske beslutningsproces.

Hvad kan bringe os på vej, således at mantraet om såkaldt ansvarlig innovation og demokratisk teknologiudvikling i modsætning til den tilsyneladende oligarkiske  (den etablerede elites) kontrol over teknovidenskaberne er reel og ikke kun en tom frase?  Antages det, at der er et behov for nytænkning med henblik på at inddrage dem, som bliver berørt af en bestemt teknologi, til at have indflydelse på teknologiens udvikling og at den designes i overensstemmelse med samfundets behov , så kan en styrkelse af bl.a.  følgende konstruktioner og indsatsområder, givetvis med fornøden lovgivning, være nyttige (rækkefølgen er vilkårlig):

1. Reel brugerkontrol og brugervalg
2. Mere tværfaglig forskning
3. Etablering af økosystemer med henblik på  åben og brugerdreven innovation
4. Professionalisering af CSR-implementeringsprocessen
5. En bedre målrettet formidling af forskningsresultater til både politiske beslutnings-tagere og offentligheden
6. At forskningsverdenen sammen med virksomhederne er mere åben for diskussion med resten af samfundet omkring grundlæggende værdier og rettigheder samt økonomiske interesser

Nogle vil måske lidt opgivende hævde, at videnskaben som sådan retfærdiggør en vækstøkonomi og dermed er betinget af de magtrelationer, der understøtter dette sociale paradigma.  Derfor kan teknologi ikke betragtes som “neutral” i betydningen som et “middel” til at tjene ethvert formål eller “autonom” forstået som den eneste eller den vigtigste faktor, der bestemmer sociale strukturer, relationer og værdier. Det er imidlertid uomtvisteligt, at såfremt en ny teknologi skal tjene demokratiet, så skal den underbygges af et politisk argument. Teknologien vil ikke af sig selv gøre en politik demokratisk. Derfor vil passende lovgivning og/eller etiske kodeks altid være en nødvendig forudsætning for, at teknologier kan udvikles demokratisk.

Det siger sig selv, at Danish Biometrics støtter en ansvarlig og demokratisk teknologiudvikling, fordi den er forudsætningen for en bæredygtig markedsudvikling.

sep 12 2009

Når teknologiforståelsen mangler

I sommeren 2008 nedsatte justitsministeren et sagkyndigt udvalg med repræsentation fra berørte myndigheder og organisationer, herunder restaurationsbranchen, som skulle foretage en samlet gennemgang og vurdering af, hvordan restaurationer mv. sikres adgang til identitets-oplysninger på personer med restaurationsforbud, uden at en sådan adgang til personfølsomme oplysninger om enkeltpersoner sætter grundlæggende hensyn til persondatabeskyttelsen over styr.

Udvalget har netop afgivet sin betænkning om restaurationers adgang til identitetsoplysninger på personer med restaurationsforbud og den har special interesse for Danish Biometrics, fordi udvalget bl.a. har
overvejet muligheden for at indføre et centralt register baseret på biometrisk adgangskontrol med udgangspunkt i en fingeraftryks-baseret løsning.

Udvalget afviser i sin konklusion et offentligt fælles register baseret på elektroniske fingeraftryk som identifikation, men anbefaler til gengæld et fælles privat register inden for persondatalovgivningens rammer, fordi et sådant register udover navn og CPR-nummer på personer med restaurationsforbud med gæsternes samtykke også vil kunne registrere fingeraftryk i form af templates og andre identitetsoplysninger, som kan anvendes til at sikre en hurtig, effektiv og ensartet adgangskontrol.

Udvalget baserer i høj grad sin anbefaling på, at Datatilsynet allerede har godkendt en løsning af natklubben Crazy Daisy, se vedrørende adgangskontrol på diskoteker. Datatilsynet har i sin afgørelse bl.a. forudsat, at Crazy Daisy med gæstens udtrykkelige samtykke kan behandle oplysninger i form af fingeraftryk (template) og billede og at der ikke gemmes billeder, fingeraftryk (templates) og personnumre eller følsomme oplysninger om strafbare forhold og narkotikamisbrug, hvis samtykket tilbagekaldes. Endvidere fremgår det af afgørelsen, at hvis gæsten tilbagekalder sit samtykke skal Crazy Daisy slette fingeraftrykket (templaten) og billedet.

