@ 2017.09.12 , 21:00

美国信用机构数据大泄露引爆国家民众的身份危机

美国信用机构数据大泄露引爆国家民众的身份危机
credit:锐景创意

上周四(9月7日),关于美国信用机构Equifax数据泄露的新闻里,最令人震惊的是涉事数量之庞大。特别是社会安全号码(Social Security number, SSN)。是的,在此之前大规模的数据泄露事件已经频发——五百万社会安全号码于今年七月从堪萨斯州商业部泄露,另有八千万于2015年从Anthem公司被盗。但是,这次Equifax多达1.43亿的个人信息泄露,使得安全专家强烈呼吁重新从基础层面评估我们如何,并且为何认证我们自己。

设想数据从不同的渠道被攻击、盗取甚至泄露,“我们可以安全地假设每个人的社会安全号码都已被泄露,并伴随着个人信息被盗,”防御和入侵检测公司SentinelOne的安全策略总监Jeremiah Grossman称。“虽然这并不十分准确,但当下我们不得不按照这个假设工作。”

在上个世纪三十年代,社会安全号码只有一个用途:用来追踪美国公民在社会保障上的收入与支出。其他某些情况下,收集社会安全号码也不违法,但是美国社会保障管理总署并未参与其更广泛的用途。管理总署网站称,“社会保障卡从未计划被用来当做个人身份证件。”社会安全号码的普遍性使得SSN被民营公司当做独一无二的身份凭证。很不幸的是,这种普遍性导致了SSN被滥用。

美国信用机构数据大泄露引爆国家民众的身份危机
credit:锐景创意

无所不在的问题

SSN的问题源于许多地方。你的社会安全号码应被保密,但这在数字时代是一个日益严峻的挑战。与其他类似号码(如信用卡号码和密码)不同,SSN极难改变。在极端情况下(如身份盗用),社会保障署能为你换发一个新的SSN。即使你能改变你的SSN,由于很多机构已经有了你原来的社会安全号码,罪犯往往可以成功地利用档案信息继续盗取你的个人身份多年。更重要的是,你收到的新号码和旧的号码是关联的。

“SSN被用于和初衷完全无关的目的。这几乎总是导致问题,” 美国电子隐私信息中心□□Marc Rotenberg说,其中心已倡议SSN改革超过20年。“国会需要加紧举行听证会。我们需要法律以限制收集和使用SSN。收集但无法保护SSN的公司需要受到处罚。”

关于SSN安全的传统智慧,是限制你提供个人信息的频次。一些组织在你未提供SSN的情况下也能与你保持互动(例如,一些网络运营商在你支付押金后将不会索取SSN),但往往不便或不切实际。在众多的情况下,比如报税或背景调查,提交SSN不可避免。一些监管举措已经成功削减SSN的传播——例如本周医疗服务中心宣布,SSN将从医疗保险卡上移除。但仅此一步,就需要数年时间才能实现。

系统重启

众多隐私和安全领域的专家均同意,过度收集和使用SSN不是最好的解决方案。不同的认证码(类似于个人密码),生物识别,甚至实体令牌都可以为ID生成增添多样性。一些人还认为,政府可能不会成为这一改变背后的驱动力。”我们的政府在最好的时代以最慢的速度工作,” 隐私和网络安全保护公司Goodwin的□□Brenda Sharton说。Goodwin自本世纪初以来就参与数据隐私泄露的调查。“最终,SSN泄露会无法收场。这可能促使各公司朝着多因素认证的方向发展。改变可能来自企业和私营公司需要额外验证来应对威胁。

例如,医保公司可以使用与教育机构不同的系统,教育机构可采用与金融机构不同的认证方法。如果信用报告机构Equifax使用与SSN不同的ID,你的电力公司和你的无线服务提供商可以要求你提供这些ID进行背景调查。如果这些新的标识是很容易改变的(不像SSN),信息泄露会变得不那么重要。

“整个SSN等于身份证件的系统需要报废了,” 身份盗窃保护公司CyberScout的全球隐私官Eduard Goodman说。”当我们看到越来越集中的数据,用于人际交易的生物识别,某种形式的高级加密以及区块链技术——解决方案实际已摆在我们眼前。”

多个身份ID会让消费者觉得新系统更复杂,但是它会有很多好处。并且与管理纷繁冗杂的在线用户名和密码相比,纠结其实少得多。“我能想象一个到处都没有唯一身份证号码的世界吗?”SentinelOne的Grossman问。”我们在网上拥有ID。我们并未使用社会安全号码登录脸书、领英或者谷歌。我们也在网上活得好好的。”

美国信用机构数据大泄露引爆国家民众的身份危机
credit:Equifax

在如今的互联网上,个人安全情况肯定使人心急如焚,但这有可能促使机构实施强有力的和多样化的认证方法,减少当前SSN泄露所产生的影响。即便只是向客户邮寄一个额外的密码,也能让国家税务局减少与身份盗用有关的税务欺诈行为。“这是一个分水岭,但无论什么样的变化,公司实施与否将取决于他们的商业模式和所受打击的大小。”Goodwin的Sharton在数据泄露事件后说。“这些事件对公司名誉来讲是毁灭性的。”

Equifax的信息泄露可能让其在信用报告和金融机构中推广新ID和认证码。每位拥有社会安全号码的美国人都指望着改变。

本文译自 WIRED,由 雁洲向北 编辑发布。

赞一个 (2)