החוק הביומטרי נראה כמו מחטף ציבורי

עודד ירון ב"הארץ" 30.10.08: "ברגע אחרי שההחלטה ללכת לבחירות ולפני פגרת הבחירות, הכנסת מיהרה לאשר אתמול בקריאה ראשונה את חוק תעודות הזהות הביומטריות. בשיחה עם ד"ר מיכאל בירנהק, מהפקולטה למשפטים באוניברסיטת תל אביב, הוא מתח ביקורת חריפה על האישור המהיר של החוק השנוי במחלוקת, 'זה נראה כמו מחטף ציבורי וזה לא מריח טוב. אפילו שזה רק קריאה ראשונה, לא נראה ראוי שבממשלת מעבר יעלו דברים שנויים במחלוקת, שמחייבים דיון ציבורי יסודי'…

משרד הפנים מודע לביקורת על כן ניתן לראות להצעת החוק שהוגשה לכנסת הוסיפו 'הרבה מלל על הזכות לפרטיות והרבה יותר ניסיון להציג את זה בצורה מאוזנת ומידתית, אבל נראה לי שבמקום להתמודד עם הבעיות בצורה עמוקה ומהותית מנסים להתמודד עם זה בצורה של רטוריקה'…"

השר שטרית ציין בדיון בכנסת כי תעודת זהות ביומטרית היא תנאי לביטול הוויזות לארה"ב. אולם, בירנהק מסביר כי האמריקאים דורשים דרכון ולא תעודת זהות, ובכל מקרה הם לא דורשים את מאגר המידע. מצד שני לחוק כזה עשויות להיות השלכות נוספות על יחסינו עם ארגונים (בינ"ל) אחרים. בגלל שנושא הפרטיות נמצא על סדר היום של ארגונים בינלאומיים … 'יש פה מאגר שאומרים שהוא נועד למטרה אחת - להתמודד עם זיוף תעודות זהות- אבל ברגע שיש מאגר, מהר מאוד הוא יהיה אטרקטיווי למטרות אחרות, מה שמכונה באנגלית Creeping Functionality, והזרעים של זה נמצאים כבר בחוק… "

ברור שיעשו אבטחה. לכן משרד הפנים יקים רשות מיוחדת. ולא נעים להגיד אבל למשרד הפנים יש שם לא כל כך טוב בשמירה פרטיות והדוגמא הטובה ביותר היא מרשם האוכלוסין שמסתובב חופשי באינטרנט…"

מאגר ביומטרי? לא תודה - 31.10.08

ד"ר מיכאל בירנהק ב-ynet: "מה פשר החיפזון? לא ברור. להצעת החוק יש השלכות קשות על זכות היסוד לפרטיות, היא מורכבת מבחינה טכנולוגית ומינהלית, היא מעוררת שאלות משפטיות-חוקתיות מורכבות, ויש לה השלכות כלכליות, מדיניות וביטחוניות. לציבור יש מה לומר בנושא הזה, ולא היה מקום ל"מחטף ציבורי"…אולי יש סיבה מספיק טובה להקים מאגר כזה גם אצלנו, אבל נטל השכנוע שמוטל על כתפי הממשלה ומשרד הפנים שמקדמים את הקמת המאגר בריצת אמוק, כבד מאוד. …

אם רוצים, אפשר להקשות על זיוף התעודות, גם בלי נתונים ביומטריים, ובכל מקרה, לא צריך לשם כך מאגר ביומטרי. האם הביומטריה תסייע לתפוס עבריינים? ממש לא.…

הניסיון בעולם ובארץ מלמד שמאגרי מידע שמוקמים למטרה אחת - ישמשו גם לשימושים נוספים.

המאגר המוצע יפקיד עוד אמצעי פיקוח בידי המדינה, על אזרחיה. הצעת החוק מתייחסת לכל האזרחים כאל עבריינים, ולמידע האישי שלהם, ולחירות הבסיסית שלהם, כאל הפקר. כדאי להיזכר בכמה עקרונות בסיסיים ופשוטים: המדינה אמורה להיות אמצעי שלנו, ובשבילנו. "…

הדרכון החדש של אלביס פרסלי - 7.10.08

דרכון מזוייף שהוצא לאלביס פרסלי המנוח עבר את סורק הבדיקה בנמל התעופה של אמסטרדם.

"The Hacker's Choice", קבוצה הולנדית של מומחים לאבטחת מידע, הצליחה לפצח את הקוד וליצור דרכון מזוייף תחת שמו של אלביס פרסלי המנוח. הדרכון עבר בהצלחה את הסורק האלקטרוני בנמל התעופה של אמסטרדם. למרות שהדרכון לא נבדק בסורק של ביקורת הגבולות, סורק שעשוי להיות קפדני יותר, הניסוי המצולם מעורר ספקות וחששות בבריטניה ביחס לתוכנית הממשלתי להנפקת דרכונים ביומטריים. אולי. אולי גם אצלנו יבחנו מחדש את התוכניות הביומטריות של משרד הפנים. למצער את התוכנית להקים מאגר מידע ביומטרי - it's now or never...

