Co by było gdyby…? Nikt nie uwierzył, że Ty to Ty!

Co by było gdyby nie można było udowodnić, że jesteśmy tymi, za których się podajemy? O ryzyku kradzieży tożsamości i jej konsekwencjach na swoim blogu  Countermeasures.trendmicro.eu snuje rozważania Rik Ferguson, doradca ds. bezpieczeństwa z firmy Trend Micro.

Cyberprzestępczość już od dawna koncentruje się na kradzieży wielu rodzajów informacji, m.in. danych bankowych czy informacji pomagających w kradzieży tożsamości, takich jak numer prawa jazdy czy paszportu, nazwisko panieńskie matki, data i miejsce urodzenia itp. Istnieją już podziemne fora, na których takimi informacjami handluje się jak towarem, a tożsamość (do celów oszustw finansowych związanych z pożyczkami, kartami kredytowymi itp.) można kupić za jedyne 10 dolarów.

Wielu rodzajów kradzieży dokonuje się za pomocą złośliwych programów atakujących komputery. Dawniej były one domeną przestępczości zorganizowanej, ponieważ koszt ich zakupu był zbyt wysoki dla amatorów. Obecnie jednak wiele programów, np. ZeuS, który należał wcześniej do produktów z górnej półki, można pobrać za darmo. Złośliwe oprogramowanie ma zaawansowane funkcje informacyjne i zdalnej kontroli, umożliwiające atakującemu śledzenie, modyfikowanie lub kradzież dowolnej informacji przechowywanej na komputerze, wpisanej w przeglądarkę internetową lub wprowadzonej przez użytkownika z klawiatury. Tego rodzaju oprogramowanie przestępcze stało się tak rozpowszechnione i tanie, że aby przyciągnąć klientów, przestępcy zaczęli je sprzedawać wraz z usługami dodatkowymi, takimi jak hosting czy zarządzanie.

Czyż firmy świadczące usługi użyteczności publicznej, firmy obsługujące karty kredytowe, banki i inne instytucje finansowe skłaniające klientów do coraz częstszego korzystania z usług internetowych, e-bilingów i e-wyciągów nie doprowadzają w ten sposób do tego, że coraz łatwiej jest ukraść tożsamość, a coraz trudniej ją udowodnić? Skradzione dokumenty i szablony do ich tworzenia są dostępne w Internecie dla każdego, kto wie, gdzie ich szukać. Znajdzie się tam więc również miejsce na Twoje prawo jazdy i Twój paszport. Czy aby udowodnić, gdzie mieszkasz, nie potrzebujesz przypadkiem ostatnich rachunków, a aby zaciągnąć kredyt hipoteczny — ostatnich trzech wyciągów bankowych…?

Sposobem na te problemy był, i wciąż jest, zakup niszczarki do dokumentów i niszczenie wszelkiej korespondencji, aby uchronić się przed złodziejami tożsamości. W praktyce jednak kradzież tożsamości jest często dokonywana elektronicznie, a przestępcy, dysponując oprogramowaniem do kradzieży danych przechowywanych przez firmy świadczące usługi użyteczności publicznej, banki i kredytodawców, nie muszą już grzebać w Twoim koszu na śmieci o trzeciej nad ranem.

W jaki sposób możemy więc udowodnić, że jesteśmy tymi, za których się podajemy? Warto zauważyć, że identyfikacja biometryczna ma taką samą wartość, jak sam dowód osobisty będący jej podstawą: jeżeli ja mogę być tobą, to mogę też złożyć wniosek o dokument biometryczny, który będzie zawierał moje „własne” odciski palców, wzór tęczówki bądź geometrię twarzy. Co wtedy? Czy ja staję się Tobą? Kim więc jesteś Ty? Jeśli stopniowo wymieniamy części samochodowe, aż nie zostaje nic z pierwotnego pojazdu, a jednak części stanowią całość, to czy jest to wciąż ten sam samochód?

Co by się stało, gdyby zaufanie zostało nadwątlone do tego stopnia, że nikt nie wierzyłby w „dowody” tożsamości? Czy lokalny bądź nawet globalny system finansowy zawaliłby się, ponieważ ryzyko kredytowe stałoby się zbyt wielkie? Czy też handel internetowy trwałby nadal, w myśl zasady, że otrzymanie zapłaty to wystarczający warunek wysyłki towarów — co jeszcze bardziej pogłębiałoby kryzys zaufania w epoce, gdy wszystkie rachunki bankowe stałyby się publicznie dostępne?

W najgorszym przypadku system finansowy przestałby istnieć w postaci, jaką znamy obecnie. Podobnie jak kredyty hipoteczne czy pożyczki. Z kolei rachunki bankowe, uważane dotychczas za bastiony prywatności, byłyby traktowane z wrodzoną podejrzliwością. Czynności wywiadowcze opierające się na śledzeniu tożsamości, takie jak działania antyterrorystyczne, są skuteczne dopiero wtedy, gdy jednocześnie stanowią obciążenie i poważny problem dla niewinnych osób, które są wielokrotnie oskarżane o przestępstwa, których nie popełniły. Nie możemy się już cofnąć do dokumentów papierowych z XX w., ponieważ postęp technologii informatycznych podkopał wszelką wiarę w ich niezawodność. Nie można też polegać na mikroprocesorach wszczepianych pod skórę, ponieważ technologia ta okazała się zawodna. Poza tym jeśli wystarczającym dowodem jest posiadanie mikroprocesora, to czy przestępstwa takie jak porwanie czy morderstwo nie stanowią doskonałego sposobu na kradzież tożsamości?

Być może zatem społeczeństwo powróci do zaściankowego postrzegania świata w myśl ludowej mądrości: „Jeśli nie urodziłeś się w naszej wsi, to cię nie znam i ci nie ufam” — nic się zatem nie zmieni we wsi, w której mieszkam.

http://countermeasures.trendmicro.eu