Το Harvard δίνει τη λύση για την ασφαλή αποθήκευση των βιομετρικών δεδομένων μας

Σύνοψη

• Το Πανεπιστήμιο του Harvard αναπτύσσει ένα open-source ψηφιακό πορτοφόλι για την ασφαλή διαχείριση της ψηφιακής ταυτότητας.
• Όλα τα βιομετρικά δεδομένα (δακτυλικά αποτυπώματα, σάρωση προσώπου) αποθηκεύονται απευθείας στο hardware του smartphone του χρήστη.
• Εξαλείφεται η εξάρτηση από κεντρικούς διακομιστές (servers), μειώνοντας πρακτικά στο μηδέν τον κίνδυνο μαζικών διαρροών (data breaches).
• Η αρχιτεκτονική βασίζεται στο μοντέλο της Αποκεντρωμένης Ταυτότητας (Self-Sovereign Identity), παραχωρώντας τον πλήρη έλεγχο της πληροφορίας στον κάτοχο της συσκευής.

Η διαχείριση της ψηφιακής ταυτότητας και η προστασία των προσωπικών δεδομένων αποτελούν τους βασικούς πυλώνες του σύγχρονου διαδικτύου. Καθώς κυβερνήσεις και πολυεθνικές εταιρείες προωθούν ψηφιακά πορτοφόλια για την αποθήκευση ταυτοτήτων, διπλωμάτων οδήγησης και τραπεζικών καρτών, το ζήτημα της συγκέντρωσης αυτών των ευαίσθητων δεδομένων σε κεντρικούς servers προκαλεί εύλογες ανησυχίες. 

Ερευνητές από το Πανεπιστήμιο του Harvard έρχονται να προτείνουν μια ριζικά διαφορετική τεχνολογική προσέγγιση, παρουσιάζοντας ένα open-source ψηφιακό πορτοφόλι που δίνει προτεραιότητα στην ιδιωτικότητα μέσω της αποκλειστικά τοπικής αποθήκευσης.

Το project Advanced Digital Identity του Berkman Klein Center στο Harvard εισάγει ένα μοντέλο το οποίο καταργεί τη συλλογή βιομετρικών δεδομένων σε cloud υποδομές. Αντίθετα, αξιοποιεί τις δυνατότητες των σύγχρονων smartphones για να διατηρήσει την κρυπτογραφημένη πληροφορία εντός της ίδιας της συσκευής, προσφέροντας έναν εναλλακτικό, ασφαλέστερο δρόμο για την ψηφιακή ταυτοποίηση.

Πώς λειτουργεί το ψηφιακό πορτοφόλι του Harvard

Το νέο ψηφιακό πορτοφόλι του Harvard λειτουργεί αποθηκεύοντας όλα τα ευαίσθητα βιομετρικά και προσωπικά δεδομένα απευθείας στην τοπική μνήμη της συσκευής (συνήθως στο Secure Enclave των smartphones), χρησιμοποιώντας ισχυρή κρυπτογραφία. Κατά τη διαδικασία ταυτοποίησης, η εφαρμογή δεν στέλνει τα δεδομένα σε κάποιον server για επιβεβαίωση, αλλά επεξεργάζεται το αίτημα τοπικά, δημιουργώντας μια μαθηματική απόδειξη επαλήθευσης, προστατεύοντας πλήρως την ιδιωτικότητα του χρήστη.

Αυτή η προσέγγιση αλλάζει άρδην τα τεχνικά δεδομένα. Στα παραδοσιακά συστήματα ταυτοποίησης, οι οργανισμοί διατηρούν τεράστιες βάσεις δεδομένων με τα στοιχεία εκατομμυρίων πολιτών ή πελατών. Όταν ένας χρήστης επιχειρεί να αποκτήσει πρόσβαση σε μια υπηρεσία, η συσκευή του επικοινωνεί με τον κεντρικό server, ο οποίος συγκρίνει τα βιομετρικά δείγματα ή τα διαπιστευτήρια. Αυτές οι τεράστιες βάσεις δεδομένων αποτελούν πρωταρχικούς στόχους για επιθέσεις hacking. Η λύση του Harvard αποδομεί αυτό το μοντέλο. Εφόσον τα δεδομένα δεν εγκαταλείπουν ποτέ το τηλέφωνο, οι μαζικές διαρροές καθίστανται πρακτικά αδύνατες. Ένας επιτιθέμενος θα έπρεπε να παραβιάσει μεμονωμένα κάθε ξεχωριστή συσκευή, μια διαδικασία εξαιρετικά χρονοβόρα και ασύμφορη.