THC/vonJeek proudly presents an ePassport emulator. This emulator applet allows you to create a backup of your own passport chip(s) - The Hacker's Choice
Hackers reveal serious flaw in biometric passports after cloning one for Elvis Presley - dailymail.co.uk
Hackers Clone Elvis Presley's Passport - Foxnews
Researcher gives Elvis and bin Laden fake e-passports Claims they'll fool e-readers. Uh huh huh - The Register

כרטיס חכם של האוצר במקום הג'אדגט הביומטרי של שיטרית - 9.9.08

כפוסט ב- pratiut.com: השבוע הודיע משרד האוצר, שקצה נפשו, וכי "אם לא יחולו התפתחויות במכרז תעודות הזהות החכמות, יוציא משרד החשב הכללי באוצר מכרז לכרטיס מקביל עוד השנה". התעודה תכלול שבב עם פרטים אישיים: פרטי הזהות והרישיונות, נתוני מס הכנסה, סוג דם ועוד. כפי שהוסבר בכתבה בעיתון "הארץ": "כרטיס ממשל זמין" יהיה זהה לתעודת הזהות החכמה, פרט להגדרתו החוקית של הכרטיס כתעודת זהות קבילה ולזיהוי הביומטרי. מעריכים שעלות הפרויקט תהיה כ-30 מליון ש"ח אבל סכום זה הוא כאין וכאפס לעומת הסכומים האסטרונומים של הפרויקט הביומטרי של משרד הפנים.אנשי האוצר אינם ידועים כפזרנים גדולים, ולכן חוסר האמון שהם מביעים בפרויקט היומרני של שיטרית הוא מעניין. אבל מעבר לזה, אם כבר עושים "כרטיס חכם", שיהיה חכם דיו כדי למנוע זיופים, מדוע שלא להמתין ולקדם את הפרויקט הזה כפיילוט. הכרטיס החכם יוכיח, שבעיית הזיופים של תעודות הזהות יכולה להיפתר באמצעים פשוטים וזולים הרבה יותר, והעיקר - עם פגיעה קטנה יותר בפרטיות.מי יודע, אם הכרטיס החכם יוכיח את עצמו כהצלחה - אולי נוכל להסתפק בו, ולוותר על הגאדג'ט הביומטרי של שיטרית.

חוק הנתונים הביומטריים – הכצעקתה?

12.8.08 - עו"ד דן אורחוף באתר law.co.il:
.

"... אם מידע יזלוג מהמאגר הביומטרי ויעבור לשימושו הבלתי מורשה של עבריין כלשהו, יוטל על האזרח נטל כמעט בלתי אפשרי להוכיח שהוא לא היה במקום, או שלא ביצע פעולה המיוחסת לו. יתר על כן, מרגע שיגיע נתון ביומטרי לידיים הלא נכונות, שוב לא ניתן יהיה להשיב את הגלגל אחורנית... העובדה שתהליך ההזדהות יישען על נתונים ביומטריים תשמש כתמריץ לגורמים מפירי חוק לפתח טכנולוגיות זיוף מתאימות. כך, שהשוואה בעת תהליך ההזדהות בין הנתונים בתעודה לנתונים הפיסיולוגיים של המחזיק בה, לא תאתר את הזיוף... מערכות אבטחת מידע אינן יכולות לספק הגנה מוחלטת, ומנגד זליגה כזו יוצרת נזק שקשה עד בלתי אפשרי לתקנו. חכמים אמרו: "מה שאין לי, אינני יכול לאבד". אם לא יוקם המאגר הביומטרי, גם לא תהיה סכנה לשימוש לרעה בנתונים השמורים בו...

.

מה שנעדר מדברי ההסבר הוא החלופות שנבחנו לצורך המלחמה בתופעה הידועה והממוקדת, של עשרות אלפי עבריינים (הידועים כעבריינים) המתדפקים על דלתות משרד הפנים. האומנם אין כל חלופה אחרת, אלא ליצור מאגר רגיש מאין כמוהו, שיהיה מטרה לניסיונות פריצה בלתי פוסקים מצד גורמים עוינים? הנטל להוכיח את מידתיותו של ההסדר המוצע בתזכיר החוק, רובץ לפתחה של הממשלה. נטל זה אף כבד שבעתיים, כיוון שההיסטוריה המתועדת בפסקי דין רבים מלמדת שמידע אישי רגיש דלף בעבר ממאגרי מידע ממשלתיים ואף נמכר על-ידי עובדי ממשלה, תוך הפרה בוטה של החוק. אין פלא, אפוא, שהבטחת הממשלה על יכולתה לאבטח כראוי את המאגר הביומטרי נתקלת בחוסר אמון. ..."

.

מיכאל שפיר - זיהוי ביומטרי ופרטיות

31.7.08 - זיהוי ביומטרי ופרטיות מאת מיכאל (מיכה) שפיר, חוקר, מדען וטכנולוג ראשי במספר רב של חברות היי טק, מסביר מהו זיהוי ביומטרי, מדוע מסוכן להשתמש בו במערכות ענק, מתאר את הפגיעה בפרטיות, את אפשרויות הזיוף הרבות, ומזכיר חלופות פולשניות פחות. הוא גם מזכיר דרך של התנגדות אזרחית.

