Tag-arkiv: privacy

okt 11 2009

Biometri er noget du har

Det fremføres ofte i debatten, at biometri er offentlig tilgængelig information. Vi aflægger vore fingeraftryk alle vegne (på ølglas, dørhåndtag osv.) og vore ansigter afbildes på fotos, der lægges på internettet endda uden at vi selv ved af det.

Men denne uafvendelige kendsgerning udelukker ikke, at biometriske kendetegn er og bliver unikke. De er bare ikke hemmelige. Udfordringen for leverandørernes forskning- og udviklingsafdelinger består i, at gøre dem hemmelige. Og hvorfor det ? Fordi en kompromitteret biometri ikke kan erstattes. Du kan ganske vist designe et biometrisk system med substituering af op til ni fingre og en iris (alle dine fingeraftryk er forskellige og selv din venstre iris er forskellig fra din højre). Men en forfalsket biometri er tabt for altid.   

Det er også en kendt sag, at især fingeraftryksbiometri kan hackes eller spoofes. Hvorledes dette kan lade sig gøre har den tyske Chaos Computer Club bl.a. givet tips om  i en videosekvens. For fuldstændighedens skyld skal det imidlertid anføres, at disse angreb ofte gennemføres i laboratorier, på baggrund af en forud indhøstet indgående viden om det biometriske system og hvor positive tests ofte først lykkes efter mange forsøg. Men selv om det i den virkelige verden vil være endog meget svært at gennemføre en hacking, så udelukker det dog ikke, at det principielt er muligt.   

Derfor tages disse eksempler alvorligt og er faktisk med til løbende at forbedre teknologien. Hidtil er dette sket ved at raffinere sensorerne (f.eks. med anvendelse af multispektral billedanalyse), at fusionere flere forskellige biometriske modaliteter (f.eks. fingeraftryk og iris), at supplere med PIN-koder mm.  

Når det er sagt, så hersker der heller ikke nogen tvivl om, at passwords (eller noget du ved) og smartcards alene eller i kombination heller ikke giver sikker autentificering, eftersom de enten kan glemmes eller tabes og ydermere ikke effektivt kan bindes til en person, hvorved systemet ikke kan differentiere mellem en legitim bruger og angriber.  

Når nu biometri ikke er hemmelig,hvorfor så ikke dels kryptere disse data og derudover benytte biometri som en krypteringsnøgle  ?  At kryptere den biometriske template i en database kan lade sig gøre på sædvanlig vis og vil forbedre systemets security, men spørgsmålet om privacy er uløst, i de tilfælde hvor kontrollen med krypteringsnøglerne og dermed af de biometriske data er hos ejeren af en centraldatabase (i modsætning til en lokaldatabase). Det andet spørgsmål kan imidlertid ikke umiddelbart lade sig gøre, fordi de biometriske data (templates) er forskellige af natur. Hvert nyt realtime fingeraftryk er forskelligt og konventionel kryptering tolererer ikke en eneste bitfejl.  Eftersom traditionel hashing kryptering indtil videre har vist sig for kompliceret koncentrerer nyere forskning sig i stedet for at udvikle metoder til at binde en krypteringsnøgle til de biometriske data, således at nøglen hele tiden kan regenereres. Forskningen kaldes for biometrisk kryptering og defineres som en proces, der på en sikker måde binder (ikke indlejrer) en PIN eller en krypteringsnøgle til biometrisk data, så hverken nøglen eller de biometriske data kan udledes fra den gemte template. Nøglen kan kun dekrypteres med den registrerede persons realtime biometriske data, f.eks. et fingeraftryk. Hermed kan man dekryptere en PIN, et password eller en alfanumerisk streng for adskillige applikationer.

