Проверка по Aadhaar становится безналичной, поскольку Управление по уникальной идентификации Индии (UIDAI) интегрировало в свою систему 300 различных организаций. Теперь удостоверение личности можно будет проверять без предоставления фотокопий карт Aadhaar при посещении отелей, обращении в больницы или при верификации работников гиг-экономики.
С января UIDAI расширила применение проверок цифровой идентичности на основе согласия в повседневных услугах, подключив к своей системе 300 организаций.
Регулятор связи Icasa должен поощрять или запрещать мобильным операторам и другим частным компаниям хранить, обмениваться или сопоставлять отпечатки пальцев клиентов, а также использовать отпечатки, оставленные мошенниками при неудачных операциях по смене Sim-карты, в качестве доказательств для полиции.
Любая утечка базы данных отпечатков пальцев частной компании может нанести непоправимый ущерб, который невозможно компенсировать штрафом или извинениями. В отличие от пароля или банковской карты, отпечаток пальца нельзя отменить; как только он становится доступным, он скомпрометирован навсегда вместе со всеми банками и телефонами, которые ему доверяют. Последствия для потребителей и общественной безопасности могут быть катастрофическими.
Согласно проекту положений, опубликованному Icasa в Правительственном вестнике 28 октября, при активации или смене Sim-карты отпечаток пальца или лицо человека проверяется по записям органов внутренних дел, а существующие абоненты получают два года на верификацию. Операторы, одобрившие смену для не того человека, столкнутся со штрафами в размере от R2-миллиона до R4-миллиона за каждое нарушение.
В собственном меморандуме Icasa указывает, что количество мобильных подписок в Южной Африке составляет 117,3 миллиона. Данные такого масштаба станут мишенью в тот момент, когда их начнет хранить любая частная компания, и перспектива хранения отпечатков для такого количества подключений, если это разрешат окончательные правила, должна беспокоить каждого потребителя и банк в стране.
Хотя проверка биометрии через органы внутренних дел является правильным шагом, окончательные правила должны четко указывать, что никакая частная компания не имеет права хранить фактический отпечаток пальца клиента. Единственным органом, который должен хранить отпечаток пальца жителя Южной Африки, должны быть органы внутренних дел. Ни одна частная компания не должна быть вынуждена собирать отпечатки, и никому не следует разрешать их хранение или обмен.
Ожидается, что преступники будут атаковать новую систему как онлайн, так и лично. Онлайн они будут нацеливаться на любые базы данных, содержащие отпечатки, внедрять вредоносное ПО в сканеры в магазинах, перехватывать сканы при передаче, отправлять фишинговые сообщения с просьбой «верифицировать» свою Sim-карту отпечатком пальца или селфи, а также использовать дипфейки для прохождения удаленной проверки лица.
В физическом мире коррумпированные сотрудники или агенты могут копировать сканы или одобрять замены за плату, а поддельные агенты по верификации могут собирать отпечатки во время двухлетнего периода повторной верификации. Отпечатки можно снять с очков и экранов телефонов, жертв могут принуждать сканировать палец во время ограблений, а инсайдеры в правительстве или подрядных организациях могут изменять или продавать идентификационные записи.
Каждый из представленных ниже подходов позволяет оператору подтвердить личность клиента, не сохраняя при этом его отпечаток пальца. Ни один из этих методов не является экспериментальным, и версии каждого из них уже используются.
Один из вариантов — отзывные токены отпечатков пальцев. Техника, называемая «fuzzy extractor», преобразует сканирование отпечатка пальца в стабильный секретный ключ, даже если два сканирования никогда не идентичны. Оператор хранит только сольлированный хеш этого ключа, а не сам отпечаток. Каждая сеть получает уникальный токен, поэтому утечки баз данных не могут быть связаны, а скомпрометированный токен можно отозвать и перевыпустить, подобно паролю.
Другой метод — хранение отпечатков внутри Sim-карты. Защищенный шаблон отпечатка пальца находится в защищенном чипе SIM-карты, что является подходом, уже применяемым в банковских картах с отпечатками пальцев. Сопоставление происходит непосредственно на чипе, и сеть получает только подписанный ответ «да» или «нет». Третий вариант — зашифрованное сопоставление с органами внутренних дел. Сканирование шифруется до того, как покидает сканер, и сравнивается с записью органов внутренних дел в зашифрованном виде. Возвращается только подписанный результат совпадения или отсутствия совпадения, поэтому ни оператор, ни кто-либо, перехватывающий трафик, не видит отпечаток, и он никогда не хранится.
