Obowiązkowa weryfikacja wieku w internecie ma zwiększyć bezpieczeństwo dzieci i młodzieży. Jednak systemy pozwalające ustalić, kto korzysta z określonych usług, mogą jednocześnie stworzyć poważne zagrożenia dla prywatności milionów użytkowników. Co stanie się, jeśli historię odwiedzanych stron, wyszukiwane informacje i aktywność w mediach społecznościowych będzie można powiązać z rzeczywistą tożsamością? O wyzwaniach związanych z weryfikacją wieku, ochronie danych i technologiach, które mogą pomóc zachować prywatność, rozmawiamy z Markiem Nadstawnym, prezesem Kompanii Informatycznej.
Coraz częściej mówi się o obowiązkowej weryfikacji wieku w internecie. Czy rozwiązanie, które ma chronić dzieci i młodzież, może jednocześnie zagrażać prywatności pozostałych użytkowników?
Marek Nadstawny, prezes Kompanii Informatycznej: Zdecydowanie trzeba brać pod uwagę takie ryzyko. Projektując systemy weryfikacji wieku, musimy pamiętać, że każde dodatkowe przetwarzanie danych tworzy nowy obszar zagrożeń. Rozwiązanie, które ma chronić użytkowników, nie powinno jednocześnie narażać ich na utratę prywatności.
Dlatego kwestie bezpieczeństwa informacji należy uwzględniać już na etapie projektowania architektury systemu, a nie dopiero po jego uruchomieniu. Istotne jest nie tylko to, czy mechanizm skutecznie potwierdza wiek, ale również to, jakie dane zbiera, kto ma do nich dostęp i jak długo są przechowywane.
Jakie pytania powinniśmy sobie zadać, zanim zdecydujemy się na wprowadzenie takiego systemu?
Przede wszystkim należy ustalić, kto będzie przetwarzał dane użytkowników, gdzie będą one przechowywane i do czego mogą zostać wykorzystane. Musimy też sprawdzić, czy do potwierdzenia wieku rzeczywiście potrzebne jest poznanie pełnej tożsamości danej osoby.
To bardzo ważne rozróżnienie. Można stworzyć system, który przekazuje platformie internetowej wyłącznie informację, że użytkownik spełnia określone kryterium wiekowe. Można też zbudować rozwiązanie, w którym usługodawca otrzymuje znacznie szerszy zakres danych. Z perspektywy prywatności konsekwencje tych dwóch podejść będą zupełnie inne.
Wśród możliwych metod weryfikacji wieku wymienia się między innymi Profil Zaufany, mObywatel czy bankowość elektroniczną. Czy wykorzystanie istniejących narzędzi identyfikacji elektronicznej to dobry kierunek?
Takie rozwiązania mogą wiarygodnie potwierdzać określone informacje o użytkowniku, ale trzeba dokładnie przemyśleć sposób ich wykorzystania. Podstawowe pytanie brzmi: czy platforma internetowa rzeczywiście musi wiedzieć, kim jest użytkownik, skoro do podjęcia decyzji o przyznaniu dostępu wystarczy informacja o spełnieniu kryterium wiekowego?
Kluczowe jest oddzielenie procesu potwierdzania uprawnień od procesu identyfikacji użytkownika. Jeżeli dana usługa musi jedynie ustalić, czy osoba jest pełnoletnia, przekazywanie jej imienia, nazwiska czy dokładnej daty urodzenia jest nadmiarowe.
Im mniej informacji trafia do usługodawcy, tym mniejsze mogą być konsekwencje ich nieuprawnionego ujawnienia. Dlatego warto dążyć do modelu, w którym serwis otrzymuje jedynie potwierdzenie spełnienia wymaganego warunku, a nie pełne dane identyfikacyjne.
Co może się wydarzyć, jeśli platformy zaczną gromadzić informacje pozwalające jednoznacznie powiązać aktywność w internecie z konkretną osobą?
Wtedy pojawia się ryzyko tworzenia bardzo szczegółowych profili użytkowników. Pojedyncza informacja o odwiedzeniu konkretnej strony nie zawsze wydaje się szczególnie wrażliwa. Jednak zestawienie wielu takich danych może ujawnić bardzo dużo na temat życia prywatnego.
Wyszukiwanie porad medycznych, korzystanie z forów dotyczących problemów rodzinnych, zainteresowanie określonymi produktami czy aktywność w mediach społecznościowych mogą pozwalać na odtworzenie indywidualnych potrzeb, przekonań i zachowań.
