המטה ללוחמה בטרור: לא חייבים מאגר ביומטרי

7.5.09, אהוד קינן ב-ynet מדווח על דיון, שהתקיים הבוקר באונ' תל אביב בהנחייתו של ד"ר מיכאל בירנהק, בהשתתפות נציגי הכנסת, הממשלה ואנשי חוק ואקדמיה. במפגש נידונו היבטי הפרטיות של החוק, וכן המצב החוקי של מאגרים ומסמכי זיהוי ביומטריים בעולם, על פי מסמך שפירסם מרכז המחקר והמידע של הכנסת.

נטלתי חלק בדיון, ולהלן כמה דברים שנאמרו - לפי הדיווח של קינן עם תוספות והתאמות שלי:

עו"ד סיגל קוגוט, היועצת המשפטית של ועדת החוקה של הכנסת הצביעה על הסעיף שקובע ש"לא ייעשה שימוש במאגר", אבל מייד לאחר מכן מונה סייגים שונים, שהם בעצם העיקר - המאגר נועד לשמש לא רק את משרד הפנים לצורך רישום אוכלוסין אלא גם את משטרה והשב"כ.

דסי גרינברג מהמטה ללוחמה בטרור, אמרה שעמדתם העקרונית של המטה ושל שירותי הביטחון היא שהם יכולים לפעול גם ללא מאגר - הם לא ממש חייבים אותו, והוא מציב סכנות, אבל אפשר לחיות איתן, ולכן אם המשטרה כל כך רוצה - שיהיה.

"הדאגות לגבי אבטחת המאגר מבוססות על המציאות, אומר יורם הכהן ראש הרשות למשפט וטכנולוגית מידע במשרד המשפטים. 'בניגוד למרשם אוכלוסין, מידע ביומטרי שהולך לאיבוד זה טוטאל לוס. לא ניתן לתקן את זה אם זה הולך לאיבוד. לא ניתן לשנות מידע ביומטרי של אדם', הוא אומר, 'האתגר של אבטחת המידע הוא עצום, והכלל אומר שאם אין לך מידע לא צריך לאבטח אותו'.

"המאגר הזה הולך לדלוף, זה ברור לכולנו”, פוסק פרופ' אלי ביהם, דיקן הפקולטה למדעי המחשב בטכניון, ותיאר תרחיש לפיו ניתן יהיה להפליל אנשים על ידי לקיחת טביעות אצבע. “אני לא רואה שום דרך שאפשר להגן על מאגר כזה".

עו"ד אבנר פינצ'וק מציע לחכות ליישום של חוקים ומאגרים דומים במדינו אחרות בעולם לפני היישום שלו בישראל לאור הרקורד העלוב, לדבריו, שעולה מדו"ח המבקר.

* * *

מידע חשוב ומדאיג שהתברר במהלך המפגש: מסתבר שח"כ מאיר שיטרית, מי שהריץ בחיפזון ובאגרסיביות את הצעת החוק בהיותו שר הפנים, ומשמש עתה כיו"ר ועדת המדע של הכנסת, ביקש להעביר את הדיון בהצעה לועדה שבראשותו. מדובר בהצעת חוק שיש לה השלכות חמורות על זכויות הפרט ועל הדמוקרטיה וראוי לדון בה בועדת החוקה. אגב, כשהגיש את הצעת החוק לכנסת, ביקש שיטרית שהיא תידון בועדת החוקה. הצעות חוק כל כך רגישה - זה לא עניין אישי של ח"כ כזה או אחר. בשערורייה הזו ננסה לטפל מחר.

זיוף טביעת אצבע של שר הפנים (בינתיים רק בגרמניה)

30.9.08 Theregister מדווח על זיוף טביעת האצבע של שר הפנים הגרמני, מצדד נלהב של שימוש בביומטריה כאמצעי ביטחון. טביעת האצבע של השר נלקחה מכוס זכוכית שהשתמש בה, ומגזין גרמני כבר קורא לתפוס ולזייף טביעות אצבע של פוליטיקאים קשקשנים נוספים (...). כדאי שהשר שיטרית יתחיל להשתמש בכפפות.