Четвертый подход — ключи, которые никогда не покидают телефон. Сканирование отпечатка пальца или лица может просто разблокировать криптографический ключ, хранящийся в собственном защищенном чипе телефона, что соответствует принципу работы ключей доступа, уже имеющихся в устройствах Apple и Android. Сеть или банк получает подписанное подтверждение от этого ключа, а не биометрические данные. Поскольку подтверждение привязано к устройству, а не к номеру телефона, мошенническая смена Sim-карты сама по себе ничего не дает злоумышленнику. Агентство по кибербезопасности и инфраструктуре США уже рекомендует аутентификацию, устойчивую к фишингу, подобную этой, вместо кодов, отправленных по SMS.
Ни один из этих методов не является теорией. После того как Индия внедрила более миллиарда человек в свою систему идентификации Aadhaar, копии идентификационных данных, разбросанные по банкам и мобильным компаниям, стали слабым местом. Их решением стала токенизация: граждане могут предъявлять отзывной виртуальный идентификатор из 16 цифр, и каждая компания получает уникальный токен, который нельзя связать между базами данных или проследить до биометрии. Индии пришлось адаптировать эту систему. Южная Африка может построить ее с нуля.
Независимо от выбранных операторами методов, они должны сопровождаться оповещением по SMS на существующий номер, уведомлением по электронной почте и 24-часовой приостановкой одноразовых PIN-кодов банка после каждой смены Sim-карты. Банки могут сделать больше прямо сейчас: стандартизированные сетевые интерфейсы уже позволяют им проверять в режиме реального времени, была ли недавно изменена учетная запись, не собирая при этом никаких биометрических данных. Новая смена должна рассматриваться как повод заморозить высокорискованные транзакции до подтверждения клиентом.
Те же правила могут помочь полиции поймать людей, стоящих за мошенничеством со сменой Sim-карты. Сканирование, которое не совпадает с владельцем счета, может поступить от мошенника, который предъявляет свой собственный отпечаток пальца или лицо на месте предполагаемого преступления. Или оно может поступить от честного клиента, например, пенсионера или рабочего, чьи отпечатки стерлись, или от кого-то, использующего неисправный сканер.
Поэтому наша концепция по умолчанию удаляет данные, а не наказывает. Каждое неудачное сканирование будет зашифровано таким образом, чтобы ни одна частная компания не могла его открыть или удалить, и будет храниться в течение 14 дней независимым хранителем вместе с магазином, сотрудником, устройством и временем. Оно будет передано только подразделениям по киберпреступности Полиции Южной Африки по судебному ордеру. Если клиент, банк, магазин или оператор в течение этого времени не возбудят уголовное дело, сканирование будет автоматически удалено. Годами преступники скрывались за украденными удостоверениями личности. При биометрической верификации каждая попытка смены оставляет их биометрию на стойке, и эти доказательства принадлежат следователям.
Слишком долго бремя обеспечения безопасности ложилось на клиентов, которым говорят защищать свои PIN-коды, в то время как преступники взламывают системы вокруг них. Icasa права, устанавливая штрафы. Операторы, банки, розничные продавцы и государственные учреждения должны нанимать «красные команды» и инженеров по безопасности для атаки на собственные системы до того, как это сделают преступники. Предотвращение также требует участия полиции и специализированных подразделений по киберпреступности для раскрытия этих дел и привлечения виновных к ответственности, поскольку преступники останавливаются, когда ожидают быть пойманными.
Мы считаем, что Icasa должна определять ожидаемые результаты, оставляя методы на усмотрение операторов, вместо того чтобы прописывать конкретные технические приемы в законе. Методы мошенничества меняются быстрее, чем регулирование, и техника, закрепленная в законе сегодня, завтра станет публичной целью.
Уже существует международный стандарт для защиты биометрической информации — ISO/IEC 24745, который требует, чтобы сохраненные биометрические данные нельзя было обратить или связать между базами данных, а также чтобы их можно было отозвать. Icasa могла бы принять эти тесты в качестве критерия, которому должен соответствовать любой предлагаемый метод, независимо от лежащей в основе технологии.
Мы предлагаем, чтобы Icasa конфиденциально рассматривала методы противодействия мошенничеству, рассматривая каждый случай индивидуально, одобряя или отклоняя их без публикации деталей, которые могли бы изучить преступники.