W cyberbezpieczeństwie istotne znaczenie ma możliwość korelowania informacji. Dane, które osobno mają niewielką wartość, po połączeniu mogą ujawniać bardzo dużo o konkretnej osobie. To właśnie dlatego trzeba zwracać uwagę nie tylko na pojedyncze informacje, lecz także na możliwość ich łączenia z różnych źródeł.
Jak takie szczegółowe profile mogą zostać wykorzystane przez osoby o złych intencjach?
Mogą posłużyć na przykład do przygotowania zaawansowanych ataków socjotechnicznych. Jeśli przestępca zna zainteresowania swojej ofiary, jej problemy czy usługi, z których korzysta, może przygotować znacznie bardziej wiarygodną wiadomość phishingową.
Łatwiej wtedy podszyć się pod instytucję, firmę lub osobę, którą użytkownik zna. W skrajnych przypadkach zgromadzone informacje mogą zostać wykorzystane do szantażu. Ryzyko nie ogranicza się więc do samego wycieku danych. Problemem jest również możliwość ich wykorzystania do manipulowania ludźmi.
Trzeba pamiętać także o profilowaniu użytkowników i wykorzystywaniu informacji o nich w sposób wykraczający poza pierwotny cel ich pozyskania. Dlatego już na początku należy zastanowić się, czy tworzenie tak rozbudowanych zbiorów danych jest rzeczywiście konieczne.
Jednym z rozważanych rozwiązań jest centralny system weryfikacji wieku. Czy może on poprawić bezpieczeństwo, czy raczej stworzy kolejne zagrożenie?
Centralizacja ma zarówno zalety, jak i wady. Z jednej strony może uprościć zarządzanie procesem weryfikacji i ograniczyć konieczność przekazywania danych osobowych wielu serwisom. Z drugiej tworzy nowy element infrastruktury, którego bezpieczeństwo będzie miało znaczenie dla bardzo dużej liczby użytkowników.
Jeżeli dojdzie do naruszenia zabezpieczeń pojedynczej platformy, skutki mogą być ograniczone do jej użytkowników i zgromadzonych tam informacji. W przypadku centralnego systemu potencjalne konsekwencje mogą być znacznie szersze.
Szczególnie niebezpieczna byłaby sytuacja, w której system przechowywałby historię uwierzytelnień, identyfikatory użytkowników oraz informacje o usługach, z których korzystali. Powstałby wtedy zbiór danych wymagający wyjątkowo silnej ochrony.
Jak powinien być zaprojektowany taki system, aby ograniczyć ryzyko?
Przede wszystkim należy przyjąć założenie, że naruszenie jednego komponentu nie może prowadzić do ujawnienia całego zbioru danych. Potrzebne są odpowiednia separacja informacji, ścisła kontrola uprawnień oraz możliwość niezależnego audytowania działań administratorów.
Istotne jest również ograniczenie okresu przechowywania informacji i precyzyjne określenie sytuacji, w których możliwy byłby dostęp do danych identyfikacyjnych. Nie powinno się gromadzić informacji na wszelki wypadek, bez jasno określonego celu.
Bezpieczeństwo systemu zależy więc nie tylko od zastosowanych zabezpieczeń, ale również od tego, ile danych w ogóle zdecydujemy się w nim przechowywać.
Czy technologia pozwala już dziś potwierdzać wiek użytkownika bez przekazywania platformie jego pełnych danych osobowych?
Tak, istnieją rozwiązania, które umożliwiają potwierdzanie określonych uprawnień bez ujawniania pełnej tożsamości. Przykładem są cyfrowe poświadczenia wykorzystujące mechanizmy kryptograficzne, w tym selektywne ujawnianie informacji oraz dowody z wiedzą zerową.
W odpowiednio zaprojektowanym systemie użytkownik mógłby udowodnić, że spełnia wymagany warunek wiekowy, bez przekazywania platformie dokładnej daty urodzenia czy innych danych identyfikacyjnych. Zamiast wymagać ujawnienia tożsamości, system potwierdzałby jedynie uprawnienie niezbędne do skorzystania z usługi.
To ważna zmiana w podejściu do bezpieczeństwa. Pozwala myśleć o weryfikacji wieku w sposób, który nie wymaga automatycznego gromadzenia dodatkowych informacji o użytkowniku.
Czy zastosowanie mechanizmów kryptograficznych wystarczy, aby zagwarantować anonimowość?
Nie. Nawet jeśli sam mechanizm kryptograficzny nie ujawnia danych osobowych, nadal trzeba ocenić cały proces. Istotne jest między innymi to, czy poszczególne operacje można ze sobą powiązać.