I korthed går det såkaldte MasterClub system ud på, at gæsten – første gang vedkommende indfinder sig i restaurationen – lader sig registrere i en elektronisk database. Restaurationen bestemmer selv, hvilke identitetsoplysninger den vil registrere. Systemet understøtter således både brug af webkamera, fingeraftryks-læser og magnetkortlæser. Typisk registreres både gæstens navn, adresse, CPR-nummer og fingeraftryk. Endvidere optages der et fotografi af den pågældende.

Det vil efter udvalgets opfattelse være nærliggende at lade branchen selv stå for oprettelsen og driften af et sådant fælles privat register. Overordnet set vil systemet fungere som en forenklet udgave af de gæste-registreringssystemer, som allerede anvendes flere steder i diskoteksbranchen, og som branchen generelt har gode erfaringer med. I modsætning til de eksisterende systemer vil det foreslåede register dog være lands-dækkende og tilgængeligt for alle restaurationsvirksomheder, der ønsker det.

Registret bør så vidt muligt indrettes, så det er kompatibelt med de eksisterende gæsteregistrerings- og adgangskontrolsystemer, som allerede findes på mange diskoteker og natklubber.

Så vidt betænkningen.

Overordnet set er Danish Biometrics glad for at biometrien vinder frem og bliver anerkendt af kunderne som en troværdig teknologi, som kan finde anvendelse i en lang række sammenhænge. Det er imidlertid en vigtig mission for Danish Biometrics at formidle lødig information om biometriens muligheder samt at anbefale en ansvarsbevidst teknologianvendelse.

Det er væsentligt at forstå, at biometri ikke er en mirakelkur mod identitetstyveri, men en teknologiløsning, der i mange tilfælde kan indgå som et ekstra sikkerhedslag i et samlet systemarkitekturdesign (hardware/software/kommunikationskanaler), som er baseret på en risikoanalyse af alle konkrete omstændigheder. Et af de spørgsmål man altid bør stille sig ved brug af ID-teknologer er, hvorvidt det er nødvendigt at sikre en persons identitet, eller om det fuldt ud tilstrækkeligt alene at  kræve, at en person skal autentificeres. Biometri linker på en effektiv måde din krop til en ekstern applikation, men eftersom der er tale om en meget unik personsensitiv information, så bør brugeren så vidt muligt have fuld kontrol over sine egne biometriske data.

Betænkningens anbefaling af de eksisterende løsninger, som er baseret på en central database af fingeraftryk, er derfor ikke god nok. Når der nu findes modeller, som både sikrer natklubbernes behov og brugerens privacy-beskyttelse, hvorfor så ikke gøre brug af dem ? Jeg tror, at det skyldes udvalgets manglende indsigt i teknologiens muligheder. Om smart card-løsningen (eller alternativt brug af mobiltelefonens SIM-kort)  har jeg udtalt mig til ComputerWorld online i artiklen Fingeraftryk har intet at gøre i centrale databaser. Institut for Menneskerettigheder giver i sit høringssvar udtryk for lignende synspunkter med anbefaling af et såkaldt “gæstemicrochip-kort”.

Iøvrigt, hvorfor ikke også være en smule visionær ved allerede nu at lægge en strategi for et kommende dansk borgerservicekort med biometri ? Det vil jo være nærliggende at et sådant kort med specifikke applikationer/prædefinerede formål knyttet til specifikke ID-hybridverifikationsdata (biometriske pseudo-identiteter) kan finde anvendelse i en situation som den foreliggende. Staten kunne passende starte med at nedsætte en tværgående ministeriel taskforce, som kunne lade sig repræsentere i alle udvalg og kommissioner, hvor et borgerservicekort kunne tænkes at have relevans.

En helt anden ting er, at den praktiske betydning af et fælles register med fingeraftryk nok vil vise sig at være relativ begrænset, eftersom denne registrering kun er en af flere valgmuligheder. Hertil kommer at det er højst tvivlsomt om de personer,som har fået et restaurationsforbud i det hele taget vil lade sig registrere, når det alene er frivilligt. Det fremgår imidlertid helt klart af betænkningen, at implementeringen af MasterClub registreringssystemet i høj grad skulle virke som en præventiv og afskrækkende foranstaltning. Systemet vil derfor i realiteten fremover kunne udvikle sig til en identitetsdatabase for alle natklubgæster, hvorimod den mere privacyvenlige screeningsmodel med negativ-ID verifikation, der forudsætter obligatorisk indrulning af “bøllerne”, ikke kan realiseres. Set i det lys er der grund til at fastholde de principielle betænkligheder overfor betænkningens anbefalinger.