.

המדען שהשתתף במבצע אומר ששימוש "ביטחוני" בטביעת אצבע משול להפקרת סיסמת הכניסה למחשב שלכם בלי כל יכולת לשלוט עליה בעתיד. אלא שסיסמא אפשר כמובן להחליף מה שקשה לעשות עם טביעת האצבע.

.

ברוס שנייר:

.

"This is 1) a good demonstration that a fingerprint is not a secret, and 2) a great political hack. Wolfgang Schauble, Germany's interior minister, is a strong supporter of collecting biometric data on everyone as an antiterrorist measure. Because, um, because it sounds like a good idea."

על יתרונות הטכנולוגיה - 10.8.08

אבנר ב-pratiut.com: מומחי IT רבים שהתראיינו השבוע יצאו נגד ההחלטה של הממשלה. אבל במקום אחד מצאתי דווקא מומחה שמצדד. בכתבה בדיילי-מיילי 4.8.2009 ראיתי שנעם קפלן, מנהל המגזר הציבורי ב-EDS, אומר: "צריך לבחון את הנושא משני היבטים - ההיבט הביטחוני וההיבט של מתן שירותים. משני ההיבטים הצעד בהחלט מבורך מהטעמים הבאים: מהפן הביטחוני … ניתן לראות מי מעורב והיכן; מההיבט של מתן שירותים זה פותח בפנינו אופציות רבות לשירות טוב יותר…פחות תורים. לגבי החוששים מ-'אח הגדול', זוהי תופעה מתקדמת בכל העולם ואין צורך לעמוד כנגדה, אלא לקחת ממנה את היתרונות. כל מי שמגיע לארה"ב – נלקחות ממנו טביעות אצבע. אז למה ששם יהיה מאגר ואצלנו לא?".

חיפשתי קצת. מי זה EDS? ובכן, זו חברה שהתמודדה על המכרז הראשון של ת"ז חכמה ב-2002. באותו מכרז זכתה HP ואז הגישה EDS עתירה שהביאה לביטול המכרז (ראו למשל: גלובס 16.12.2007) . קרוב לוודאי שבמכרז הבא על תעודות הזהות שוב לא תהיה יריבות משום שבינתיים נרכשה EDS על ידי HP, ושתיהן גם יחד עשויות למצוא בפרוייקט הטכנולוגי הזה יתרונות משמעותיים.

אגב, בארצות הברית יש באמת מאגר, אבל של זרים. אפילו ממשל בוש לא העז לחשוב על מאגר של כל האזרחים.

האם מאגר ביומטרי מהווה סכנה לבטחון המדינה?

5.8.08 עומר טרן "יומן אבטחה"

אין כל צורך במאגר הביומטרי על מנת להלחם בזיופי דרכונים ותעודות זהות והטענה כאילו יש בכך צורך היא במקרה הטוב הונאה של הציבור וציבור המחוקקים בשם גחמה. אלא שנדמה כי למאגר שכזה עלולות להיות השלכות שליליות על בטחון המדינה, כאלה ההופכות את עצם קיום המאגר לבעיה בטחונית. כזו הגורמת לי להטיל ספק בשיקול הדעת של מי שחשבו על הרעיון ההזוי הזה. …

לפני שאסביר את הסכנות הגלומות בקיום מאגר כזה, חשוב להסביר מדוע הטוענים כי גם במדינות אחרות נעשה שימוש בזיהוי ביומטרי טועים ומטעים. …

ניסיון העבר של מדינת ישראל מלמד כי מידע המוגן על ידי חוק הגנת הפרטיות דולף החוצה. מידע אישי ממשרד הפנים מצוי באינטרנט, אך גם מידע ממאגרים משטרתיים וממאגרי בתי המשפט דולף החוצה על בסיס קבוע. אנחנו כמובן מודעים לכך רק כאשר זה מגיע לתקשורת, אך סביר להניח כי אלו מיעוט המקרים. אם נשלב את הנתונים הללו יחד נקבל כי המדינה מעוניינת להקים מאגר של דגימות מקור ביומטריות שבסבירות גבוהה ידלוף החוצה ובמצב כזה לא ניתן יהיה להשיב את הגלגל לאחור.