"זיהוי ביומטרי נחשב משפטית כפולשני כי הוא עוסק במאפיינים ההתנהגותיים ו/או הפיזיולוגיים של האדם, הניתנים למדידה ולשמירה והיכולים לשמש לאימות זהותו. לכל אדם מאפיינים ביומטריים ייחודיים לו. …
מידע ביומטרי שנפל לידי עבריינים ואו גופים זרים, יסכן את שלומו של בעליו. …מאגר ביומטרי ככל שהוא גדול יותר, הוא מהווה מכשול גדול יותר ביכולת שלו לאתר רשומה נכונה. בנייה והשוואה למאגר נתונים ביומטרי גדול, לא ימנע "הרכשה הכפולה", ולא יכול לצדד בצורך בבנית מאגר כזה תוך פגיעה אפשרית בפרטיותם של אזרחים תמימים.…
הטענה שה"שימוש בטביעת אצבעות ימנע זיוף" מטעה - לא זו בלבד שתופעת הזיוף תחריף, היא תהפוך לנפוצה ובתי המשפט יתמלאו ב"עבריינים" (לכאורה) שאינם יכולים להתכחש לביומטריה שלהם בשל עבירות זיופי זהות ביומטרית, שבוצעו על ידי זייפני רחוב... הקלות הבלתי נסבלת של זיוף ביומטרי… סרטון הדגמה…
כדי להמחיש שהמדינה לא עשתה הכל כדי להמנע מפגיעה באזרחיה - ניקח את רעיון ה"הביומטריה ללא עקבות"…
המידע האגור ב"כרטיס חכם" צפוי ע"פ הנסיון בעולם, להתבטל. כל פתרון "אלקטרוני" (פולשני) ביחוד לעניין זהות, מטבע הדברים והמשמעויות עשוי ל"הפצח" או ל"הנטרל"…
אזרח יוכל תאורטית... למחוק את המידע מהכרטיס האישי שלו בהליך "פרימיטיבי" ביתי פשוט - הכנסתה של תעודת הזהות "החכמה" למכשיר מקרוגל ביתי במשך 5 עד 7 שניות שלא תפגע במזהים הויזואליים …קיימות היום טכנולוגיות החדשות ואלטרנטיבות לאימות ודאי וקשירה של כרטיסי זהות לאזרחים עצמם, ומניעת זיוף גם ללא מאגרי נתונים ביומטריים, ללא כרטיס "אלקטרוני חכם" וללא (יצירת) חשש לפגיעה בפרטיות - תוך שמירה על החוק… "

פניית האגודה לזכויות האזרח לקראת אישור ההצעה בממשלה, 17.7.08

לקראת העלאת הצעת החוק לאישור הממשלה פנתה האגודה לזכויות האזרח לחברי ועדת השרים לענייני חקיקה וביקשה שיצביעו נגד.

.

… הצעת החוק מבקשת, על פי דברי ההסבר שלה, למצוא מענה למכת הזיופים של תעודות הזהות. אלא שאת זיוף המסמכים ניתן למנוע באמצעים אחרים, שאינם ביומטריים והדבר אף נוסה בהצלחה רבה בפרויקט ניסיוני, שביצע משרד הפנים… אבל פגיעתה הקשה ביותר של הצעת החוק נעוצה במאגר המידע הביומטרי, שהיא מבקשת להקים, מאגר שאין לו אח ורע באף מדינה בעולם החופשי … מדובר במאגר רגיש מאין כמוהו, הצופן בחובו סכנות גדולות. הניסיון מלמד שכל מאגר מידע - לא כל שכן מידע כה רגיש - מהווה "משאב" יקר ערך, שרבים מבקשים לשים עליו את ידם, ובמקרים רבים אף מצליחים. שיקול זה חייב לקבל מקום נכבד במיוחד במקרה שלפנינו, הן בשל רגישותו העצומה של המאגר שבו מדובר והן בשל המציאות העגומה, שבה מאגר המידע של מרשם האוכלוסין מתגלגל כבר היום ברשת האינטרנט, מבלי שלמשרד הפנים יהיה ולו הסבר קלוש כיצד יתכן הדבר.

.

הסכנה היתרה של מאגר נתונים ביומטריים נובעת מכך, שלהבדיל ממידע אחר, הגעתו של מידע ביומטרי לידיים זרות גורמת לנזק בלתי הפיך, שכן זהו מידע שאינו מתיישן ואינו ניתן להחלפה: מרגע שאדם זר עוין שם ידיו על המידע הביומטרי של אדם אחר - זהות האחר נתונה בידי העבריין לעולמי עד והוא יכול לעשות בה שימוש ככל שיחפוץ.מאגר מידע ביומטרי נועד להתמודד עם בעיה שונה בתכלית מבעיית זיוף המסמכים והיא בעיית "ההרכשה הכפולה" - מצב שבו אדם מצליח להוציא שתי תעודות זהות שונות ובאמצעותן "לרכוש" לעצמו שתי זהויות שונות.… אלא שהבעיה של "גניבת זהות" נפוצה במקומות אחרים בעולם, שבהם אין בידי הרשויות מרשם אוכלוסין עשיר כמו זה שבישראל (נתונים ביוגרפיים היסטוריים של כל אחד מהתושבים), שבעזרתו ניתן לחסום באופן יעיל אפשרות של התחזות והרכשה כפולה. .… ספק אם יש למשרד הפנים נתונים על היקף התופעה של "גניבת זהות", ככל שזו בכלל קיימת בישראל, ולמותר לציין שנתון מעין זה הוא הכרחי, כדי לקבוע, כי אין מנוס אלא להקים מאגר ביומטרי, על כל פגיעותיו וסכנותיו המרובות. עוד נציין, שגם במדינות שסובלות ממעשי מרמה ו"עוקצים" בחסות של "זהות גנובה", נעשה הדבר בדרך כלל ללא הסתייעות במסמכים אלא דווקא באמצעות האינטרנט והטלפוניה.

.

מטרות נוספות שנזכרות בדברי ההסבר להצעת החוק אינן יכולות להצדיק את הקמת המאגר: על פי עדות מומחים, זיהוי חללים ונפגעי אסון או פיגוע המוני לא יכול להיעשות על סמך נתונים מהסוג שיהיה במאגר המתוכנן. בדומה לזה, דוגמיות טביעות האצבע שיהיו במאגר לא יועילו הרבה לחקירות המשטרה אך הן יהפכו את כל התושבים לחשודים בכוח, ויביאו להטרדתם של אנשים רבים חפים מפשע. שימוש משטרתי במאגר ביומטרי של מרשם האוכלוסין מהווה חציית קו אדום, ומהווה גם פתח לשימושים נוספים למטרות ממטרות שונות. זוהי זילות של המידע הביומטרי, שכאמור נחשב לרגיש במיוחד, וזילות גמורה של הזכות לפרטיות.

