Μέχρι το τέλος του 2026, κάθε χώρα της ΕΕ θα είναι υποχρεωμένη από τον νόμο να διαθέτει στους πολίτες το ψηφιακή ταυτότητα της ΕΕ μέσω του Ευρωπαϊκού Πορτοφολιού Ψηφιακής Ταυτότητας. Η νέα εφαρμογή για smartphone συγκεντρώνει σε ένα σημείο κρατική ταυτότητα, άδεια οδήγησης, πτυχίο και άλλα επαληθευμένα έγγραφα, με στόχο να λειτουργεί και στις 27 χώρες της Ένωσης.
Ομάδες ψηφιακών δικαιωμάτων προειδοποιούν ότι η τεχνολογία και τα μέτρα ασφαλείας που προορίζονται για την προστασία της δεν είναι ακόμη έτοιμα, με αποτέλεσμα το πορτοφόλι να κινδυνεύει να μετατραπεί στο εργαλείο παρακολούθησης που είχε σχεδιαστεί να αποτρέψει. «Βρισκόμαστε ίσως στο 50-60% των τεχνικών προδιαγραφών που απαιτούνται για την κατασκευή αυτού του πορτοφολιού», λέει στο Euronews ο Thomas Lohninger, εκτελεστικός διευθυντής της αυστριακής οργάνωσης epicenter.works και μέλος του διοικητικού συμβουλίου της European Digital Rights (EDRi). «Το υπόλοιπο 40% δεν υπάρχει ακόμα. Δεν υπάρχει καθόλου».
Το πρόβλημα του honeypot
Η συγκέντρωση της ταυτότητας, των δεδομένων υγείας, της άδειας οδήγησης και των οικονομικών στοιχείων ενός ατόμου σε μία συσκευή αυξάνει το κόστος μιας μεμονωμένης αστοχίας ασφαλείας. Ένα κλεμμένο τηλέφωνο, μια κακόβουλη εφαρμογή ή μια παραβίαση στο cloud θα μπορούσε να εκθέσει τα πάντα ταυτόχρονα. Σε αντίθεση με έναν κωδικό πρόσβασης που έχει διαρρεύσει, ένα στοιχείο ταυτοποίησης που έχει παραβιαστεί φέρει κρυπτογραφική υπογραφή γνησιότητας, γεγονός που κάνει την κατάχρηση πολύ πιο καταστροφική.
«Αν βάζεις όλα τα αυγά σου σε ένα καλάθι, τότε ελπίζεις ότι αυτό το καλάθι δεν θα αποτύχει ποτέ», λέει ο Lohninger. «Φαντάσου αν αυτό το μικρό πορτοφόλι υποστεί εισβολή ή έχει διακοπή λειτουργίας για λίγες μόνο ώρες ή για μια εβδομάδα. Οι άνθρωποι θα έμεναν αποκλεισμένοι από τα κοινωνικά τους δίκτυα. Δεν θα μπορούσαν να χρησιμοποιήσουν τα μέσα μαζικής μεταφοράς. Η άδεια οδήγησής τους δεν θα ήταν πλέον στη διάθεσή τους».
Χαρακτηρίζει το πορτοφόλι ως κρίσιμη υποδομή που συνδέει τον δημόσιο και τον ιδιωτικό τομέα όπως δεν έχει ξαναγίνει στην ΕΕ, αλλά και ως στόχο όχι μόνο για κυβερνοεγκληματίες, αλλά και για κρατικούς παράγοντες.
Ο κανονισμός προβλέπει τεχνικά μέτρα προστασίας: κρυπτογραφικό υλικό ανθεκτικό σε παραβιάσεις για την αποθήκευση κλειδιών, διαπιστευτήρια συνδεδεμένα με συγκεκριμένη συσκευή ώστε να μην μπορούν να αντιγραφούν, έλεγχο ταυτότητας για κάθε οργανισμό που ζητά δεδομένα, καθώς και κανόνα που απαιτεί την ενημέρωση των χρηστών εντός 24 ωρών από την ανάκληση ενός διαπιστευτηρίου.
Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων επισημαίνει τα ασφαλή στοιχεία υλικού ως βασική προστασία από την κλοπή. Ωστόσο, η απώλεια ενός τηλεφώνου εξακολουθεί να σημαίνει αγώνα δρόμου για την ανάκτηση ενός πορτοφολιού πριν το εκμεταλλευτεί κάποιος εγκληματίας. Οι ελεγκτές της ΕΕ σημειώνουν ότι η ανάκτηση έχει δοκιμαστεί μόνο εν μέρει.
