Tag-arkiv: biometrisk smart card

jan 6 2011

Eurosmart offentliggør spændende hvidbog om biometri

Eurosmart, en international organisation for smart card industrien og med Danish Biometrics som associeret medlem, har netop offentliggjort en 75 siders hvidbog om biometri med titlen: “Smart Biometrics for Trust and Convenience”.

Hvidbogen behandler den biometriske teknologis “state of the art” med de bedste casehistorier og tekniske valg ved en implementering i kombination med smart card-teknologi. Undersøgelsen omfatter også idéen om at indføre biometriske kendetegn for fysiske dokumenter, identifikation af casehistorier og teknikker samt endelig fordele ved at sammensætte menneskelige så vel som fysiske biometriske karakteristika. Hvidbogen giver også anbefalinger om anvendelsen af biometri i forbindelse med identifikation og autentifikation af personer og varer.

I forordet understreger Marc Bertin, formanden for Eurosmart, at biometri kan bidrage positivt til at reducere identitetstyveri  (phishing) og skimning af betalingskort samt styrke tilliden til elektroniske transaktioner og gøre en sikkerhedsløsning mere bekvem for brugeren. Det er Eurosmarts vision, at persondata, herunder især biometriske referencer bør gemmes på et smart card og Ifølge Eurosmart kan teknologien ikke tillægges en bestemt iboende værdi som enten god eller dårlig.

Biometri skal både kunne yde sikkerhed og sikre respekten for etiske bekymringer samt beskyttelsen af privatlivets fred. Dette formål vil nemmere kunne blive opfyldt, når biometri kombineres med smart card-teknologi (side 6). Det understreges endvidere, at det er bedre at anvende en kombination af “noget man har” og “noget man er” fordi det giver en meget høj grad af tillid.

Udover den gængse kategorisering af biometri i fysiske og adfærdsmæssige karakteristika, opstiller hvidbogen en hidtil uset term i form af “objekt biometri” (object biometrics). Betegnelsen dækker over biometriske metoder, der gengiver et naturligt fænomen for en genstands elementer eller egenskaber ( kaotiske og målbare) som for eksempel overflade tilstand, bobler i materialet eller fabrikationsfejl. Digital vandmærkning og bubble tags nævnes som eksempler på objekt biometri. Når et digitalt vandmærke eller en bobble tag knyttes til et objekt eller et dokument, kan objektet eller dokumentet entydigt identificeres eller autentificeres som den eneste original.

Hvidbogen fremhæver bl.a. brug af elektronisk signatur eller digital signatur (i princippet  ikke at forveksle med såkaldte digitale certifikater, der per definition indgår i PKI-løsninger) i forbindelse med biometri. Ligesom en håndskreven underskrift anvendes den elektroniske signatur som et uigendriveligt bevis på brugerens godkendelse af en elektronisk kontrakt eller transaktion. Elektroniske signaturer er normalt baseret på asymmetriske kryptografiske algoritmer, såsom RSA algoritmen. Deres juridiske gyldighed er lovreguleret i mange lande og i Europa. Det er muligt at generere en stærk kryptografisk nøgle baseret på brugerens biometriske kendetegn.

Netop fordi hidtidig nøglegenerering og lagringsmekanismer har vist deres svaghed, er der i de senere år udviklet en teknologi kaldet bio-kryptering (også benævnt biometrisk kryptering eller cryptobiometrics), der styrker forbindelsen mellem den elektroniske signatur og brugeren. Det vil herefter være umuligt at benægte en aftale/transaktion, der er underskrevet på denne måde og således under brugerens fulde kontrol. Biometri og digital signatur, som en del af et PKI ( Public Key Infrastructure) system og indlejret på et smart card til håndtering af disse certifikater og deres tilhørende nøgler, er en oplagt teknologianvendelse i forbindelse med en ny generation af NemID og et fremtidigt dansk borgerservciekort. I øvrigt kan henvises til Turbine projektet, der senere i år afslutter flere års forskning i biometrisk kryptering på klient og match on card, der er yderst relevante autentifikationsmekanismer i denne sammenhæng.

Hvidbogen henviser til et Frost & Sullivan forecast fra juli 2009 (hele analysen kan erhverves hos Frost & Sullivan mod betaling), der forudsiger en biometrisk omsætning i Europa på ca. 250 millioner Euro i 2010 og en CAGR på 25 % frem til 2015. Barrierer for markedsudviklingen bedømmes at være:

  • den generelle økonomiske nedtur
  • privacy bekymring
  • utilstrækkelig læring og uddannelse samt
  • forsinkelse i statslige projekter

Markedsdrivere angives at være:

  • forøget fokus på sikkerhed
  • statslige projekter
  • brug af biometri i sundhedsvæsenet samt
  • forbrugerelektronik: autentifikation af brugere for adgang til PC`ere, PDA´ere, smartphones osv.

Hvidbogens afsæt i biometriens anvendelsesmuligheder i forhold til smartcard infrastrukturen og Eurosmart´s generelle anbefalinger er interessante. Især er de omfattende casebeskrivelser med pragmatiske og etiske kriterier glimrende som et nyttigt praktisk værktøj. Rekommandationen om en national komite, der skal vurdere privacy samt etiske og lovmæssige forhold ved biometri kan i princippet tiltrædes.