.

מכל האמור לעיל עולה, כי השימוש בנתונים ביומטריים, ובמיוחד במאגר נתונים ביומטרי, אינו נחוץ כדי להשיג את התכליות שמוצגות בהצעת החוק, ומנגד הוא עתיד לפגוע פגיעה קשה ובלתי מידתית בעליל בזכות לפרטיות. לא לחינם לא העזה אף דמוקרטיה מערבית להנהיג מאגר נתונים כה מסוכן כמו זה, שמשרד הפנים מבקש להקים. אנו מבקשים שתפעל על מנת שוועדת השרים לענייני חקיקה תדחה את ההצעה.

.

המועצה להגנת הפרטיות חוזרת ומבקשת משר המשפטים

2.7.2008 - כזכור, בחודש יוני פנתה המועצה להגנת הפרטיות* וביקשה משר המשפטים להתנגד ליוזמה. במכתב נוסף חוזרת המועצה על בקשתה:

"לאחר שני דיונים מפורטים, ולימוד אינטנסיבי של הנושא, אנו חוזרים על פנייתנו אליך בעניין, ובביתר שאת: אנו מייעצים כי ההצעה לא תעלה לדיון בישיבה הקרובה של ועדת השרים לענייני חקיקה, בטרם יתקיים דיון ציבורי מקיף בהצעה ובטרם ייענו שאלות רבות, הנוגעות לתכלית התזכיר, ולאמצעים המוצעים בו ולאמצעים חלופיים אפשריים.

המועצה רואה בדאגה רבה את ההצעה, עקב השלכותיה הדרמטיות על ההגנה על זכות היסוד החוקתית לפרטיות בישראל, ופוטנציאל הפגיעה הלא מידתי שהל בזכויות היסוד של אזרחיה. במיוחד אנו מוטרדים מהכוונה להקים מאגר נתונים ביומטרי גדול … אין כדוגמת המאגר באף מדינה מערבית דמוקרטית, כולל מדינות כמו גרמניה, שבהן נהוגים מסמכי זיהוי ביומטריים; לעומת זאת, יש מאגרים דומים במדינות כדוגמת כווית, תימן, פקיסטן ואינדונזיה. לדעתנו, אפשר להשיג את עקרי מטרותיו של התזכיר אף ללא הקמתו של מאגר הנתוני המרכזי."

* המועצה הציבורית להגנת הפרטיות ממונה על ידי שר המשפטים וחבריה באים מכל המגזרים, לרבות רשויות הביטחון במדינה (ראו באתר משרד המשפטים).

המועצה להגנת הפרטיות לשר המשפטים: לא למאגר ביומטרי

24.6.08 - לקראת העברת הצעת החוק לאישור הממשלה, קיימה המועצה להגנת הפרטיות* דיון ארוך בתזכיר הצעת החוק, לאחר שלמדה את הנושא ושמעה את עמדת נציגי משרד הפנים ומומחים בנושא. בעקבות זאת היא פנתה במכתב לשר המשפטים והפצירה בו להתנגד ליוזמה:

.

"המועצה רואה בדאגה רבה את ההצעה, עקב השלכותיה הדרמטיות על הגנת הפרטיות בישראל, ופוטנציאל הפגיעה הגדול שלה בזכויות היסוד של אזרחיה… אנו מצרים גם על גישת משרד הפנים שלוחץ להעביר חקיקה עם השלכות קשות על זכויות יסוד, בתוך סד זמנים קצר וללא דיון ציבורי ממצה…

.

לב ליבה של הבעיה בהצעה נעוץ בכוונה להקים מאגר נתונים ביומטרי גדול על כל אזרחי ישראל. זאת, תוך העדפת פיתרון זה על פני האפשרות ליצירת תעודות זהות עם אימות ביומטרי, ללא מאגר מידע מרכזי. … יש להדגיש כי מאגר המידע המוצע, אינו מסייע כלל למניעת זיופים… מאגר המידע המרכזי נועד למנוע בעיה שונה, והיא בעיה של 'הרכשה כפולה' של מסמכי זיהוי… מצב שבו אדם אחד מבקש הנפקה חוזרת ונשנית של מסמכי זיהוי תחת שמות שונים… בעיית ההרכשה הכפולה היא בעייה של 'גניבת זהות' אשר נפוצה למשל בארה"ב, שבה אין כלל תעודות זהות לאזרחים… לצורך מניעה הבעיה של הרכשה כפולה אפשר להשתמש באמצעים מידתיים יותר, שפגיעתם בזכויות היסוד של האזרחים פחותה בהרבה מפגיעתו של מאגר ביומטרי מרכזי.

.

יש לשקול היטב את הקמת המאגר, שאין כדוגמתו באף מדינה מערבית דמוקרטית, כולל מדינות כמו גרמניה, שבהן נהוגים מסמכי זיהוי ביומטריים, ולעומת זאת יש מאגרים כמוהו במדינות כדוגמת כווית, תימן, פקיסטן ואינדונזיה.

.

אין למועצה ספק, כי קודם שהצעת החוק תגובש ותועבר לאישור הממשלה, ראוי לחדד את התכליות שלשמן נועד החוק המוצע, ולבחון אותן אל מול הפגיעות בפרטיות והסכנות האחרות, שטמונות בהצעה במתכונתה הנוכחית … נדגיש: הנושא חשוב ומורכב מאוד והשלכתו על הפרטיות דרמטיות. בטרם נבחרת דרך מסוימת ראוי לבחון חלופות רבות ככל האפשר, ולשם כך נדרש דיון גם במחקרים…

.