Big brother εκ σχεδιασμού
Η βασική δέσμευση του πορτοφολιού για την ιδιωτικότητα είναι η επιλεκτική αποκάλυψη: κάποιος που αποδεικνύει ότι είναι άνω των 18 ετών θα πρέπει να μπορεί να κοινοποιεί μόνο αυτό το γεγονός και όχι το όνομά του, τη διεύθυνσή του ή τον αριθμό ταυτότητάς του. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (EDPS) το αποκαλεί εξουσιοδότηση χωρίς ταυτοποίηση, προστασία από την παρακολούθηση και τη δημιουργία προφίλ που μια φυσική ταυτότητα δεν μπορεί να προσφέρει.
Ο Lohninger χαρακτηρίζει τον κίνδυνο υπερ-ταυτοποίηση. Η επαλήθευση της ταυτότητας κάποιου στο διαδίκτυο είναι σήμερα αργή και δαπανηρή· οι τράπεζες και οι πάροχοι κινητής τηλεφωνίας πληρώνουν για να την πραγματοποιήσουν, σύμφωνα με τους κανόνες κατά του ξεπλύματος χρήματος. Το πορτοφόλι θα μπορούσε να κάνει την ταυτοποίηση πολύ γρήγορη, φθηνή και ευρέως διαθέσιμη, προειδοποιεί. Αυτό δημιουργεί κίνητρο για την κατάργηση της ανωνυμίας που υπάρχει σήμερα στα κοινωνικά δίκτυα ή στις εγγραφές μέσω ηλεκτρονικού ταχυδρομείου.
Επισημαίνει επίσης πως το ίδιο πορτοφόλι θα μπορούσε να χρησιμοποιηθεί για φόρους, υγειονομική περίθαλψη, δημόσιες μεταφορές, τραπεζικές συναλλαγές και σύνδεση στο Facebook, με αποτέλεσμα τομείς της ζωής που προηγουμένως ήταν ξεχωριστοί να συνδεθούν μέσω ενός ενιαίου συστήματος. «Αυτοί οι τομείς της ζωής θα μπορούσαν να συνδεθούν», λέει. «Υπάρχει αυτός ο μεγάλος κίνδυνος ενός πανοπτικού συστήματος, όπου μπορείς πραγματικά να δεις τα πάντα από όλους».
Η EDRi έχει πιέσει για την καθιέρωση μιας νομικής αρχής που ονομάζεται μη παρατηρησιμότητα, ώστε να εμποδίζει τους παρόχους πορτοφολιών, τις κυβερνήσεις ή, ενδεχομένως, την Google, να βλέπουν τι κάνουν οι χρήστες μέσα στο σύστημα. Τα σχέδια κανόνων εφαρμογής, υποστηρίζει η EDRi, αποδυναμώνουν αυτή την προστασία, ενώ προωθούν υποχρεωτικούς βιομετρικούς ελέγχους προσώπου που δεν προβλέπονται στον αρχικό νόμο.
Η κρυπτογραφία δεν έχει ολοκληρωθεί στην ΕΕ
Μεγάλο μέρος της τεχνολογίας που αποσκοπεί στο να καταστήσει το πορτοφόλι ασφαλές και ταυτόχρονα να προστατεύει την ιδιωτικότητα δεν υπάρχει ακόμη, εξηγεί ο Lohninger. Οι αποδείξεις μηδενικής γνώσης, κρυπτογραφικές τεχνικές που επιτρέπουν σε κάποιον να αποδείξει ένα γεγονός, όπως ότι είναι άνω των 18 ετών, χωρίς να αποκαλύψει τα υποκείμενα δεδομένα, βρίσκονται στα όρια της κρυπτογραφικής επιστήμης.
«Υπάρχει ένα τρίγωνο μεταξύ ιδιωτικότητας, ασφάλειας και ευχρηστίας», επισημαίνει, σημειώνοντας πως είναι πολύ δύσκολο να επιτευχθούν και τα τρία στο 100%. Το πορτοφόλι σίγουρα θα κάνει κάποιες παραχωρήσεις σε αυτό το σημείο.