Et meget rigtigt synspunkt, som går igen i mange af anbefalingerne, er betydningen af gennemsigtighed samt fuldt ud dækkende information og reel dialog i forhold til den enkelte, der bliver berørt af løsningen. Det er nemlig i hovedsagen ikke teknologien og systemerne, der er udfordringen, men de til enhver tid eksisterende organisatoriske forhold og holdninger samt lovgivning, der står i vejen for en fordomsfri debat og hensigtsmæssig udnyttelse af teknologien.

Med hensyn til introduktionen af begrebet “objekt biometri”, så er jeg ikke umiddelbart begejstret herfor. Biometri er som navnet antyder knyttet til et menneske eller en levende organisme (bio- af græsk bios ‘liv’) og det er teknologiens særegne egenskab. Derfor vil det efter min opfattelse ikke give mening, såfremt det pågældende objekt ikke på en eller anden måde i forbindelse med implementeringen af metoden, linkes til en bestemt person. Definitioner,  kriterier og betegnelser for en terminologi skal altid være meget stringente, især når der er tale om komplicerede og i manges øjne kontroversielle teknologiløsninger med etiske problemstillinger.

Det er klart at biometri som unik genkendelsesteknologi nyder almindelig respekt, men det kan ikke accepteres, at andre teknologier, som givetvis også kan integrere en uomtvistelig identifikator i genstande og medier, gør brug af termen biometri, når betingelserne herfor rent faktisk ikke er opfyldt. Konsekvensen vil blot blive en udvanding af begrebet biometri. Jeg kan godt se, at der kan ligge markedsføringsmæssige overvejelser til grund for betegnelsen, men det er ikke et valid argument. Det anbefales i samarbejde med JTC 1/SC 37/WG 1 at gøre brug af en anden term.

maj 22 2010

Danish Biometrics er blevet associeret medlem af EUROSMART

Eurosmart er en international og privat non-profit organisation, beliggende i Bruxelles, der repræsenterer smart card industrien i forbindelse med udvikling af multisektor IKT-programmer.

Eurosmart er grundlagt i 1995 med det formål at udvikle verdensmarkedet for smarte enheder, smart card security standarder og løbende forbedre kvaliteten og sikkerheden for applikationer.

Medlemmerne består af producenter af smart cards, semiconductors, terminaler, udstyr for systemintegratorer af smart cards, udviklere af applikationer og kortudstedere, der er medlem af arbejdsgrupper ( kommunikation, marketing, security, e-ID,det fysiske design af elektroniske komponenter samt markedspotentialer).

Organisationens medlemmer er for det meste involveret i politiske og tekniske initiativer samt forsknings- og udviklingsprojekter på europæisk og internationalt plan.

Eurosmarts medlemmer er bl.a. Atmel, Austriacard, Gemalto, Giesecke & Devrient, Infineon Technologies, NedCard, Oberthur Technologies, Precise Biometrics, Renesas, Sagem Orga, Samsung, STMicroelectronics, Toshiba, Zetes, GIE Cartes Bancaires, MasterCard, FIME, CEA-LETI, Smart Payment Association, Babysmart samt uafhængige eksperter som Jean-Pierre Delesse og Michel Koenig.

Optagelsen af Danish Biometrics blev bekræftet på generalforsamlingen 20. maj 2010 i München, hvor også arbejdsprogrammet for de kommende år blev fastlagt. Blandt hovedaktiviteterne for 2010 vil være at:

  • Lancere en ny task force for biometri med det formål at udarbejde en vision for state-of-the-art og bedste slutbruger cases så vel som tekniske valg af implementering i kombination med smart card teknologi. Task forcens tilgang vil være at forklare biometri og dens applikationer.
  • Udvikle en vision for “Internet of Things”: en digitaliseret verden kræver mere security ligesom privacy og persondatabeskyttelse
  • Styrke en mission for uddannelse gennem læring på højt niveau af de seneste innovative IKTs startende med M2M kommunikation
  • Fortsætte med at promote interoperabilitet og europæiske standarder
  • Forbedre security certificering ved at presse på for konvergens af certificeringsordninger og udvikling af guidelines for sikkerhedsniveauer

For mere information om Eurosmart tjek: www.eurosmart.com

Med medlemskabet af Eurosmart indleder Danish Biometrics et samarbejde med et af branchens mest betydningsfulde organisationer. Formålet er at påvirke og udvikle smart card teknologien, som i kombination med biometri vil medvirke til at sikre fortrolighed, integritet og autentificering af data. Danish Biometrics deler i store træk Eurosmarts visioner om en ansvarlig teknologiudvikling.