ראוי יהיה כי הליך החקיקה שבנדון יעוכב, תינתן הזדמנות הראויה לדון בהצעה, ובכלל זה דיון ציבורי, ולשאול את כל אותן השאלות, ובין היתר לבחון חלופות להצעה הנדונה. בכך יעשה נסיון כן ואמיתי להבטיח, כי הפגיעה בפרטיות הכרוכה בחוק המוצע תהא נמוכה ככל האפשר. "

.

פניה נוספת לשר נעשתה לאחר ישיבה נוספת ב-2.7.2008.

.

* המועצה הציבורית להגנת הפרטיות ממונה על ידי שר המשפטים וחבריה באים מכל המגזרים, לרבות רשויות הביטחון במדינה (ראו באתר משרד המשפטים).

.

ארנון הראל מומחה לביומטריה: מצגת על הצעת החוק

17.6.08 ארנון הראל מומחה למערכות מידע ביומטריות הופיע בפני המועצה להגנת הפרטיות והציג מצגת בנושא.
.
המצגת מתייחסת לטיוטת תזכיר החוק, שעברה מאז מספר שינויים.
.
הקליקו על התמונה משמאל וצפו במצגת (בתיבת השיח שתעלה הקליקו על הכפתור השמאלי "קריאה בלבד").
.
ראו גם מאמר מאת ארנון הראל: "מה מיוחד בטכנולוגיה הביומטרית?".

מאגר ביומטרי למדינת ישראל, מי צריך כזה? - עומר טרן 5.6.08

עומר טרן, מומחה לאבטחת מידע שואל מי בכלל צריך מאגר.

על מנת שבתי עסק יוכלו להגן על עצמם מזיופים (המטרה העקרונית של סעיף זה) הם צריכים לא רק תעודה שקשה לזייף אלא גם תעודה שקל לוודא. כלומר המנגנון הנדרש הוא כפול - קשה לזייף, קל לאמת. שטר הנו דוגמא קלאסית לאמצעי מסוג זה. טביעה ביומטרית? למיטב ידיעתי לא. רוב הסיכויים שעסקים יעשו שימוש ברכיבים הלא ביומטריים של התעודה (עיצוב הכרטיס) על מנת לאמת את תקפותה.

נדמה כי המטרה האמיתית של החוק אינה למנוע זיופים של תעודות זהות כפי שכתוב בפתיח לתזכיר החקיקה אלא דווקא לספק לגופי הבטחון מאגר ביומטרי על האזרחים. את סוגיית הזיוף ניתן למנוע בצורה זולה יותר וללא שימוש במאגר ביומטרי מרכזי (גם אם נעשה שימוש במאגר ביומטרי ניתן לעשות שימוש במאגר שאינו ניתן לשחזור ושאינו מרכזי)... מאגר שכזה יפריע למשטרה במילוי תפקידה יותר מאשר יועיל.

לא התרשמתי שתזכיר החקיקה מגובה בעבודת מטה אמיתית המנתחת צרכים, סיכונים ותהליכים. נדמה כי תזכיר החקיקה נולד מתוך מספר גחמות - הרצון הנצחי של גופי בטחון ושיטור לקבל את כל הנתונים האפשריים על כל האזרחים; הרצון של משרד האוצר לקדם תעודת זהות דיגיטלית; הרצון של משרד הפנים להסיט את האש מחוסר המאמצים שלו לטפל בסוגיית זיוף תעודות רשמיות. כך נולד לו פרויקט מסוכן, מגלומני ובזבזני. מאחר והוא משרת את רצונות האוצר והבטחון, אגב, כנראה שבמקרה זה לא יהיה מחסור תקציבי.

REAL ID Implementation Review: Few Benefits, Staggering Costs

ארגון הפרטיות האמריקאי EPIC פרסם דו"ח חדש על פרויקט "Real ID" של הממשל האמריקאי תחת הכותרת: "REAL ID Implementation Review: Few Benefits, Staggering Costs".

.

"REAL ID SYSTEM CREATES NEW NATIONAL SECURITY RISKS - ...The Department of Homeland Security says in the final rule that it will be “significantly more difficult,” but not impossible, “for an individual to use a false name or provide fraudulent documents to obtain an identification.” This is the reason that any national identification system is fundamentally flawed: Individuals are told to “trust” the national ID card, but it is still possible to create a fake card, so one cannot rely on the national identification system to “prove” an individual is who she says. Contrary to the Department of Homeland Security’s claims, this system harms our national security by creating another “trusted” path for criminals to exploit...

.

The REAL ID national identification system would harm rather thanprotect privacy and security, and such a system would exacerbate the country’s growing identity theft problem. It decreases security to have a centralized systemof identification, one ID card for many purposes, as there will be a substantialamount of harm when the card is compromised.

.

A system of decentralized identification reduces the risks associated withsecurity breaches and the misuse of personal information. Technological innovation can enable the development of context-dependent identifiers. Adecentralized approach to identification is consistent with our commonsenseunderstanding of identification. ... These context-dependentusernames and passwords enable authentication without the risk of a universalidentification system. That way, if one number is compromised, all of thenumbers are not spoiled and identity thieves cannot access all of your accounts.All of your accounts can become compartmentalized, enhancing their security

.

The final rule includes few protections for individual privacy and security in its massive national identification database. It harms national security by creating yet another “trusted” credential for criminals to exploit. The Department of Homeland Security has faced so many obstacles with the REAL ID system that the agency now plans an implementation deadline of 2017 – nine years later than the 2008 statutory deadline. It is an unfunded mandate that would cost billions, with the burden ultimately being placed on the individual taxpayer.

.