Det vil føre for vidt at komme nærmere ind på de forskellige modeller for biometrisk kryptering i denne omgang, men temaet vil blive taget op ved en senere lejlighed. Nogle hovedprincipper kan dog anføres:

 •  brug af biometriske eksemplarer (f.eks. friske fingeraftryk) og biometriske templates anvendes kun for at danne samt verificere bestemte pseudo-identiteter (som ikke må indeholde biometriske data) og det biometriske eksemplar så vel som den biometriske template må ikke gemmes overhovedet.
• undgå at biometriske data eller andre data kan benyttes til at udlede en bestemt persons identitet 
• undgå at biometriske data eller andre data kan bruges til at linke personer (datasubjekter) på tværs af databaser (function creep)
 • begrænse processen af persondata til et absolut minimum
• slette det biometriske eksemplar og den biometriske template (rodidentitet) så hurtigt som muligt efter processen, såfremt disse ikke er nødvendige til brug for processens formål
• udelukke rekonstruktion af det biometriske eksemplar fra den biometriske template (uden reverse engineering)
• gøre brug af lokal database samt verifikationsfunktion og gemme persondata på en device under kontrol af datasubjektet (match-on-card eller system-on-card)
• undgå at nogen yderligere persondata er direkte linket til de biometriske data (til brug for den midlertidige proces), såfremt dette ikke er nødvendigt for processens formål
• informere brugeren (datasubjektet) om systemets formål, funktion og proces 
• såfremt det kræves, at enhver bestemt pseudoidentitet genereres fra et nyt (frisk) biometrisk eksemplar med henblik på at øge gennemsigtighed
• generering af forskellige pseudoidentiteter, som til enhver tid kan tilbagekaldes af datasubjektet, til forskellige applikationer

Lad os forestille os et scenarie med brug af en biometrisk krypteringsløsning i forbindelse med eksempelvis receptudskrivning.

1. Patienten (datasubjektet) besøger sin læge, der skriver en recept. Recepten sendes til patientens indbakke på den landsdækkende receptserver.
2. Derhjemme, bruger patienten sin personlige computer til at få adgang til receptserveren. Via en sikker forbindelse, autentificerer receptserveren sig overfor patientens smartcard, og som ved denne autentificering ved, hvilken indbakke, der skal åbnes. I indbakken er gemt de yderligere data, der kræves for at udføre hybridverifikationen. Patientens realtime biometriske data bruges sammen med de supplerende oplysninger til at oprette en midlertidig pseudo-identitet (PI1*). Denne bliver herefter sendt til den centrale applikation og sammenlignes med en tidligere (ved registreringen) gemt pseudo-identitet (PI1). Eftersom der er en match får patienten adgang.
3. Herefter finder patienten den pågældende recept i indbakken og tildeler apoteket adgang til den. Dette sker ved at etablere et link mellem recepten og den pseudo-identitet, som patienten gør brug af på apoteket.
4. På apoteket bruger patienten sit  personlige smart card i forbindelse med apotekets terminal ( indstiks- eller berøringsfri læser). Terminalen autentificerer sig selv og får adgang til sin indbakke på patientens smartcard, hvor yderligere data til brug for verifikationsprocessen er gemt. Ved at bruge patientens realtime biometriske data (via en scanner på f.eks. selve patientens smartcard) sammen med de supplerende oplysninger, kreeres en  midlertidig pseudo-identitet (PI2*), der sammenlignes med den oprindelige (PI2), der er gemt på patientens smartcard ved registreringen. Apoteket’s system sammenligner de to pseudo-identiteter, og eftersom der er et match, kan systemet nu bruge pseudo-identiteten til at søge efter linkede recepter.
5. Den recept, der er linket til patientens ”apotek-pseudo-identitet” bliver fundet og patienten kan få sin medicin. Apoteket opdaterer recepten med bemærkning om hvilken medicin der er blevet udleveret.

Biometrisk kryptering kan således både sikre security og privacy. Sådan som de biometriske data indgår i processen ved kun at blive anvendt ved registreringen af en person, hvorefter de transformeres til pseudoidentiteter, kan man faktisk ikke mere definere biometri som “noget du er”, men mere som “noget du har”, nemlig unikke pseudoidentiteter. Det komplette koncept kan i øvrigt også indeholde “noget du ved” (hybridverifikation), hvorefter der sker en effektiv integration af alle hidtil kendte autentifiseringsmetoder. Man kan med rette tale om den højeste grad af en  privacy enhancing technology-løsning. 

Biometrisk kryptering bør være en obligatorisk feature for et fremtidigt dansk borgerservicekort.

I undermenuen biometrisk kryptering kan man finde yderligere information om biometrisk kryptering.

sep 12 2009

Når teknologiforståelsen mangler

I sommeren 2008 nedsatte justitsministeren et sagkyndigt udvalg med repræsentation fra berørte myndigheder og organisationer, herunder restaurationsbranchen, som skulle foretage en samlet gennemgang og vurdering af, hvordan restaurationer mv. sikres adgang til identitets-oplysninger på personer med restaurationsforbud, uden at en sådan adgang til personfølsomme oplysninger om enkeltpersoner sætter grundlæggende hensyn til persondatabeskyttelsen over styr.