Meget er sket siden Diners Club i 1950 udstedte det første kreditkort af papir og efter at det franske PTT i 1980´erne testede de første chipkort til brug for bankautomater. Smart cards, der kan defineres som et plastikkort med en indlejret computer chip, der kan lagre og behandle data mellem brugere, er involveret i flere og flere dagligdags transaktioner først og fremmest på grund af dets brugervenlighed og fleksibilitet. Ifølge Eurosmarts årlige markedsprognoser vil der således i 2010 blive udstedt op til 5.455 milliarder smart cards (herunder kontaktfri chipkort). En stigning på knap 10 % i forhold til 2009. Heraf er der alene tale om 3.700 milliarder microprocessorer (SIM-kort) til telekommunikation, mens der forventes at blive leveret 860 millioner microprocessorer til brug for finansielle services, detailsalg samt loyality. CAGR ( Compound Annual Growth Rate) forventes ifølge ReportLinker at blive på næsten 13 % i perioden 2010-2012. Med andre ord, er der et kolossalt potentiale for biometri, såfremt teknologien kan benytte den eksisterende smart card-infrastruktur og standard interfaces.

Men der er en løbende udfordring i at forbedre security og privacy og her kan specifik brug af biometri og f.eks. PKI være en oplagt løsning. At biometri er sat på Eurosmarts 2010-aktivitetsplan er derfor meget prisværdigt og det nye organisationssamarbejde med Danish Biometrics skal vel også ses som en manifestation af denne prioriteringsstrategi.

Ud fra et dansk perspektiv kan samarbejdet være med til at styrke de forretningsmæssige relationer, innovation og videnformidling samt en lødig debat om fremtidige biometriske smart card løsninger indenfor f.eks. detailhandlen, finanssektoren, transportbranchen, sundhedsvæsenet, fysisk adgangskontrol og ikke mindst et borgerservicekort med multiapplikationer.

maj 15 2010

Nogle overvejelser omkring indførelse af adgangskontrol med biometri

Kort fortalt er adgangskontrol et system, der giver mulighed for at kontrollere adgangen til en bestemt fysisk facilitet eller til ressourcer i et edb-baseret informationssystem og et spørgsmål om hvem, hvor og hvornår.

Anvendelse af biometri er interessant fordi det er den eneste teknologi i verden, der er i stand til at binde et bestemt menneskes fysiske krop til hans eller hendes brugeroplysninger og er dermed en meget sikker genkendelsesmetode.

Som det gælder for al implementering af ny teknologi er det basalt at inddrage brugerne aktivt lige fra starten ikke alene i både projekterings-, planlægnings- og udførelsesfasen, men også, så vidt det er muligt, i selve beslutningsprocessen om eventuel anskaffelse af et biometrisk adgangskontrolsystem. Ud fra et ledelsesmæssigt synspunkt er den enkelte brugers/medarbejders forståelse og opbakning en forudsætning for, at den teknologiske løsning kan tjene sit formål og sikre en optimal ressourceudnyttelse. Det forudsættes som en selvfølge at enhver løsning overholder persondatalovens bestemmelser og at man i tvivlstilfælde skal kontakte Datatilsynet.

Alle biometriske systemer kræver, at brugeren tilmeldes og tildeles brugerettigheder, hvilket er omkostnings- og ressourcekrævende processer (den såkaldte enrolment). Der er en meget velbegrundet modstand mod ideen om store og centraliserede databaser med personlige oplysninger og de bør derfor, efter min personlige opfattelse, undgås så vidt det overhovedet kan lade sig gøre til fordel for såkaldt distribueret lagring med en hurtigere og mere bekvem indrulning  (mach-on-card eller system-on-card). I mange tilfælde vil det være en stor fordel at benytte en eksisterende kort-infrastruktur. I andre situationer kan en sådan løsning være dyrere og derfor kan et alternativ med en centraldatabase eventuelt løses ved at sikre kryptering og brugerkontrol.

Antipati mod en bestemt biometrisk teknologi f.eks. fingeraftryk, iris- eller stemmegenkendelse ud fra kulturelle normer vil nok ikke spille den store rolle i Danmark til forskel fra f.eks. i Japan, hvor modstand mod fysisk kontakt via fingeraftryk har resulteret i en langt større udbredelse af vene-scanning. Men derimod kan en vægring ud fra et privacy-synspunkt bestemt ikke udelukkes, eftersom iris-scanningssystemer vil være i stand til at vise symptomer på visse sygdomme, som nogle mennesker ønsker at holde for sig selv.

En anden vigtig faktor er usability. Der vil således altid være et segment af brugere, der har problemer med f.eks. fingeraftryksscannere på grund af hudtype. Spørgsmålet har i en dansk sammenhæng været rejst i forbindelse med Bornholmstrafikkens biometriske system for pendlere i forhold til keramikere og murere. Man er her tvunget til at indføre et alternativt eventuelt manuelt system og det uanset hvor få brugere det måtte dreje sig om. I øvrigt er det essentielt at der udarbejdes retningslinjer i forhold til handicappede, ældre, etniske minoritetsgrupper samt andre personlige idiosynkrasier.

Den tid det tager at blive identificeret/verificeret vil givetvis have indflydelse i visse sammenhænge, f.eks. hvor der er en stor persontrafik. Teknologier, som irisgenkendelse og forskellige former for adfærdsmæssig biometri, vil derfor i princippet være en fordel, fordi de ikke kræver at brugeren skal foretage sig noget. Imidlertid vil det være overordentlig vanskeligt at forene bekvemmelighedsaspektet med et security- og privacyhensyn.