Technical experts familiar with the challenges of privacy protection and identification presented the Department of Homeland Security with a variety of recommendations that would have minimized the risks of the REAL ID system. The DHS made some modifications, but left the essential system in place. As REAL ID currently stands, the costs are many and the benefits are few. Public opposition to implementation is understandable."

.

שגריר ארה"ב הגיש לאולמרט תלונה על מכרז התעודות החכמות - גלובס 16.12.07

לפני מספר שבועות בוטל זו הפעם השנייה בתוך כ-5 שנים מכרז תעודות הזהות החכמות של משרד הפנים. במסגרת המכרז הייתה אמורה להיבחר החברה שתספק את התעודות החכמות לתושבי ישראל…HP עומדת לפנות לערכאות משפטיות ולגופי פיקוח מקומיים אחרים (משטרה ומבקר המדינה) לגבי ההתנהלות במכרז. כדאי להבין, מקרה בו חברה בינלאומית לא מרוצה מהתנהלות מכרז ציבורי במדינת ישראל, הוא דבר סטנדרטי, כמעט מובן מאליו. אבל נקיטת אמצעים אגרסיביים לבירור מה קרה סביב המכרז, זה חידוש גדול.

תעודות הזהות החכמות אמורות לפעול וגם להיראות כמו כרטיס אשראי. התעודה עשויה ממלבן פלסטיק קשיח שבו ישולב שבב אלקטרוני, עליו מקודדים פרטים של המחזיק שמאפשרים זיהוי שלו מול מערכות מחשוב ציבוריות. באמצעות התעודה החכמה יוכלו אזרחי ישראל לגשת לשירותים שונים של ממשל זמין, להזדהות מול הרשויות באמצעות מנגנון אימות וזיהוי (חתימה אלקטרונית), לשלם מסים, לחדש רישיון נהיגה ועוד פעולות רבות אחרות.

חלק ניכר מהמורכבות בתעודה קשור לאבטחה, גם מצד מכת זיוף תעודות הזהות הרגילות, וגם כדי לאפשר זיהוי אמין של המשתמש. כדי לאפשר זאת עובדים הכרטיסים החכמים כהתקני אבטחה, המותאמים אישית באמצעות נתונים ספציפיים לבעלים. האבטחה מסופקת באמצעות זיהוי המשתמש (נתונים אישיים, כולל תמונה ו/או זיהוי ביומטרי)…

ברוס שנייר על הסכנה שבפרוייקט Real ID

ברוס שנייר, מומחה לאבטחת מידע: Real-ID: Costs And Benefits
.
הבעיה הראשונה היא הכרטיס עצמו. לא משנה כמה מאובטח הוא יהיה - יזייפו אותו. אפשר להעלות את המחיר של הזיוף אבל לא להפוך אותו לבלתי אפשרי.
.

סכנות הבטיחות של המאגר הן עצומות. מדעני מחשב אינם יודעים כיצד לשמור מאגר עצום שכזה מפני פריצות מבחוץ ומבפנים. ואפילו אם יכולנו לפתור את הבעיות הללו עדיין לא נזכה בביטחון רב. ההסתמכות על ת"ז מבוסס על מיתוס בטיחות מסוכן, שאילו רק ידענו מי הוא מי יכולנו לשים ידינו על "הרעים" - למנוע מהם לעלות על מטוסים ולהסתובב חופשיים. אבל הרעיון שאכן נדע הוא מגוחך ולכן אנו מבקשים להסתמך על תעודות זהות, וזה מגוחך לא פחות. ההסתמכות על סיווג ופרופיילינג של אנשים יוצר מצב שבו אנשים רבים שאינם ראויים לאמון מסווגים כאמינים. מבצע הפיצוץ באוקלהומה, הטרוריסטים בתחתית של לונדון ומרבית הטרוריסטים של 9/11 לא היו קשורים בעברם לטרור. גורמים מסוכנים יכולים גם לגנוב זהות, ולכן הפרופיילינג לפי זהויות עלול להביא פחות ביטחון. מרבית האנשים שיתאימו לפרופילים "השליליים" אינם טרוריסטים ולכן נקבל פעמים רבות "false alarm", בזבוז משאבים חקירתיים ובטיחותיים ופגיעה באנשים חפים מפשע. וכך לגבי גנבות זהות פליליות - מי שיצליח לגנוב זהות יצליח לבצע בחסותה מעשי מרמה רבים יותר...

.

"A centralized ID system is a far greater security risk than a decentralized one with various organizations issuing ID cards according to their own rules for their own purposes. Security is always a trade-off; it must be balanced with the cost. We all do this intuitively. Few of us walk around wearing bulletproof vests. It’s not because they’re ineffective, it’s because for most of us the trade-off isn’t worth it. It’s not worth the cost, the inconvenience, or the loss of fashion sense.

.

Real ID is another lousy security trade-off. It’ll cost the United States at least $11 billion, and we won’t get much security in return. The report suggests a variety of measures designed to ease the financial burden on the states: extend compliance deadlines, allow manual verification systems, and so on. But what it doesn’t suggest is the simple change that would do the most good: scrap the Real ID program altogether. For the price, we’re not getting anywhere near the security we should..."

.

ארנון הראל - מה כה מיוחד בטכנולוגיה הביומטרית?

29.10.08: מה כה מיוחד בטכנולוגיה הביומטרית? ארנון הראל, מומחה למערכות מידע, אינו מבקש לעצור את הקידמה ואת היכולת לעשות שימושים חיוביים בביומטריה. אבל הוא מתריע על הסיכונים הכרוכים בטכנולוגיה ולקרוא לאחריות ולזהירות בשימוש בה, כך שכל מערכת מבוססת ביומטריה תכיל בתוכה מלכתחילה את האמצעים הנאותים להגנה, בקרה ושליטה, שלא יעשה בה שימוש לרעה.