Udvalget har netop afgivet sin betænkning om restaurationers adgang til identitetsoplysninger på personer med restaurationsforbud og den har special interesse for Danish Biometrics, fordi udvalget bl.a. har
overvejet muligheden for at indføre et centralt register baseret på biometrisk adgangskontrol med udgangspunkt i en fingeraftryks-baseret løsning.

Udvalget afviser i sin konklusion et offentligt fælles register baseret på elektroniske fingeraftryk som identifikation, men anbefaler til gengæld et fælles privat register inden for persondatalovgivningens rammer, fordi et sådant register udover navn og CPR-nummer på personer med restaurationsforbud med gæsternes samtykke også vil kunne registrere fingeraftryk i form af templates og andre identitetsoplysninger, som kan anvendes til at sikre en hurtig, effektiv og ensartet adgangskontrol.

Udvalget baserer i høj grad sin anbefaling på, at Datatilsynet allerede har godkendt en løsning af natklubben Crazy Daisy, se vedrørende adgangskontrol på diskoteker. Datatilsynet har i sin afgørelse bl.a. forudsat, at Crazy Daisy med gæstens udtrykkelige samtykke kan behandle oplysninger i form af fingeraftryk (template) og billede og at der ikke gemmes billeder, fingeraftryk (templates) og personnumre eller følsomme oplysninger om strafbare forhold og narkotikamisbrug, hvis samtykket tilbagekaldes. Endvidere fremgår det af afgørelsen, at hvis gæsten tilbagekalder sit samtykke skal Crazy Daisy slette fingeraftrykket (templaten) og billedet.

I korthed går det såkaldte MasterClub system ud på, at gæsten – første gang vedkommende indfinder sig i restaurationen – lader sig registrere i en elektronisk database. Restaurationen bestemmer selv, hvilke identitetsoplysninger den vil registrere. Systemet understøtter således både brug af webkamera, fingeraftryks-læser og magnetkortlæser. Typisk registreres både gæstens navn, adresse, CPR-nummer og fingeraftryk. Endvidere optages der et fotografi af den pågældende.

Det vil efter udvalgets opfattelse være nærliggende at lade branchen selv stå for oprettelsen og driften af et sådant fælles privat register. Overordnet set vil systemet fungere som en forenklet udgave af de gæste-registreringssystemer, som allerede anvendes flere steder i diskoteksbranchen, og som branchen generelt har gode erfaringer med. I modsætning til de eksisterende systemer vil det foreslåede register dog være lands-dækkende og tilgængeligt for alle restaurationsvirksomheder, der ønsker det.

Registret bør så vidt muligt indrettes, så det er kompatibelt med de eksisterende gæsteregistrerings- og adgangskontrolsystemer, som allerede findes på mange diskoteker og natklubber.

Så vidt betænkningen.

Overordnet set er Danish Biometrics glad for at biometrien vinder frem og bliver anerkendt af kunderne som en troværdig teknologi, som kan finde anvendelse i en lang række sammenhænge. Det er imidlertid en vigtig mission for Danish Biometrics at formidle lødig information om biometriens muligheder samt at anbefale en ansvarsbevidst teknologianvendelse.

Det er væsentligt at forstå, at biometri ikke er en mirakelkur mod identitetstyveri, men en teknologiløsning, der i mange tilfælde kan indgå som et ekstra sikkerhedslag i et samlet systemarkitekturdesign (hardware/software/kommunikationskanaler), som er baseret på en risikoanalyse af alle konkrete omstændigheder. Et af de spørgsmål man altid bør stille sig ved brug af ID-teknologer er, hvorvidt det er nødvendigt at sikre en persons identitet, eller om det fuldt ud tilstrækkeligt alene at  kræve, at en person skal autentificeres. Biometri linker på en effektiv måde din krop til en ekstern applikation, men eftersom der er tale om en meget unik personsensitiv information, så bør brugeren så vidt muligt have fuld kontrol over sine egne biometriske data.