Et punkt af særlig betydning for valg af et biometrisk adgangskontrolsystem er spørgsmålet om standarder og interoperabilitet. Det vil i almindelighed være god cost-benefit at sikre sig en ikke-proprietær løsning, der tillader integration af teknologier/hardware fra forskellige leverandører. Dette hensyn gør sig i særlig grad gældende for så vidt angår meget store kommercielle og offentlige leverancer. Men det internationale standardiseringsarbejde lader imidlertid meget tilbage at ønske.

Det er også væsentligt at forholde sig til den gevinst, der kan høstes som totalbesparelser gennem hele systemets levetid, dvs. en økonomisk opgørelse over alle indtægter og besparelser samt alle omkostninger til løsningens etablering og drift, herunder omkostninger til videnopbygning og læring af personale og brugere. Her er det værd at fremhæve, at af alle business cases viser biometrisk tidsregistrering, i hvert fald ifølge udenlandske undersøgelser, den korteste og mest sikre ROI, fordi den udelukker, at en kollega “stempler ind” for en anden kollega og at der hermed opnås den sideeffekt der består i, at overarbejde og andre lønafhængige omkostninger reduceres. Som en særlig dansk “krølle” skal det anføres, at Datatilsynet indtil videre kun tillader en tidsregisteringsløsning med biometri i forbindelse med et smart card.

En faktor der også bør indgå i overvejelserne er brug af multimodal biometri med henblik på at gennemføre en sikker og præcis flerstrenget løsningsmodel. Eksempelvis én type biometri som f.eks. ansigtsgenkendelse skal evaluere personer på en overvågningsliste, en anden f.eks. fingeraftryk anvendes til brug for 1:1 autentificering (verifikation) og en tredie udføres i form af tastetryk eller stemmegenkendelse i et call-center til reset af passwords.

En opstilling af tekniske krav til en situationsbestemt og specifik brug af biometri med fokus på brugerbeskyttelse samt brugerkontrol og i sammenhæng med nøje krav til selve implementeringsprocessen vil være den mest fordelagtige gennemførelse af en biometrisk løsning.

mar 30 2010

Forskning i biometrisk kryptering viser lovende resultater

Formålet med biometrisk kryptering er at optimere privacy så meget som muligt. Forskningen er relativ ny og der findes forskellige metoder til biometrisk kryptering, men grundprincippet i forskningen går ud på at udvikle metoder til

  • at beskytte den digitale biometriske værdi på en sådan måde, at den ikke kan føres tilbage til en bestemt person
  • at en fikseret ‘erstatningsværdi’ for den biometriske værdi ikke kan bruges til at genskabe den originale biometriske værdi og
  • at flere ‘erstatningsværdier’ af den samme biometriske værdi ikke kan genkendes op mod hinanden

Det eneste og for tiden største EU FP7 forskningsprojekt om biometrisk kryptering og biometrisk innovation i det hele taget er the Turbine Project, der løber fra 2008-2011 og som har et budget på knap 75 mill. kr. Turbine er et akronym for Trusted Revocable Biometric Identities. Konsortiet har ti medlemmer, herunder Gjøvik University College, Philips Research Europe, Precise Biometrics, Sagem Sécurité og University of Twente. Konsortiet har oprettet to rådgivende komiteer, der skal facilitere samarbejdet med hensyn til kompetencer og viden om databeskyttelse, privacy og øvrige brugerinteresser. Jeg har selv fornøjelsen at repræsentere European Privacy Institute i den ene af de to rådgivende komiteer med særlig fokus på privacy evaluering. Derudover er der deltagelse af bl.a. Berliner Beauftragter für Datenschutz und Informationsfreiheit, Commission Nationale de Informatique et Libertiés, ENISA, NIST, SWIFT og Unafhängiges Landeszentrum für Datenschutz. Man kan roligt konstatere, at konsortiet består af nogle af de fremmeste teknologileverandører, forskere og eksperter i biometri, privacy og databeskyttelse på internationalt plan i dag.

Projekideen går ud på, at

  1. transformere et fingeraftryk til såkaldte “pseudo-identiteter”
    1. parametre danner uafhængige identiteter: ID1, ID2,…IDn
    2. ingen mulighed for at linke forskellige ”pseudo-identiteter”
  2. uden mulighed for “reverse-engineering”

Det er hensigten at skabe et ID management-koncept, der indbefatter biometri og certifikater samt databeskyttelsesmekanismer ved hjælp af forskellige identiteter (pseudo, som vælger, som skattebetaler osv.) deriveret af en betroet identitet. Dette opnås ved at skabe tillid til tokenindehaveren med hans fingeraftryk, der er transformeret og substitueret i stedet for at blive krypteret. Revokation kan gennemføres uden indvirkning på det originale fingeraftryk.

Det årlige plenummøde med deltagelse af de to rådgivende komiteer fandt i år sted 18.-19. marts i smukke gamle arkitektoniske rammer i universitets- og ølbyen Leuven i Belgien og var denne gang organiseret af Katholieke Universiteit Leuven, et andet medlem af Tubine konsortiet.