יותר מזה, במידה ומסיבות של בטחון מדינה תרצה המדינה להוציא מישהו מהמאגר בשלבים מאוחרים יותר בחייו לא תהיה לכך משמעות.אנו יודעים גם כן כי ניתן בקלות יחסית לזייף טביעות ביומטריות. מטבע הדברים הטכנולוגיות משתכללות, אך גם טכניקות התקיפה. פועל יוצא הוא שקיומו של מאגר ביומטרי מרכזי עלול לגרום לבעיית הזיוף אותה לכאורה (לכאורה בלבד, כיוון שזו אינה מטרת המאגר) מנסה המדינה למנוע.

אלא שהמשמעות היא יותר דרמטית מ"ניתן לזייף ביומטרי". המדינה תבסס את הזיהוי הביומטרי שלה על נתוני הגלם המקוריים המצויים במאגר, עובדה שתאפשר לכל מי ששם ידו על המאגר ליצור זיוף בתנאי מעבדה ולבדוק אותו מול המאגר הממשלתי עד להתאמה מושלמת. באותה המידה שניתן לזייף טביעות אצבע, ניתן לזייף זיהוי פנים באמצעות מסיכת לטקס מהסוג שמשמש את תעשיית הקולנוע. בהנתן ההשקעה הכספית המתאימה תימצא המתקפה המתאימה. בייחוד לאור העובדה שגופי מדינה יעשו שימוש בטכנולוגיות מדף רגילות אותן יכול כל תוקף לקנות על מנת לבצע ניסויי מעבדה על יבש. מלכתחילה המטרה היא להתמודד עם אלו שמוכנים להשקיע כסף בתעודות מזויפות. מספר תרחישים אפשריים… כניסה לארץ … זיהוי בעלי תפקידים בגופים מסווגים … כניסה למתקנים מסווגים …

הבעיה המרכזית של מדינת ישראל בכל האמור לזיופים היא חלמאות, טיפשות ועצלנות. את אלה גם שמונה מאות מאגרים ביומטריים ותשעים מיליון תעודות חכמות בהשקעה של שבעה מיליארד דולר לא יתקנו.

מיכאל שפיר - זיהוי ביומטרי ופרטיות

31.7.08 - זיהוי ביומטרי ופרטיות מאת מיכאל (מיכה) שפיר, חוקר, מדען וטכנולוג ראשי במספר רב של חברות היי טק, מסביר מהו זיהוי ביומטרי, מדוע מסוכן להשתמש בו במערכות ענק, מתאר את הפגיעה בפרטיות, את אפשרויות הזיוף הרבות, ומזכיר חלופות פולשניות פחות. הוא גם מזכיר דרך של התנגדות אזרחית.