Betænkningens anbefaling af de eksisterende løsninger, som er baseret på en central database af fingeraftryk, er derfor ikke god nok. Når der nu findes modeller, som både sikrer natklubbernes behov og brugerens privacy-beskyttelse, hvorfor så ikke gøre brug af dem ? Jeg tror, at det skyldes udvalgets manglende indsigt i teknologiens muligheder. Om smart card-løsningen (eller alternativt brug af mobiltelefonens SIM-kort)  har jeg udtalt mig til ComputerWorld online i artiklen Fingeraftryk har intet at gøre i centrale databaser. Institut for Menneskerettigheder giver i sit høringssvar udtryk for lignende synspunkter med anbefaling af et såkaldt “gæstemicrochip-kort”.

Iøvrigt, hvorfor ikke også være en smule visionær ved allerede nu at lægge en strategi for et kommende dansk borgerservicekort med biometri ? Det vil jo være nærliggende at et sådant kort med specifikke applikationer/prædefinerede formål knyttet til specifikke ID-hybridverifikationsdata (biometriske pseudo-identiteter) kan finde anvendelse i en situation som den foreliggende. Staten kunne passende starte med at nedsætte en tværgående ministeriel taskforce, som kunne lade sig repræsentere i alle udvalg og kommissioner, hvor et borgerservicekort kunne tænkes at have relevans.

En helt anden ting er, at den praktiske betydning af et fælles register med fingeraftryk nok vil vise sig at være relativ begrænset, eftersom denne registrering kun er en af flere valgmuligheder. Hertil kommer at det er højst tvivlsomt om de personer,som har fået et restaurationsforbud i det hele taget vil lade sig registrere, når det alene er frivilligt. Det fremgår imidlertid helt klart af betænkningen, at implementeringen af MasterClub registreringssystemet i høj grad skulle virke som en præventiv og afskrækkende foranstaltning. Systemet vil derfor i realiteten fremover kunne udvikle sig til en identitetsdatabase for alle natklubgæster, hvorimod den mere privacyvenlige screeningsmodel med negativ-ID verifikation, der forudsætter obligatorisk indrulning af “bøllerne”, ikke kan realiseres. Set i det lys er der grund til at fastholde de principielle betænkligheder overfor betænkningens anbefalinger.

sep 4 2009

Danish Biometrics er blevet medlem af Stork Industry Group

Stork, der er etableret i maj 2008, er et rammeprogram for konkurrenceevne og innovation, som medfinansieres af EU og  består af 29 medlemmer, som omfatter regeringer, forskningsinstitutioner samt private organisationer.

Stork tager sigte på at gennemføre et EU-dækkende interoperabelt system til anerkendelse af Eid og autentifikation, der vil gøre det muligt for virksomheder, borgere og offentlige ansatte at bruge deres nationale elektroniske identiteter i enhver medlemsstat.

Konsortiet vil også genmemføre grænseoverskridende piloter om eidentitets tjenester og lære af praksis om, hvordan sådanne tjenester rulles ud samt erfare hvilke fordele og udfordringer et EU interoperabilitetssystem til anerkendelse af eID vil bringe.

STORK´s interoperable løsning til elektronisk identifikation (eID) er baseret på en distribueret arkitektur, der vil bane vejen for fuld integration af EU’s e-tjenester under hensyntagen til de specifikationer og infrastrukturer, der allerede eksisterer i EU’s medlemsstater. Den løsning, der skal udvikles skal være robust, gennemsigtig og sikker og skalerbar, og bør gennemføres på en sådan måde, at den er bæredygtig efter pilotprojektet.

Projektet vil:
Udvikle fælles regler og specifikationer for genkendelse af eIDs på tværs af nationale grænser;
Gennemføre tests, i real life miljøer, af sikker og brugervenlige eID-løsninger for borgere og virksomheder;
Interaktion med andre EU-initiativer for at maksimere nytteværdien af eID-tjenester.

Det vil blive gjort ved at forberede og gennemføre flere piloter med tjenester, som vil have stor potentiel virkning og som er tilstrækkelig sikker, ved at gøre brug af åbne standarder, hvor det er muligt og under hensyntagen til beskyttelse af personoplysninger.