Et af hovedpunkterne på mødedagsordenen er projektstatus. Projektet kan siges at have to udfordringer, dels samfundsmæssige, dels teknologiske.

De væsentligste samfundsmæssige udfordringer er:
1. biometri til brug for ID management
- hvornår er det nødvendigt at supplere login/password med en sikker token?
- skaber det mere tillid eller mere bekvemmelighed?
2. privacy: indvirkning på revokation af den beskyttede template
- et biometrisk eksemplar er persondata: specifikke management karakteristika.
- en Turbine Pseudo-identitet (PI) er deriveret af et biometrisk eksemplar: dermed er det persondata
- TURBINE faciliterer måden at håndtere persondata på: revokation, reusability, brugerkontrol, verifikation versus identifikation osv.

Forskningsprojektets teknologiske udfordringer er:
1. systemets performance
- kan resultaterne af biometrisk kryptering sammenlignes med en state-of-the-art fingeraftryksløsning?
- har forskellige leverandører en procesorienteret interoperabel løsning?
2. security ≈ irreversibilitet af pseudo-identiteten
- denne egenskab åbner døren til nye fordele: revokation, privacy-beskyttelse, multi pseudo-identiteter
- men såfremt mekanismen bliver hacket, så er “kuren værre end sygdommen”
- mulige sårbarheder: FAR angreb (false acceptance rate) osv.

Turbine har designet en komplet referenceramme for biometrisk template beskyttelse baseret på digitale pseudo-identiteter. Enrolment består af en feature extractor (biometrisk sensor) og en pseudo identity encoder (supplerende data), der henholdsvis kreerer en pseudoidentitet (PI) og såkaldt hjælpedata (AD). Feature extractoren kan enten slette eller gemme den biometriske reference. PI og AD kan gemmes på forskellig måde, enten på et smart card, en stregkode eller en central database og skal tilføre yderligere identitetsbeskyttelse til applikationen. PI sendes videre til applikationen til match (pseudo identity comparator). AD sendes videre til selve verifikationsprocessen,hvor den indgår i en pseudo identity recoder sammen med PI* (en regeneration af PI, der samtidig sendes tilbage til applikationen) og hermed udgør supplerende data sammen med et fra en biometrisk sensor frisk indfanget eksemplar, der efter brug øjeblikkelig slettes igen.

Projektet er struktureret i 4 delprojekter og forskellige scenarier bliver i samarbejde med de relevante konsortiedeltagere evalueret både teoretisk med hensyn til privacy og security og praktisk med hensyn til en flerhed af fingeraftryks-sensorer/algoritmer. Feltanalyserne, der er væsentlige for projektets succes, er komplicerede, fordi de skal tage højde for en række relationelle og variable forhold, så som sensortype, algoritme, brugeren samt miljøet. Til trods herfor så overholder den indtil dato foreløbige benchmarking, der er baseret på en række kontrollerede og ukontrollerede sessioner, de minimumstestkrav (bl.a. i henhold til ISO/IEC 19795-1), der er opstillet.

Det er min opfattelse, at the Turbine Project er det hidtil mest visionære biometriske forskningsprojekt overhovedet,idet der sættes en helt ny målestok for teknologianvendelsen. At de foreløbige testresultater har vist sig at svare til forventningerne, er for mig at se meget opmuntrende og vil derfor kunne få stor indflydelse på hvorledes f.eks. især fremtidige udgaver af EU-passet og et kommende dansk borgerservicekort skal designes.

Biometri kan betragtes i sammenhæng med de såkaldte privacy enhancing technologies (PETs) eller på dansk privatlivsfremmende teknologier. PETs er forholdsregler i et sammenhængende system af informations- og kommunikations teknologier (IKT), der beskytter privacy ved at eliminere eller reducere persondata eller ved at forhindre unødvendig og/eller uønsket behandling af persondata; uden samtidig at miste datasystemets funktionalitet. PET princippet relaterer sig til biometri ud fra to synspunkter. For det første ved at betragte biometri som princippets objekt, således at implementering og anvendelse af biometri skal følge et omfattende og korrekt privacy-system med henblik på at sikre privacy-beskyttelsen. Men man kan også betragte biometri som et egentligt PET-værktøj, idet biometri kan være en del af en privacy-beskyttende metode i sig selv. Og det er netop det som er scopet for Turbine projektet, eftersom biometri anvendes til at sikre de forskellige identiteter. Man gør brug af den egenskab som er helt unik for biometri i modsætning til passwords og standard tokens, nemlig at linke den menneskelige krop til brugerens psudo-identiteter (personlige nøgler).

De af konsortiet opstillede privacy-principper og metodologi i henhold til krav og retningslinjer i ISO/IEC JTC1 (struktur og arkitektur for ID management og privacy) kan meget vel sætte en ny banebrydende standard for ID verifikation med biometri som den bærende teknologi.

Man har længe kunnet iagttage, at markedet for biometri udvikler sig alt andet end forudsigeligt og at den ikke følger den gængse adaption for såkaldt disruptiv innovation (ingen tornado effekt), uagtet at biometri teoretisk set kan betegnes som en disruptiv teknologi. Men Turbine projektet og konceptet for biometrisk kryptering kan uden tvivl fremskynde en positiv vækst.