.

"ישנם מצבים רבים, בחיי היום-יום, בהם הפרט דוקא אינו מעוניין להזדהות ומעדיף להשאר אנונימי; ישנם גורמים רבים, שדוקא כן מעוניינים לזהות אותו, כדי לאסוף עליו מידע, למנוע ממנו פריבילגיות, להפלות אותו, להפליל אותו, לפגוע בפרטיותו, בבטחונו האישי וברכושו ולחשוף אותו לפרסום שלא ביקש. ואז חוסר האפשרות להפטר מהאצבע או העין או הפרצוף היא דוקא חסרון ואילו היכולת להשמיד או להחליף את התעוד המזהה או לשכוח את הסיסמה מהווים דוקא יתרון…

.

בעבר הלא רחוק נהננו מהעובדה שהזכרון האנושי ויכולות עיבוד המידע היו מוגבלים ואנו כפרטים יכולנו להטמע בהמון. ההתקדמות הטכנולוגית שהושגה (ועוד תושג) מאפשרת יכולות אגירה, אחזור, שילוב והצלבה, חקירה ואימות אדירות, שלא היו קיימות בעבר. בנית וניהול מאגרי מידע אודות אנשים הפכו להיות עסק כלכלי עצום ומשימה שלטונית ראשונה במעלה, וכיוון ש-"מידע הוא כוח" - הם גם מהווים מקור עצום של כוח ומוקד של אינטרסים הן לגורמים העסקיים והן לגורמי הממשל…

.

המשמעות של פגיעה בבסיס נתונים ביומטרי הנה דרמטית מעבר לכל פגיעה בבסיס נתונים אחר. סוגי נזק מסוימים אי אפשר לשקם בדרכים המקובלות. בסיס נתונים המבוסס על סיסמאות שנפגע - ניתן לבחור סיסמה אחרת. בסיס נתונים ביומטרי שהשתבש - יש קושי גדול לשחזר אותו… במקרה של מידע ביומטרי שהגיע לידיים הלא נכונות שוב אי אפשר להחזיר את הגלגל לאחור ולתקן את הנזק. נזק מסוג זה הוא מוחלט, סופי ולאורך זמן בלתי מוגבל… מסירת מידע ביומטרי גם אינה ניתנת לביטול…

.

הביומטריה דומה במידה מסוימת לאנרגיה אטומית: יש בה הרבה תועלת אבל אם היא תפול ליידים הלא נכונות היא עלולה להיות הרסנית. האם יש לנו אמצעי שמירה נאותים? האם חוקקנו, עיצבנו ובנינו את מנגנוני ההגנה שנדרשים כדי להגן מפני העברת מידע לא ראויה או מוצדקת בין מערכות ורשויות שונות? האם הגדרנו גבולות של זמן למשך האגירה של המידע הביומטרי ובקרות על בעורו כנדרש? האם הקמנו מנגנוני אבטחה והשמדה עצמית במקרה של השתלטות עוינת או שכשפג תוקפה של העילה לשיתוף המידע מלכתחילה? האם מערכות ההגנה והאבטחה שאנו מקימים לטובת מאגרי מידע לאומיים ובינ"ל מתקרבים בעוצמתם לאלה שאנו מקימים מול איומים לאומיים ובינ"ל אחרים שהם בעלי עוצמה ופוטנציאל דומים?… "

ראו גם מצגת של ארנון הראל.

ארה"ב - דו"ח ממשלתי על עלויות והשלכות פרוייקט Real ID

1.9.06 דו"ח רשמי בארה"ב יכול ללמד על הכשלים והעלויות העצומות של פרויקט ת"ז ביומטרית. הסוכנויות שהוציאו את הדו"ח מציעות הצעות שונות כדי לבצע בצורה רציונאלית את הפרויקט. אבל מבקרים טוענים, שהבעיה היא בהנחת היסוד, לפיה חייבים להוציא אל הפועל את הפרוייקט.

.

The Real ID Act: National Impact Analysis. National Governors Association, National Conference of State Legislatures, American Association of Motor Vehicle Administrators (sep. 2006):

.
"ONCLUSION. As evidenced by this analysis, the Real ID Act presents significant operational and fiscal challenges to states and the federal government. Officials at all levels of government must also recognize the personal impact Real ID will have on individual citizens. The four major categories described in this report represent the most critical challenges facing states and consumers as the act’s implementation deadline approaches. Even with full funding and aggressive state implementation plans, however, the difficulties of complying with yet unpublished regulations by the statutory deadline of May 2008 are insurmountable.

.

Our organizations strongly believe the recommendations presented here offer reasonable and workable alternatives to help states meet the objectives of Real ID. It is our intention to work towards implementation of the act in a cost-effective and reasonable manner. Governors, state legislators and motor vehicle administrators encourage DHS to adopt regulations and Congress to pass legislation that incorporates the recommendations of this report. We also urge Congress to appropriate sufficient funds to allow states to implement the act. The objectives of Real ID are laudable, but only by working together will state and federal governments succeed in meeting the challenges presented by Real ID."

.

ראו למשל מה כותב על הדו"ח ברוס שנייר:

.

"The report suggests a variety of measures designed to ease the financial burden on the states: extend compliance deadlines, allow manual verification systems, and so on. But what it doesn’t suggest is the simple change that would do the most good: scrap the Real ID program altogether. For the price, we’re not getting anywhere near the security we should..."

.

Government accused of inflating ID fraud figures

The UK Government is facing criticism over its recent attempt to bolster plans for a national identity card scheme by releasing a report suggesting that identity fraud is costing the UK economy over £1.7 billion a year.