Piloterne vil teste den fælles specifikation for eID for adskillelige applikationer, der har en væsentlig indvirkning på eGovernment i hele Europa:
En demonstrator, der viser, at grænseoverskridende elektroniske tjenester kan fungere i en række medlemsstater. Applikationerne omfatter nationale portaler fra Østrig (help.gv.at), Estland (eesti.ee), Tyskland (Mein-service-BW), Portugal (portaldocidadao.pt) og Storbritanien, en regional portal fra Catalonien i Spanien og en specifik service for fælles aktiviteter for at arbejde i Belgien (limosa.be)
 
Saferchart pilotten vil bygge en platform med et sikkert online-miljø, hvor mennesker kan kommunikere online ved brug af deres eIDs og demonstrerer dets anvendelse i et omfattende pilotprojekt.

Eid eID Student Mobility pilot vil facilitere studenters mobilitet på tværs af Europa fra et universitet til et andet i en række medlemsstater. Dette vil især gøre det muligt for udenlandske studerende at få adgang til alle on line services, der tilbydes af et bestemt universitet og som gør brug af deres nationale eID-kort til eIdentification eller digital signatur.
 
eID Electronic delivery pilot vil demonstrere grænseoverskridende elektronisk levering baseret på den eksisterende indenlandske infrastruktur. Denne levering er afgørende for eGovernment med henblik på at indgå elektroniske transaktionsprocesser elektronisk herunder som anmodet af EUs service direktiv at være i stand til at gennemføre administrative procedurer fuldt elektronisk.

Change of Address for EU citizens pilot har til formål at teste brugen af eIDauthentication til støtte for den elektroniske proces for adresseændring af EU-borgere, der flytter til andre medlemsstater. Eftersom denne tjeneste har stor indflydelse på borgernes mobilitet, er den omfattet af de 20 basale serviceydelser for EU-Kommissionens i2010 eGOV handlingsplan.

For yderligere oplysning om Stork tjek: www.eid-stork.eu.

Som de første repræsenterer Danish Biometrics danske branche-interesser i Stork og med medlemskabet ser Danish Biometrics muligheder for at være med i en vidensformidling og for deltagelse i de forskellige piloter om eID og eGovernment. Samarbejdet vil være værdigfuldt som en del af processen for et dansk borgerservicekort, som forventes at blive indført indenfor de nærmest følgende år.

aug 19 2006

Danish Biometrics er blevet medlem af IAPP

IAPP – International Association of Privacy Professionals – er verdens største privacy organisation og repræsenterer over 2600 privacy professionelle i private og offentlige virksomheder og universiteter fra 23 lande. IAPP kan tilbyde den mest omfattende privacy viden og ressourcer med bl.a. KnowledgeNet netværk, daglig privacy nyhedstjeneste, konferencer samt et udviklet ”Certified Information Privacy Professional” akkreditiv program.

IAPP´s mission er at skabe et forum for diskussion og debat om emner med henblik på udvikling og vedligeholdelse af privacy programmer og policies i virksomheder.

Blandt medlemmerne af IAPP tæller American Express, Bank of America, Deloitte, Eli Lilly, General Electric, Hewlett-Packard Company, IBM, Intel, KPMG, Manpower, Marriott, Microsoft, Pfizer, Sun Microsystems, Symantec, T- Mobile, University of Pennsylvania, Wallmart samt Wells Fargo Co.

Privacy er et komplekst begreb som ikke relaterer sig til vare-tagelsen af en enkelt interesse, men har derimod adskillige dimensioner. I bred forstand kan privacy betragtes som retten til personlig integritet og selvbestemmelse.

Biometriske løsninger og produkter skal efter Danish Biometrics opfattelse leve op til meget høje krav til privacy i sammenhæng med etiske og sociale aspekter. Kun herved kan teknologien skabe den tryghed og opnå den tillid i samfundet og hos hvert enkelt individ som er en forudsætning for en hensigtsmæssig implementering.

Danish Biometrics ser det derfor som ikke alene nødvendigt men også gavnligt at være med i netværk og fora med henblik på at deltage i og præge debatten om privacy. Men derudover ønsker Danish Biometrics også at være initiativtager til diverse aktiviteter og projekter med det formål at udvikle specifikke privacy løsninger med relation til biometri.

Det er derfor oplagt for Danish Biometrics at kunne tilslutte sig IAPP og konsortiet ser med begejstring frem til et meget spændende og frugtbart samarbejde med IAPP, som med sin verdensomspændende organisation og store kapacitet, vil kunne styrke Danish Biometrics privacy profil.