"זיהוי ביומטרי נחשב משפטית כפולשני כי הוא עוסק במאפיינים ההתנהגותיים ו/או הפיזיולוגיים של האדם, הניתנים למדידה ולשמירה והיכולים לשמש לאימות זהותו. לכל אדם מאפיינים ביומטריים ייחודיים לו. …
מידע ביומטרי שנפל לידי עבריינים ואו גופים זרים, יסכן את שלומו של בעליו. …מאגר ביומטרי ככל שהוא גדול יותר, הוא מהווה מכשול גדול יותר ביכולת שלו לאתר רשומה נכונה. בנייה והשוואה למאגר נתונים ביומטרי גדול, לא ימנע "הרכשה הכפולה", ולא יכול לצדד בצורך בבנית מאגר כזה תוך פגיעה אפשרית בפרטיותם של אזרחים תמימים.…
הטענה שה"שימוש בטביעת אצבעות ימנע זיוף" מטעה - לא זו בלבד שתופעת הזיוף תחריף, היא תהפוך לנפוצה ובתי המשפט יתמלאו ב"עבריינים" (לכאורה) שאינם יכולים להתכחש לביומטריה שלהם בשל עבירות זיופי זהות ביומטרית, שבוצעו על ידי זייפני רחוב... הקלות הבלתי נסבלת של זיוף ביומטרי… סרטון הדגמה…
כדי להמחיש שהמדינה לא עשתה הכל כדי להמנע מפגיעה באזרחיה - ניקח את רעיון ה"הביומטריה ללא עקבות"…
המידע האגור ב"כרטיס חכם" צפוי ע"פ הנסיון בעולם, להתבטל. כל פתרון "אלקטרוני" (פולשני) ביחוד לעניין זהות, מטבע הדברים והמשמעויות עשוי ל"הפצח" או ל"הנטרל"…
אזרח יוכל תאורטית... למחוק את המידע מהכרטיס האישי שלו בהליך "פרימיטיבי" ביתי פשוט - הכנסתה של תעודת הזהות "החכמה" למכשיר מקרוגל ביתי במשך 5 עד 7 שניות שלא תפגע במזהים הויזואליים …קיימות היום טכנולוגיות החדשות ואלטרנטיבות לאימות ודאי וקשירה של כרטיסי זהות לאזרחים עצמם, ומניעת זיוף גם ללא מאגרי נתונים ביומטריים, ללא כרטיס "אלקטרוני חכם" וללא (יצירת) חשש לפגיעה בפרטיות - תוך שמירה על החוק… "

נשואה למאפיה - המחוקקים בבריטניה מזהירים מפני שימוש עברייני במידע הביומטרי

10.6.08 - דו"ח של הפרלמנט הבריטי מזהיר מפני ההשלכות החמורות של שימוש במידע ביומטרי בתעודות זהות ובמאגרים. הפשע המאורגן ישים ידו על הנתונים וישתמש בהם לגניבת זהות. במקרה של מידע ביומטרי הנזק הוא בלתי הפיך.

מקור: SecurityInfoWatch.com. (ראו גם: LiveJurnal).

אחד המומחים שהופיעו בפני הוועדה בפרלמנט הוא פרופ' רוס אנדרסון, מומחה לאבטחת מידע מקיימברידג':

"There is a fundamental security engineering problem with biometrics as opposed to the cryptographic keys in your chip and pin card. Once your biometrics become compromised, you cannot revoke them. It is not practical to do eye or finger transplants. Once you start using biometrics on a very wide scale, for all sorts of everyday transactions, the Mafia will also have your biometrics. You do not know which shops are owned by the Mafia but if you end up having to put your fingerprint on the glass every time that you buy a can of Coke, sooner or later the Mafia will have the biometrics of millions of people.' The powerful Commons' Home Affairs Committee called on the Home Office to prepare 'contingency plans to be implemented in the event of a loss or theft of biometric information from its databases" …

מאגר ביומטרי למדינת ישראל, מי צריך כזה? - עומר טרן 5.6.08

עומר טרן, מומחה לאבטחת מידע שואל מי בכלל צריך מאגר.

על מנת שבתי עסק יוכלו להגן על עצמם מזיופים (המטרה העקרונית של סעיף זה) הם צריכים לא רק תעודה שקשה לזייף אלא גם תעודה שקל לוודא. כלומר המנגנון הנדרש הוא כפול - קשה לזייף, קל לאמת. שטר הנו דוגמא קלאסית לאמצעי מסוג זה. טביעה ביומטרית? למיטב ידיעתי לא. רוב הסיכויים שעסקים יעשו שימוש ברכיבים הלא ביומטריים של התעודה (עיצוב הכרטיס) על מנת לאמת את תקפותה.