See:
The Government statistics (4-page / 83KB PDF)
The Silicon.com report

דרכונים באוסטרליה - אפשר גם בלי מאגר ואפילו בלי טביעות אצבע

24.10.05 - הפרלמנט האוסטרלי סיכל מספר פעמים הצעות חוק ממשלתיות, שביקשו להכניס ביומטריה לדרכונים. באוק' 2005 פרסם משרד החוץ קווים לדמותו של הדרכון החדש. בלי טביעות אצבע. בלי מאגר. תאמינו או לא - האמריקאים אישרו. האוסטרלים לא צריכים ויזה.

..

The Australian ePassport

The next generation of Australian passport—the 'ePassport' was introduced on 24 October 2005.

.

The ePassport is very similar to the previous Australian passport, differing only in having an embedded microchip in the centre page and a gold international ePassport symbol on the front cover. The chip embedded in the centre pages stores your digitised photograph, name, gender, date of birth, nationality, passport number, and the passport expiry date. This is the same information that appears on the printed information page of every passport.

//
Facial recognition technology is being introduced to coincide with the release of the ePassport. This technology will be used to improve identity verification and reduce identity-related fraud.

רוס אנדרסון - מאגר ביומטרי פולשני ואינו נחוץ

מאמר של פרופ' רוס אנדרסון, מומחה אבטחת מידע מקיימברידג' (תקציר):

Combining cryptography with biometrics shows that in those applications where you can benefit from biometrics, you often don't need a large central database (as proposed in the ID card Bill). There are smarter, more resilient, and less privacy-invasive ways to arrange things.

דו"ח של האקדמיה בלונדון - התוכנית הביומטרית מהווה סיכון גדול

27.6.05 London School of Economics: ID Cards - UK's high tech scheme is high risk:

Download the full report (approx 300 pages) Download the executive summary

"The likely cost of rolling out the UK government's current high-tech identity cards scheme will be £10.6 billion on the 'low cost' estimate of researchers at the London School of Economics and Political Science (LSE), without any cost over-runs or implementation problems. Key uncertainties over how citizens will behave and how the scheme will work out in practice mean that the 'high cost' estimate could go up to £19.2 billion. A median figure for this range is £14.5 billion.

If all the costs associated with ID cards were borne by citizens (as Treasury rules currently require), the cost per card (plus passport) would be around £170 on the lowest cost basis and £230 on the median estimate. The Annex (below) shows where LSE expects costs to be incurred and the 'Top Ten Uncertainties' about the project as currently planned.

The LSE report The Identity Project: an assessment of the UK Identity Cards Bill and its implications is published today (27 June) after a six month study guided by a steering group of 14 professors and involving extensive consultations with nearly 100 industry representatives, experts and researchers from the UK and around the world. The project was co-ordinated by the Department of Information Systems at LSE.

The LSE report concludes that an ID card system could offer some basic public interest and commercial sector benefits. But it also identifies six other key areas of concern with the government's existing plans:

• 
  Multiple purposes Evidence from other national identity systems shows that they perform best when established for clear and focused purposes. The UK scheme has multiple rather general rationales, suggesting that it has been 'gold-plated' to justify the high tech scheme. For example, the government estimates that identity fraud crimes may cost up to £1.3 billion a year, but only £35 million of this amount can be addressed by an ID card.

• 
  Will the technology work? No scheme on this scale has been undertaken anywhere in the world. Smaller and less ambitious schemes have encountered substantial technological and operational problems that are likely to be amplified in a large-scale national system. The use of biometrics creates particular concerns, because this technology has never been used at such a scale.

• 
  Is it legal? In its current form, the Identity Cards Bill appears to be unsafe in law. A number of elements potentially compromise Article 8 (privacy) and Article 14 (discrimination) of the European Convention on Human Rights. The government may also be in breach of law by requiring fingerprints as a pre-requisite for receipt of a passport. The report finds no clear case why the ID card requirements should be bound to internationally recognized requirements on passport documents.

• 
  Security The National Data Register will create a very large data pool in one place that could be an enhanced risk in case of unauthorized accesses, hacking or malfunctions.
  Citizens' acceptance An identity system that is well-accepted by citizens is likely to be far more successful in use than one that is controversial or raises privacy concerns. For example, it will be critical for realizing public value that citizens want to carry their ID cards with them and to use them in a wide range of settings.

• 
  Will ID cards benefit businesses? Compliance with the terms of the ID cards Bill will mean even small firms are likely to have to pay £250 for smartcard readers and other requirements will add to the administrative burdens firms face.

The LSE report concurs with 79 out of the 85 recommendations made by the House of Commons Home Affairs Committee in its report on the draft Identity Cards Bill. Following up suggestions there and coming from industry and academic experts, the LSE team also set out an alternative ID card scheme that would still incorporate biometrics, but would be simpler to implement and radically cheaper. The LSE alternative ID card would also give citizens far more control over who can access data about them, and hence would be more likely to win positive public and industry support.

Dr Gus Hosein, a fellow in the Department of Information Systems at LSE, said : 'We have proposed an alternative model that we believe to be cheaper, more secure and more effective than the current government proposal. It is important that Parliament gets the chance to consider a range of possible models before the ID Cards Bill is passed. Even if government figures were correct, the costs of the government scheme are disproportionately higher than the scheme's ability to protect the UK from crime, fraud or terrorism.'

Professor Patrick Dunleavy, Professor of Political Science and Public Policy at LSE, said: 'This report is not an argument for or against ID cards, but an impartial effort to improve the evidence base available to Parliament and the public. The Home Office currently officially suggests that ID cards will cost around £6 billion to implement over ten years, but it has not yet justified this estimate in detail. By contrast, we recognize considerable uncertainties ahead with such a novel, high tech scheme and we show how these uncertainties might affect costings.'