Η φιλοσοφία του Open-Source και το Self-Sovereign Identity

Η απόφαση να κυκλοφορήσει το λογισμικό ως ανοιχτού κώδικα (open-source) φέρει τεράστια τεχνική βαρύτητα. Ο κώδικας είναι διαθέσιμος για επιθεώρηση από την παγκόσμια κοινότητα προγραμματιστών και ειδικών κυβερνοασφάλειας. Αυτή η διαφάνεια αποτρέπει την ενσωμάτωση κρυφών backdoors και εξασφαλίζει ότι το σύστημα λειτουργεί ακριβώς όπως υπόσχεται, χωρίς να συλλέγει σιωπηλά δεδομένα παρακολούθησης.

Η αρχιτεκτονική του πορτοφολιού ευθυγραμμίζεται με τις αρχές της “Κυρίαρχης Ταυτότητας” (Self-Sovereign Identity – SSI). Στο μοντέλο SSI, το άτομο κατέχει και ελέγχει τα διαπιστευτήριά του, χωρίς να βασίζεται σε μεσάζοντες ή μεγάλες τεχνολογικές εταιρείες για να αποδείξει ποιο είναι. Χρησιμοποιώντας τεχνολογίες όπως τα Zero-Knowledge Proofs, ο χρήστης μπορεί να αποδείξει, για παράδειγμα, ότι είναι άνω των 18 ετών, χωρίς να αποκαλύψει την ακριβή ημερομηνία γέννησής του στον πάροχο της υπηρεσίας.

Η υλοποίηση αυτού του εγχειρήματος κατέστη δυνατή χάρη στην εξέλιξη του hardware των κινητών τηλεφώνων. Συσκευές με λειτουργικό iOS και Android διαθέτουν πλέον ειδικά, απομονωμένα τμήματα στους επεξεργαστές τους (όπως το Secure Enclave της Apple ή το Titan M της Google). Αυτά τα υποσυστήματα είναι σχεδιασμένα ειδικά για την αποθήκευση κρυπτογραφικών κλειδιών και βιομετρικών δεδομένων, όντας πρακτικά απροσπέλαστα από το υπόλοιπο λειτουργικό σύστημα και τις εγκατεστημένες εφαρμογές. Η εφαρμογή του Harvard “πατάει” πάνω σε αυτές τις υφιστάμενες δομές hardware, προσφέροντας ένα επιπλέον επίπεδο ασφαλείας σε επίπεδο λογισμικού (application layer).

Προεκτάσεις για την ευρωπαϊκή και ελληνική αγορά

Στο πλαίσιο της Ευρωπαϊκής Ένωσης, όπου ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) επιβάλλει αυστηρούς κανόνες στη διαχείριση προσωπικών πληροφοριών, λύσεις όπως αυτή του Harvard αποκτούν ιδιαίτερη βαρύτητα. Η Ευρωπαϊκή Επιτροπή προωθεί το δικό της European Digital Identity Wallet (EUDI), και η συζήτηση γύρω από την τοπική έναντι της κεντρικής αποθήκευσης βρίσκεται στο επίκεντρο.

Στην Ελλάδα, η ψηφιοποίηση υπηρεσιών μέσω του gov.gr wallet έχει σημειώσει ραγδαία αποδοχή, συγκεντρώνοντας ταυτότητες και διπλώματα στα smartphones των πολιτών. Ωστόσο, η ενσωμάτωση ανοιχτών προτύπων και αρχιτεκτονικών που ευνοούν την τοπική κρυπτογράφηση, όπως προτείνει το Harvard, θα μπορούσε να αποτελέσει τον επόμενο σταθμό για την περαιτέρω θωράκιση των ελληνικών κρατικών εφαρμογών. Αυτό όχι μόνο θα αύξανε την εμπιστοσύνη των πολιτών προς τις ψηφιακές υποδομές του κράτους, αλλά θα καθιστούσε το σύστημα πολύ πιο ανθεκτικό σε ενδεχόμενες κυβερνοεπιθέσεις κρατικής κλίμακας.

*Μπορείτε πλέον να προσθέσετε το Techgear.gr ως Προτιμώμενη Πηγή ενημέρωσης για τις αναζητήσεις σας στο Google Search!