Det er derfor vigtigt at fremhæve perspektivet i forskningen, fordi modellen tager udgangspunkt i at sikre brugerens persondata og privacy samtidig med at den effektivt eliminerer de klassiske sårbarheder ved biometri (spoofing, public domain biometrics). Hermed vil løsningerne uden tvivl bidrage til at skabe øget tillid til selve teknologien og imødegå den skepsis, der nogen steder hersker med hensyn til troværdigheden ved biometri.

feb 20 2010

Visionen om et dansk borgerservicekort lever men handling efterlyses!

Der er god grund til at være tilfreds med, at videnskabsminister Helge Sander for nogle dage siden har udsendt en pressemeddelelse hvor et af de langsigtede initiativer i arbejdsprogrammet frem til 2020 er, at “danskerne skal tilbydes et biometrisk borgerkort af høj kvalitet og sikkerhed – forhåbentlig fra 2015.”

Visionen kommer sågar ind på en 3. plads næstefter at sikre den digitale signatur, NemID for alle danskere fra 1. januar 2011 og at det danske universitet i Beijing bygges, således at de første studerende og forskere kan tage det i brug i 2013.

Ministeren fremhæver, at vi allerede nu skal forberede os på tiden efter krisen og at ” ….vi skal være klar til at udnytte fremtidens muligheder.”

Det er en rigtig indstilling at have til et sådant stort projekt, som rummer mange fordele for både borger som samfund og som i øvrigt vil være i smuk harmoni med regeringens digitaliseringsstrategi om at IT skal spare det offentlige for milliarder. Der henvises derudover til Strategi for digitalisering af den offentlige sektor 2007-2010.

Allerede i 2008 anbefalede Danish Biometrics nedsættelsen af et visionsråd for projektets interessenter med det formål at fastsætte krav og processer (strategiplanlægning, fælles terminologi, målrettet projektstyring, arbejdsgange, metoder mv.) for et biometrisk borgerservicekort. Derudover har Danish Biometrics ved flere lejligheder anbefalet at et borgerservicekort og hele infrastrukturen skal beskyttes i henhold til “privacy by design”-principper, herunder designes med biometrisk kryptering. I den forbindelse er det værd at fremhæve, at EU Kommissionen selv har klassificeret biometri som en privacy enhancing technology, som det fremgår af den nyligt offentliggjorte endelige rapport af ESRIF.

Interessen og setuppet er der. Vi mangler blot startskuddet til at gå i gang og jo før jo bedre. Kalenderblade vendes hurtigt, når det drejer sig om store IT-projekter og  al erfaring fortæller os derfor, at det er vigtigt at der afsættes den nødvendige tid og de nødvendige ressourcer til indførelsen af et borgerservicekort. Et sådant samfundsmæssigt projekt bør gennemføres på baggrund af en kvalificeret offentlig debat og en grundig forberedelse af de teknologiske og organisatoriske muligheder med implementering af små trinvise pilotforsøg og frem for alt med en kvalitetssikring og brugerevaluering som topprioritet.

Er der forresten grund til at mene, at Danmark for alvor er faldet bagud i udviklingen ? Lad os se hvorledes det forholder sig i de andre europæiske lande med hensyn til et borgerservicekort.

IDABC har i oktober 2009 udgivet en statusrapport om eID interoperabilitet i forbindelse med europæiske eGovernment Services med det formål at indsamle information om eID praksis og udvikling i EU og tilknyttede lande. For god orden skyld bemærkes, at der i referatet fra udvalgte dele af rapporten ikke benyttes en stringent terminologi, idet e-ID, identitetskort, borgerkort eller borgerservicekort anvendes i flæng. Den sidste betegnelse foretrækkes af Danish Biometrics for at understrege kortets funktion og formål og ikke mindst at der er forskel på at sikre identitet og autenticitet (verifikation).

Af rapporten fremgår det, at ud af 32 lande udsteder 27 identitetskort (84%), heraf er 6 eID-kort udstedt af et privat certificeringscenter i henhold til aftale med en offentlig myndighed (Østrig, Island, Liechtenstein, Luxembourg, Holland og Sverige).

Ud af disse 27:

udsteder 3 et papirbaseret ID-kort og har ingen specifikke planer om nationale eID-kort: Bulgarien, Grækenland og Nederlandene. En avanceret plan for et eID-kort (det såkaldte eNIK) blev rapporteret i Nederlandene i den forrige udgave af nærværende rapport, men den er i øjeblikket taget op til fornyet overvejelse til fordel for et mere omfattende samarbejde med private certificeringsudbydere.

13 udsteder et papirbaseret ID-kort, men har mere eller mindre konkrete planer om et eID-kort i den nærmeste fremtid: Kroatien, Cypern, Tjekkiet, Frankrig, Tyskland, Ungarn, Letland, Malta, Polen, Rumænien, Slovakiet, Slovenien og Tyrkiet.