נדמה כי המטרה האמיתית של החוק אינה למנוע זיופים של תעודות זהות כפי שכתוב בפתיח לתזכיר החקיקה אלא דווקא לספק לגופי הבטחון מאגר ביומטרי על האזרחים. את סוגיית הזיוף ניתן למנוע בצורה זולה יותר וללא שימוש במאגר ביומטרי מרכזי (גם אם נעשה שימוש במאגר ביומטרי ניתן לעשות שימוש במאגר שאינו ניתן לשחזור ושאינו מרכזי)... מאגר שכזה יפריע למשטרה במילוי תפקידה יותר מאשר יועיל.

לא התרשמתי שתזכיר החקיקה מגובה בעבודת מטה אמיתית המנתחת צרכים, סיכונים ותהליכים. נדמה כי תזכיר החקיקה נולד מתוך מספר גחמות - הרצון הנצחי של גופי בטחון ושיטור לקבל את כל הנתונים האפשריים על כל האזרחים; הרצון של משרד האוצר לקדם תעודת זהות דיגיטלית; הרצון של משרד הפנים להסיט את האש מחוסר המאמצים שלו לטפל בסוגיית זיוף תעודות רשמיות. כך נולד לו פרויקט מסוכן, מגלומני ובזבזני. מאחר והוא משרת את רצונות האוצר והבטחון, אגב, כנראה שבמקרה זה לא יהיה מחסור תקציבי.

פורצים את ההצפנה של כרטיסים חכמים

12.3.08 Dan Goodin The Register- חוקרי בטיחות מידע מצאו דרך לפרוץ ולזייף בתוך דקות הצפנה של כרטיסים חכמים, המשמשים כאמצעי כניסה לאתרים ומוסדות שונים.

"If you want to get into a high-security building, spending a matter of days is OK. Now, it doesn't take days; it takes minutes for subways and military installations alike..."

.

פרופסור למערכות מידע בבריטניה: ת"ז ביומטרית היא גניבת הזהות האולטימטיבית

7.3.08 – Time OnLine, פרופ' איאן אנג'ל, מומחה למערכות מידע ב-London School of Economics: מערכות מחשב נכשלות תמיד ומאגר לאומי יעשה זאת "big time".

פרוייקט תעודת הזהות כרוך במערכות מחשב ענקיות ומורכבות, הרבה יותר ממערכת המחשב של משרד הבריאות שדלפה לאחרונה בבריטניה – זוהי הקטסטרופה הבאה. הפוליטיקאים נאיבים מדי כדי לחשוב שלא יהיו בעיות, שהמאגר יהיה מאובטח לחלוטין בגלל שהוא ביומטרי. אבל הניסיון, לרבות דוגמאות מהתקופה האחרונה, מלמד שמערכות מחשב ענקיות שכאלה נכשלות שוב ושוב. מאגר ביומטרי בהיקף לאומי יהיה מטרה אולטמיטיבית ל"אולמפיידת ההאקרים".

מלבד כשלים טכנולוגיים שקורים בכל מאגר, תמיד נמצאים מבין העובדים שמטפלים בו מעטים שמעבירים מידע – 80% מכשלי האבטחה אינם קורים בגלל האקרים אלא בגלל עובדים מושחתים. ובמקרה של מאגר ביומטרי, המאגר יהפוך למקור לגניבות זהות, פעילות טרוריסטית.…

"Paradoxically, you only agreed to register to protect yourself from “identity theft”, and instead you find yourself victim of the ultimate identity theft - the total loss of control over your identity.
Errors won't just happen by accident. It's possible to imagine that workers on the ID database will be corrupted, threatened or blackmailed into creating perfectly legal ID cards for international terrorists and criminals. Then the ID card, far from eliminating problems, will be a one-stop shop for identity fraud; foreign terrorists, illegal immigrants will be waived past all immigration checks…