Stały identyfikator lub inne powtarzalne informacje techniczne mogą umożliwiać śledzenie aktywności użytkownika. W efekcie rozwiązanie, które miało chronić prywatność, może mimo wszystko ułatwiać tworzenie profilu danej osoby.
Dlatego należy oceniać bezpieczeństwo całego systemu, a nie wyłącznie zastosowanego algorytmu. Znaczenie ma sposób wydawania cyfrowych poświadczeń, zarządzania nimi i ich późniejszego wykorzystywania.
Kto powinien odpowiadać za obsługę weryfikacji wieku: administracja publiczna, dostawca przeglądarki czy zewnętrzna instytucja?
Wybór operatora jest ważny, ale nie rozwiązuje wszystkich problemów. Z perspektywy bezpieczeństwa równie istotne jest to, jakie możliwości techniczne posiada operator i jakie informacje system pozwala mu gromadzić.
Nawet najbardziej restrykcyjna polityka prywatności nie zastąpi odpowiedniej architektury. Jeżeli rozwiązanie umożliwia zbieranie szczegółowych informacji o użytkownikach, pojawia się ryzyko ich niewłaściwego wykorzystania, niezależnie od pierwotnych deklaracji podmiotu zarządzającego.
Dlatego systemy potwierdzania wieku powinny być projektowane zgodnie z zasadą privacy by design, czyli uwzględniania ochrony prywatności już na etapie tworzenia rozwiązania.
Co to oznacza w praktyce?
Przede wszystkim ograniczanie zakresu przetwarzanych danych, rozdzielanie informacji identyfikacyjnych od danych o aktywności oraz stosowanie mechanizmów utrudniających śledzenie użytkowników pomiędzy różnymi usługami.
Ważne są również niezależne audyty i przejrzystość zasad działania całej infrastruktury. Użytkownicy powinni mieć możliwość sprawdzenia, jakie informacje są zbierane, w jakim celu i jak długo będą przechowywane.
Nie wystarczy obiecać, że dane nie będą wykorzystywane w niewłaściwy sposób. Trzeba zaprojektować system tak, aby ograniczyć możliwość takiego wykorzystania.
Jak zatem pogodzić ochronę dzieci i młodzieży z prawem wszystkich internautów do prywatności?
Nie powinniśmy traktować tych celów jako wzajemnie wykluczających się. Ochrona najmłodszych jest istotna, ale sposób jej realizacji powinien uwzględniać również prawa pozostałych użytkowników internetu.
Nie chodzi o wybór między całkowitą anonimowością a powszechną identyfikacją. Rozwój technologii pozwala szukać rozwiązań pośrednich, w których można potwierdzać określone uprawnienia przy minimalnym zakresie udostępnianych informacji.
Najważniejsze jest odpowiedzialne podejście do projektowania. Właściwie zaprojektowany system powinien ograniczać ryzyko już na poziomie swojej konstrukcji. Nie wystarczy zabezpieczyć zgromadzonych danych przed wyciekiem. Należy przede wszystkim rozważyć, czy wszystkie te informacje rzeczywiście muszą być zbierane.
Jaka zasada powinna przyświecać twórcom takich rozwiązań?
Najskuteczniejszym sposobem ograniczenia konsekwencji naruszenia bezpieczeństwa jest niedopuszczenie do powstawania niepotrzebnych zbiorów wrażliwych danych.
Wyzwaniem dla ustawodawców i branży technologicznej jest nie tylko stworzenie skutecznego mechanizmu potwierdzania wieku, ale także zapewnienie, aby infrastruktura służąca ochronie najmłodszych nie umożliwiała nadmiernego monitorowania aktywności wszystkich internautów.
W świecie, w którym informacje o użytkownikach stają się coraz cenniejszym zasobem, warto kierować się prostą zasadą: przetwarzać tylko te dane, które są rzeczywiście niezbędne.
O ekspercie
Marek Nadstawny jest prezesem Kompanii Informatycznej. To polska firma technologiczna, która od 2016 roku wspiera przedsiębiorstwa w sprawniejszym, bezpieczniejszym i bardziej efektywnym wykorzystywaniu technologii. Zapewnia kompleksową obsługę informatyczną, wsparcie w obszarze cyberbezpieczeństwa oraz zarządzanie infrastrukturą IT. Pomaga ograniczać ryzyko przestojów i cyberzagrożeń, optymalizować koszty technologiczne oraz dobierać rozwiązania odpowiadające rzeczywistym potrzebom biznesowym.