13 udsteder eID-kort. Herunder falder imidlertid den førnævnte gruppe på seks hvor et eID-kort er udstedt af et privat certificeringscenter i henhold til aftale med en offentlig myndighed (Østrig, Island, Liechtenstein, Luxembourg, Holland og Sverige), og i de syv andre udstedes eID kort udstedes af en offentlig myndighed (Belgien, Estland, Finland, Italien, Litauen, Portugal og Spanien).

Der er således 5 lande, der i øjeblikket ikke udsteder identitetskort: Danmark, Irland, Letland, Norge og Storbritannien. Der er dog planer om at udstede eID-kort i en eller anden form i alle disse lande undtagen Danmark. I Storbritannien og Letland, vil regeringen sandsynligvis udstede eID kort, mens det i Norge og Irland vil blive overladt til den private sektor at udstede et chipkort i henhold til en statslig bemyndigelse.

Det fremgår af rapporten, at Danmark traditionelt sikrer autencitet på en kombination af sygesikringsbeviset og kørekortet eller pas og bankkort. I elektronisk sammenhæng udføres autentificeringsfunktionen af OCES signaturløsningen, der i rapporten karakteriseres som en blød certifikatløsning. Rapporten noterer, at mens OCES vil blive opgraderet i fremtiden er brug af smart cards for tiden ikke planlagt.

Endvidere hedder det i rapporten, at det således er klart, at ID-kort er en dominerende identifikationsløsning i de lande rapporten har undersøgt ved at være i brug i 84% af landene, med kun Danmark som det land, hvor det ikke diskuteres at introducere et borgerskort i en hvilken som helst form i overskuelig fremtid. Det står klart, at selv om det bestemt ikke bliver altomfattende, vil eID-kort blive mere udbredt i de kommende år.

Når man ser på brugen af biometri i forbindelse med borgerkort, nævner rapporten at 5 lande ud af 32 rent faktisk anvender biometri (Italien, Litauen, Nederlandene, Portugal og Spanien), i alle tilfælde baseret på fingeraftryksoplysninger (i hashet form for så vidt angår det italienske borgerkort). Som det fremgår af 2007-udgaven af denne rapporten, så har Litauen og Nederlandene endnu ikke gemt fingeraftryk i deres eID kort, hvilket i begge tilfælde hænger sammen med en opgradering af deres respektive identitetskort.

Fire andre lande planlægger at introducere biometri (Frankrig, Estland, Tyrkiet og Storbritannien) igen baseret på fingeraftryk. Af disse har kun Frankrig erfaring med indsamling af fingeraftryk i forbindelse med udstedelse af identitetskort. Tre lande (Tyskland, Polen og Rumænien) har overvejelser om brug af biometri i fremtidige teknologier, især i forbindelse med de pågældende landes planlægning af eID, men der foreligger endnu ikke nogen detaljer herom.

Et flertal af de undersøgte lande (20 af 32 lande eller 63%) har endnu ikke eventuelle planer for biometri, og brugen af biometriske data er ikke blevet indberettet af noget land som en autentifikationsmetode til specifikke eGovernment-applikationer (bortset fra e-passet).

Rapporten slår fast, at selvom der synes at være en stigende støtte for biometri, så er teknologien endnu ikke særlig udbredt i forbindelse med borgerkort. Status kan siges at afspejle den aktuelle forskel i de europæiske lande til den teknologiske parathed og de socio-kulturelle holdninger til biometri.

Det er dog prisværdigt at den danske videnskabsminister har meldt ud, at skal vi i Danmark have et borgerkort, så skal det være med biometri. Men Danish Biometrics anbefaler, at sætte handling bag de smukke intentioner nu !

For yderligere information vedrørende borgerservicekortet henvises til videncenter.

sep 12 2009

Når teknologiforståelsen mangler

I sommeren 2008 nedsatte justitsministeren et sagkyndigt udvalg med repræsentation fra berørte myndigheder og organisationer, herunder restaurationsbranchen, som skulle foretage en samlet gennemgang og vurdering af, hvordan restaurationer mv. sikres adgang til identitets-oplysninger på personer med restaurationsforbud, uden at en sådan adgang til personfølsomme oplysninger om enkeltpersoner sætter grundlæggende hensyn til persondatabeskyttelsen over styr.

Udvalget har netop afgivet sin betænkning om restaurationers adgang til identitetsoplysninger på personer med restaurationsforbud og den har special interesse for Danish Biometrics, fordi udvalget bl.a. har
overvejet muligheden for at indføre et centralt register baseret på biometrisk adgangskontrol med udgangspunkt i en fingeraftryks-baseret løsning.

Udvalget afviser i sin konklusion et offentligt fælles register baseret på elektroniske fingeraftryk som identifikation, men anbefaler til gengæld et fælles privat register inden for persondatalovgivningens rammer, fordi et sådant register udover navn og CPR-nummer på personer med restaurationsforbud med gæsternes samtykke også vil kunne registrere fingeraftryk i form af templates og andre identitetsoplysninger, som kan anvendes til at sikre en hurtig, effektiv og ensartet adgangskontrol.