At a recent Ditchley Park conference on combating organised crime, a persistent warning from the law enforcement authorities was that criminal gangs had placed “sleepers” in financial sector companies, and they were just waiting for the one big hit. The perpetrators of 80 per cent of all computer security lapses are not hackers, but employees. Cryptographic systems don't help if the criminal has been given the keys to the kingdom. Why should the ID centre be immune, especially when there will be nearly 300 government departments logging in. Furthermore, the register will be the No 1 target for every hacker on the planet: the Olympic Games of hacking. …"

ID cards are the ultimate identity theft

Computer systems always fail - and the national database will do so big time

Angell, I ID cards are the ultimate identity theft The Times, March 7, 2008

Ian Angell is Professor of Information Systems at the London School of Economics

The ID project is one of the biggest computer systems envisaged - far more complex than the failing NHS system. And it's another disaster waiting to happen. Still the politicians naively claim there will be no problems: it will be totally secure because of biometrics.

The only property that all systems have in common is that they fail. And the bigger the system - 60 million entries on a compulsory ID card database - the greater the opportunity of failure.

Errors won't just happen by accident. It's possible to imagine that workers on the ID database will be corrupted, threatened or blackmailed into creating perfectly legal ID cards for international terrorists and criminals. Then the ID card, far from eliminating problems, will be a one-stop shop for identity fraud; foreign terrorists, illegal immigrants will be waived past all immigration checks.

ברוס שנייר על הסכנה שבפרוייקט Real ID

ברוס שנייר, מומחה לאבטחת מידע: Real-ID: Costs And Benefits
.
הבעיה הראשונה היא הכרטיס עצמו. לא משנה כמה מאובטח הוא יהיה - יזייפו אותו. אפשר להעלות את המחיר של הזיוף אבל לא להפוך אותו לבלתי אפשרי.
.

סכנות הבטיחות של המאגר הן עצומות. מדעני מחשב אינם יודעים כיצד לשמור מאגר עצום שכזה מפני פריצות מבחוץ ומבפנים. ואפילו אם יכולנו לפתור את הבעיות הללו עדיין לא נזכה בביטחון רב. ההסתמכות על ת"ז מבוסס על מיתוס בטיחות מסוכן, שאילו רק ידענו מי הוא מי יכולנו לשים ידינו על "הרעים" - למנוע מהם לעלות על מטוסים ולהסתובב חופשיים. אבל הרעיון שאכן נדע הוא מגוחך ולכן אנו מבקשים להסתמך על תעודות זהות, וזה מגוחך לא פחות. ההסתמכות על סיווג ופרופיילינג של אנשים יוצר מצב שבו אנשים רבים שאינם ראויים לאמון מסווגים כאמינים. מבצע הפיצוץ באוקלהומה, הטרוריסטים בתחתית של לונדון ומרבית הטרוריסטים של 9/11 לא היו קשורים בעברם לטרור. גורמים מסוכנים יכולים גם לגנוב זהות, ולכן הפרופיילינג לפי זהויות עלול להביא פחות ביטחון. מרבית האנשים שיתאימו לפרופילים "השליליים" אינם טרוריסטים ולכן נקבל פעמים רבות "false alarm", בזבוז משאבים חקירתיים ובטיחותיים ופגיעה באנשים חפים מפשע. וכך לגבי גנבות זהות פליליות - מי שיצליח לגנוב זהות יצליח לבצע בחסותה מעשי מרמה רבים יותר...

.

"A centralized ID system is a far greater security risk than a decentralized one with various organizations issuing ID cards according to their own rules for their own purposes. Security is always a trade-off; it must be balanced with the cost. We all do this intuitively. Few of us walk around wearing bulletproof vests. It’s not because they’re ineffective, it’s because for most of us the trade-off isn’t worth it. It’s not worth the cost, the inconvenience, or the loss of fashion sense.