Согласно проекту положений, опубликованному регулятором связи Icasa на этой неделе, любая операция с SIM-картой — активация новой, замена существующей или сохранение номера — будет требовать сверки отпечатков пальцев или лица с данными Департамента внутренних дел.
Предлагаемые изменения в правила плана нумерации, которые были представлены на общественное обсуждение в Правительственном вестнике в среду, обязывают оператора при «активации или повторной активации мобильного номера в своей сети» «проверять личность абонента посредством биометрической верификации по записям Департамента внутренних дел».
Новые требования распространяются и на существующих клиентов. Операторам предоставят два года на проведение аналогичной проверки личности для текущих абонентов. По данным пояснительной записки к проекту, количество мобильных подписок в стране составляет 117,3 миллиона.
Аналогичные проверки будут применяться и к случаям замены SIM-карты, которая часто используется мошенниками для перехвата одноразовых банковских паролей жертв. Операторы обязаны отказывать в замене, если лицо, запрашивающее ее, не соответствует записям абонента, которому присвоен номер.
Кроме того, проект устанавливает ограничение на количество мобильных номеров, которое один абонент может получить от одного оператора — пять. Компании освобождены от биометрических проверок, поскольку их отношения с операторами регулируются контрактами, и они не могут предоставить отпечатки пальцев или изображения лица, однако они не освобождаются от этого лимита.
Icasa обосновывает этот лимит, частично опираясь на среднее значение в 2,79 подписки «на человека». Эта цифра получена путем деления 117,3 миллиона подписок на население в 63 миллиона человек, из которых, по утверждению регулятора, 21 миллион — несовершеннолетние, что фактически означает расчет среднего показателя на взрослого. Также учитывается средний размер домохозяйства в 3,2–3,4 человека. Поскольку лимит применяется к каждому оператору, в меморандуме отмечается, что абоненту «на практике может быть присвоено более 20 мобильных номеров через разных лицензиатов».
Иностранные граждане, находящиеся в стране на короткий или длительный срок, но не являющиеся постоянными резидентами, получат номера, которые останутся активными не дольше срока действия их визы или 90 дней.
Операторы, нарушающие основные правила верификации, включая одобрение замены SIM-карты для лица, чья личность не совпадает, столкнутся со штрафами в размере от 2 до 4 миллионов рандов «за каждое нарушение». Невыполнение проверки личности абонента перед заменой SIM-карты или превышение пятикратного лимита по количеству номеров повлечет за собой штраф в размере 1 миллиона рандов за нарушение. Проект не уточняет, что именно считается единичным нарушением.
Наибольшую сложность представляет сегмент предоплаченных услуг. В меморандуме Icasa указывается, что большинство операторов сообщили регулятору в прошлом году, что они уже внедрили биометрическую верификацию, «однако это было реализовано только в услугах по постоплате».
Предоплаченные SIM-карты продаются в огромных объемах. Генеральный директор MTN Южной Африки Ферди Муулман сообщил в августе, что только MTN ежегодно выпускает 90 миллионов предоплаченных SIM-карт, а вся отрасль производит от 200 до 300 миллионов.
Операторы, действуя через Ассоциацию коммуникаций и технологий, согласовали временную основу в июне для ужесточения регистрации SIM-карт, одновременно настаивая на реформе Rica правительством. Icasa подчеркивает, что ее требование о верификации отличается от регистрации SIM-карт в рамках Rica.
Регулятор впервые ввел правила проверки личности абонента в марте 2023 года, но приостановил их до будущей даты начала, которую так и не установил. Новый проект является результатом процесса «уточнения положений для облегчения внедрения», как указано в документе.
Биометрические данные считаются специальной личной информацией согласно Закону о защите личной информации, который, по мнению Информационного регулятора, может обрабатываться только в соответствии с исключениями этого акта. Проект ограничивает использование этих данных исключительно верификацией личности и требует от операторов удалять записи абонентов в течение 30 дней после деактивации номера, если только закон или контракт не требуют их сохранения, или абонент не даст согласие.
Биометрические правила и пятикратный лимит по количеству номеров вступят в силу через 12 месяцев после публикации окончательных правил. Неясно, исчисляется ли двухлетний срок для проверки существующих абонентов с момента публикации или с момента этой более поздней даты; проект лишь гласит, что он исчисляется «с даты вступления правил в силу».