Udvalget baserer i høj grad sin anbefaling på, at Datatilsynet allerede har godkendt en løsning af natklubben Crazy Daisy, se vedrørende adgangskontrol på diskoteker. Datatilsynet har i sin afgørelse bl.a. forudsat, at Crazy Daisy med gæstens udtrykkelige samtykke kan behandle oplysninger i form af fingeraftryk (template) og billede og at der ikke gemmes billeder, fingeraftryk (templates) og personnumre eller følsomme oplysninger om strafbare forhold og narkotikamisbrug, hvis samtykket tilbagekaldes. Endvidere fremgår det af afgørelsen, at hvis gæsten tilbagekalder sit samtykke skal Crazy Daisy slette fingeraftrykket (templaten) og billedet.

I korthed går det såkaldte MasterClub system ud på, at gæsten – første gang vedkommende indfinder sig i restaurationen – lader sig registrere i en elektronisk database. Restaurationen bestemmer selv, hvilke identitetsoplysninger den vil registrere. Systemet understøtter således både brug af webkamera, fingeraftryks-læser og magnetkortlæser. Typisk registreres både gæstens navn, adresse, CPR-nummer og fingeraftryk. Endvidere optages der et fotografi af den pågældende.

Det vil efter udvalgets opfattelse være nærliggende at lade branchen selv stå for oprettelsen og driften af et sådant fælles privat register. Overordnet set vil systemet fungere som en forenklet udgave af de gæste-registreringssystemer, som allerede anvendes flere steder i diskoteksbranchen, og som branchen generelt har gode erfaringer med. I modsætning til de eksisterende systemer vil det foreslåede register dog være lands-dækkende og tilgængeligt for alle restaurationsvirksomheder, der ønsker det.

Registret bør så vidt muligt indrettes, så det er kompatibelt med de eksisterende gæsteregistrerings- og adgangskontrolsystemer, som allerede findes på mange diskoteker og natklubber.

Så vidt betænkningen.

Overordnet set er Danish Biometrics glad for at biometrien vinder frem og bliver anerkendt af kunderne som en troværdig teknologi, som kan finde anvendelse i en lang række sammenhænge. Det er imidlertid en vigtig mission for Danish Biometrics at formidle lødig information om biometriens muligheder samt at anbefale en ansvarsbevidst teknologianvendelse.

Det er væsentligt at forstå, at biometri ikke er en mirakelkur mod identitetstyveri, men en teknologiløsning, der i mange tilfælde kan indgå som et ekstra sikkerhedslag i et samlet systemarkitekturdesign (hardware/software/kommunikationskanaler), som er baseret på en risikoanalyse af alle konkrete omstændigheder. Et af de spørgsmål man altid bør stille sig ved brug af ID-teknologer er, hvorvidt det er nødvendigt at sikre en persons identitet, eller om det fuldt ud tilstrækkeligt alene at  kræve, at en person skal autentificeres. Biometri linker på en effektiv måde din krop til en ekstern applikation, men eftersom der er tale om en meget unik personsensitiv information, så bør brugeren så vidt muligt have fuld kontrol over sine egne biometriske data.

Betænkningens anbefaling af de eksisterende løsninger, som er baseret på en central database af fingeraftryk, er derfor ikke god nok. Når der nu findes modeller, som både sikrer natklubbernes behov og brugerens privacy-beskyttelse, hvorfor så ikke gøre brug af dem ? Jeg tror, at det skyldes udvalgets manglende indsigt i teknologiens muligheder. Om smart card-løsningen (eller alternativt brug af mobiltelefonens SIM-kort)  har jeg udtalt mig til ComputerWorld online i artiklen Fingeraftryk har intet at gøre i centrale databaser. Institut for Menneskerettigheder giver i sit høringssvar udtryk for lignende synspunkter med anbefaling af et såkaldt “gæstemicrochip-kort”.

Iøvrigt, hvorfor ikke også være en smule visionær ved allerede nu at lægge en strategi for et kommende dansk borgerservicekort med biometri ? Det vil jo være nærliggende at et sådant kort med specifikke applikationer/prædefinerede formål knyttet til specifikke ID-hybridverifikationsdata (biometriske pseudo-identiteter) kan finde anvendelse i en situation som den foreliggende. Staten kunne passende starte med at nedsætte en tværgående ministeriel taskforce, som kunne lade sig repræsentere i alle udvalg og kommissioner, hvor et borgerservicekort kunne tænkes at have relevans.

En helt anden ting er, at den praktiske betydning af et fælles register med fingeraftryk nok vil vise sig at være relativ begrænset, eftersom denne registrering kun er en af flere valgmuligheder. Hertil kommer at det er højst tvivlsomt om de personer,som har fået et restaurationsforbud i det hele taget vil lade sig registrere, når det alene er frivilligt. Det fremgår imidlertid helt klart af betænkningen, at implementeringen af MasterClub registreringssystemet i høj grad skulle virke som en præventiv og afskrækkende foranstaltning. Systemet vil derfor i realiteten fremover kunne udvikle sig til en identitetsdatabase for alle natklubgæster, hvorimod den mere privacyvenlige screeningsmodel med negativ-ID verifikation, der forudsætter obligatorisk indrulning af “bøllerne”, ikke kan realiseres. Set i det lys er der grund til at fastholde de principielle betænkligheder overfor betænkningens anbefalinger.