.

Real ID is another lousy security trade-off. It’ll cost the United States at least $11 billion, and we won’t get much security in return. The report suggests a variety of measures designed to ease the financial burden on the states: extend compliance deadlines, allow manual verification systems, and so on. But what it doesn’t suggest is the simple change that would do the most good: scrap the Real ID program altogether. For the price, we’re not getting anywhere near the security we should..."

.

בעיות אפשריות בתעודת זהות חכמה

18.6.06 עומר טרן "יומן אבטחה"

… אני גם קורא להקמת פורום מומחים בלתי תלוי שיבחן את השלכות פרויקט שכזה על פרטיות האזרחים, בטחונם ותועלות חברתיות וכלכליות שיש בפרויקט (אם בכלל), לעומת המחיר הצפוי (חברתי וכלכלי). בדומה לפרויקט שנעשה בבריטניה.

נושא תעודת הזהות החכמה נשמע מאוד מלהיב… למעשה, הכל יכול להיות הרבה יותר גרוע מכפי שהוא היום… אם לוקחים בחשבון שמטרת תעודת הזהות הדיגיטלית לאפשר ביצוע פעולות במרחב הוירטואלי, המשמעות תהיה שדווקא החשש מגניבת הזהויות שמהווה את התמריץ המרכזי (לכאורה) לפרויקטים מסוג זה עלול להתממש ולהותיר אותנו במצב חמור הרבה יותר מכפי שהוא כיום…

אלא שזה לא סוף הסיפור. היה ויום אחד חברות מסחריות יעשו שימוש בתעודת הזהות הדיגיטלית כאמצעי זיהוי, אנו נגלה שלא רק שקל לגנוב זהויות אלא שקשה להתכחש להן. … כתוצאה לגופים מסחריים יהיה תמריץ הרבה יותר קטן לאבטחת מערכות.

בשלב הזה אני מניח שצריך להסביר מדוע כרטיס חכם כתעודת זהות חכמה זה לא דבר כה מאובטח. הכרטיס עצמו יכול להיות מאוד מאובטח (אף כי ניתן לפרוץ גם את אלה). אלא שכרטיס חכם עושה שימוש בישות מארחת שרמת האבטחה בה אינה ידועה (מחשב המשתמש). ניתן בקלות יחסית להאזין להקלדות הקוד הסודי של הכרטיס על ידי המשתמש ובאמצעות סוס טרויאני למפות את כרטיס המשתמש למחשב מרוחק. ניתן במתקפה לא מורכבת מדי ולבטח אטרקטיבית להשתלט מרחוק על כרטיס חכם של משתמש.

עכשיו בואו נחבר את הנתון הזה עם כמות המשתמשים בשירותי בנקאות מקוונת בישראל (כמה מאות אלפים), עם כמות המחשבים הנשלטים מרחוק על ידי עבריינים… ונקבל מתכון לפשיעה מקוונת שיטתית.

רוס אנדרסון - מאגר ביומטרי פולשני ואינו נחוץ

מאמר של פרופ' רוס אנדרסון, מומחה אבטחת מידע מקיימברידג' (תקציר):

Combining cryptography with biometrics shows that in those applications where you can benefit from biometrics, you often don't need a large central database (as proposed in the ID card Bill). There are smarter, more resilient, and less privacy-invasive ways to arrange things.

דו"ח של האקדמיה בלונדון - התוכנית הביומטרית מהווה סיכון גדול

27.6.05 London School of Economics: ID Cards - UK's high tech scheme is high risk:

Download the full report (approx 300 pages) Download the executive summary

"The likely cost of rolling out the UK government's current high-tech identity cards scheme will be £10.6 billion on the 'low cost' estimate of researchers at the London School of Economics and Political Science (LSE), without any cost over-runs or implementation problems. Key uncertainties over how citizens will behave and how the scheme will work out in practice mean that the 'high cost' estimate could go up to £19.2 billion. A median figure for this range is £14.5 billion.