Αυτό αφήνει ανοιχτό το ερώτημα ποια παραχώρηση θα γίνει πρώτη. Ένα σύστημα πιστοποίησης μπορεί να είναι κρυπτογραφικά ασφαλές, με ισχυρά κλειδιά, έγκυρες υπογραφές και χωρίς προφανή παραβίαση, και παρ’ όλα αυτά να διαρρέει πληροφορίες για τη συμπεριφορά ενός ατόμου, αν το ίδιο αναγνωριστικό ή χαρακτηριστικό επαναχρησιμοποιείται σε διάφορες υπηρεσίες, επιτρέποντας στους επαληθευτές να συνδέσουν ξεχωριστές συναλλαγές με το ίδιο άτομο, ακόμη και χωρίς όνομα.
Ο διασυνοριακός αδύναμος κρίκος
Επειδή το πορτοφόλι βασίζεται στην αμοιβαία αναγνώριση, μια τράπεζα ή μια κρατική υπηρεσία σε μια χώρα πρέπει να εμπιστεύεται τους ελέγχους ταυτότητας που διενεργούνται σύμφωνα με τα πρότυπα εγγραφής, πιστοποίησης και ασφάλειας μιας άλλης χώρας. Ο Lohninger δεν αναμένει ότι τα περισσότερα εθνικά συστήματα θα είναι εξίσου ισχυρά μέχρι την προθεσμία. Ακόμη και χώρες που ξοδεύουν πολλά χρήματα για αυτό, όπως η Γαλλία και η Γερμανία, δεν είναι έτοιμες. «Δεν θα καταφέρουν να φτάσουν εντελώς μέχρι τον τερματισμό», επισημαίνει.
Αυτή η ανισότητα αποτελεί από μόνη της κίνδυνο για την ασφάλεια: ένα σύστημα που έχει σχεδιαστεί για 27 εφαρμογές που βασίζονται στην αμοιβαία εμπιστοσύνη είναι τόσο ισχυρό όσο η πιο αδύναμη εθνική εφαρμογή, η πιο αργή αντίδραση σε περιστατικά και η λιγότερο αυστηρή διαδικασία εγγραφής. Η συμβουλή του Lohninger είναι να επιδείξουμε προσοχή προς το παρόν: «Ας περιμένουμε και ας μην είμαστε από τους πρώτους που θα το υιοθετήσουν. Θέλω να γίνει ένας έλεγχος, μια ανεξάρτητη ακαδημαϊκή και κοινωνική έρευνα σχετικά με το τι μας προσφέρουν οι κυβερνήσεις, πριν υιοθετήσουμε αυτά τα συστήματα».
Γιατί αυξάνεται το διακύβευμα – Τι κάνει η Ελλάδα;
Η συζήτηση για την ασφάλεια εντείνεται, καθώς κυβερνήσεις σε όλη την Ευρώπη, συμπεριλαμβανομένων της Ελλάδας, της Γαλλίας, της Δανίας και της Αυστρίας, προωθούν νέους νόμους για την επαλήθευση της ηλικίας στα μέσα κοινωνικής δικτύωσης, ενώ σχετική ανακοίνωση σε επίπεδο ΕΕ έκανε η πρόεδρος της Ευρωπαϊκής Επιτροπής, Ούρσουλα φον ντερ Λάιεν.
Το πορτοφόλι προβάλλεται ως το εργαλείο επιβολής, συνδυάζοντας ένα σύστημα ταυτοποίησης υψηλής αξίας με, όπως το θέτει ο Λόχνινγκερ, τις πιο αμφίβολες εταιρείες με τις οποίες αλληλεπιδρούμε καθημερινά.
Για να παρακολουθεί πώς χρησιμοποιείται το σύστημα μόλις τεθεί σε λειτουργία, η epicenter.works δημιουργεί πλατφόρμα ανοιχτών δεδομένων με την ονομασία Who Identifies Me, σχεδιασμένη ώστε να επιτρέπει σε δημοσιογράφους και ομάδες της κοινωνίας των πολιτών να εντοπίζουν ποιες εταιρείες και συνοριακές υπηρεσίες ζητούν τα δεδομένα των πολιτών, μια λειτουργία εποπτείας που ο Lohninger θεωρεί απαραίτητη μόλις αρχίσουν να εμφανίζονται πραγματικά περιστατικά ασφαλείας.
Η εμπιστοσύνη του κοινού είναι πραγματικά ο πιο σπάνιος πόρος σε όλη αυτή την υπόθεση, υπογραμμίζει, σημειώνοντας πως έχουμε δει σε διάφορες περιοχές του κόσμου ότι, όταν αυτά τα μεγάλα κυβερνητικά συστήματα ψηφιακής ταυτότητας τίθενται σε λειτουργία και παρουσιάζουν προβλήματα, οι άνθρωποι απομακρύνονται.