If all the costs associated with ID cards were borne by citizens (as Treasury rules currently require), the cost per card (plus passport) would be around £170 on the lowest cost basis and £230 on the median estimate. The Annex (below) shows where LSE expects costs to be incurred and the 'Top Ten Uncertainties' about the project as currently planned.

The LSE report The Identity Project: an assessment of the UK Identity Cards Bill and its implications is published today (27 June) after a six month study guided by a steering group of 14 professors and involving extensive consultations with nearly 100 industry representatives, experts and researchers from the UK and around the world. The project was co-ordinated by the Department of Information Systems at LSE.

The LSE report concludes that an ID card system could offer some basic public interest and commercial sector benefits. But it also identifies six other key areas of concern with the government's existing plans:

• 
  Multiple purposes Evidence from other national identity systems shows that they perform best when established for clear and focused purposes. The UK scheme has multiple rather general rationales, suggesting that it has been 'gold-plated' to justify the high tech scheme. For example, the government estimates that identity fraud crimes may cost up to £1.3 billion a year, but only £35 million of this amount can be addressed by an ID card.

• 
  Will the technology work? No scheme on this scale has been undertaken anywhere in the world. Smaller and less ambitious schemes have encountered substantial technological and operational problems that are likely to be amplified in a large-scale national system. The use of biometrics creates particular concerns, because this technology has never been used at such a scale.

• 
  Is it legal? In its current form, the Identity Cards Bill appears to be unsafe in law. A number of elements potentially compromise Article 8 (privacy) and Article 14 (discrimination) of the European Convention on Human Rights. The government may also be in breach of law by requiring fingerprints as a pre-requisite for receipt of a passport. The report finds no clear case why the ID card requirements should be bound to internationally recognized requirements on passport documents.

• 
  Security The National Data Register will create a very large data pool in one place that could be an enhanced risk in case of unauthorized accesses, hacking or malfunctions.
  Citizens' acceptance An identity system that is well-accepted by citizens is likely to be far more successful in use than one that is controversial or raises privacy concerns. For example, it will be critical for realizing public value that citizens want to carry their ID cards with them and to use them in a wide range of settings.

• 
  Will ID cards benefit businesses? Compliance with the terms of the ID cards Bill will mean even small firms are likely to have to pay £250 for smartcard readers and other requirements will add to the administrative burdens firms face.

The LSE report concurs with 79 out of the 85 recommendations made by the House of Commons Home Affairs Committee in its report on the draft Identity Cards Bill. Following up suggestions there and coming from industry and academic experts, the LSE team also set out an alternative ID card scheme that would still incorporate biometrics, but would be simpler to implement and radically cheaper. The LSE alternative ID card would also give citizens far more control over who can access data about them, and hence would be more likely to win positive public and industry support.

Dr Gus Hosein, a fellow in the Department of Information Systems at LSE, said : 'We have proposed an alternative model that we believe to be cheaper, more secure and more effective than the current government proposal. It is important that Parliament gets the chance to consider a range of possible models before the ID Cards Bill is passed. Even if government figures were correct, the costs of the government scheme are disproportionately higher than the scheme's ability to protect the UK from crime, fraud or terrorism.'

Professor Patrick Dunleavy, Professor of Political Science and Public Policy at LSE, said: 'This report is not an argument for or against ID cards, but an impartial effort to improve the evidence base available to Parliament and the public. The Home Office currently officially suggests that ID cards will cost around £6 billion to implement over ten years, but it has not yet justified this estimate in detail. By contrast, we recognize considerable uncertainties ahead with such a novel, high tech scheme and we show how these uncertainties might affect costings.'