Nadir bir işbirliği örneğinde, Google ve Apple, küresel teknoloji endüstrisinin iki ayağı, duyuruldu dünya hükümetleriyle birlikte cep telefonları için bir COVID-19 maruziyet izleme uygulaması oluşturmak için ortak bir çaba. Hem Android hem de iOS telefonlarda kullanılabilecek şekilde ayarlanan uygulama, COVID-19 ile enfekte olmuş bir kişiye potansiyel maruziyete karşı uyarıda bulunmak için Bluetooth teknolojisine güveniyor..
Her üçünün de mahremiyet konusunda kalitesiz geçmişe sahip katılımcı kuruluşları nedeniyle, uygulama, gizlilik savunucularının şüphelerini hemen gündeme getirdi. The Electronic Frontier Foundation, dijital gizliliğin sadık bir destekçisi, poz geliştiricilere sorular sordu ve ortak temas izleme uygulamasının siber güvenlik ve gizlilik etkilerini sorgulamalarını istedi.
Google ve Apple yanıt verdi tamircilik gizliliği artırmak için uygulamanın izleme anahtarları ve şifrelemesiyle, ancak sorular hala beklemede.
Özellikle, temas izleme uygulamasının faydalarının çoğu, Bluetooth’un temas takibi için tasarlanmaması (hastalık ve mesafeyi tanımlayamaması) gibi basit lojistik problemlerle boğulur; çoğu kişi Bluetooth uyumlu cep telefonu taşımaz; ve çoğu kişi uygulamayı gönüllü olarak indirmez.
Potansiyel faydalar ile gizlilik tehdidini karşılaştırırsak, uygulama gerçekten buna değer mi? Muhtemelen hayır, ancak simgeleştirilmiş bir versiyon çok daha lezzetli olacaktır. Hadi nedenini keşfedelim.
Mahremiyet yanılgısı
Google ve Apple izleme uygulaması, diğer Bluetooth cihazlarına ping atmak için kullanılan yakınlık tanımlayıcılara veya RPID’lere dayanır. RPID’ler birkaç dakikada bir değiştirilir ve virüs bulaştığına inanan kullanıcılar önceki RPID’lerini, kullanıcıya virüs bulaşıp bulaşmadığını doğrulayan ve daha sonra bu kullanıcının cihazına yakın zamanda bağlanan “pingleri” uyaran herkese açık bir kayıt defteri ile paylaşabilir..
Kuşkusuz, Apple ve Google, şifreleme anahtarlarının çoğunu merkezi sunucular yerine kullanıcıların cihazlarına tahsis ederek merkezileştirmeyi azaltmak için çaba sarf ettiler, ancak bazı önemli sorunlar devam ediyor. Örneğin detaylı EFF tarafından:
“Kaynakları iyi olan bir düşman, halka açık yerlerde statik Bluetooth işaretçileri kurarak veya binlerce kullanıcıyı bir uygulamayı yüklemeye ikna ederek aynı anda birçok farklı yerden RPID toplayabilir. […] Ancak bir kullanıcı günlük teşhis anahtarlarını kamuya açık kayıt defterine yüklediğinde, izleyici bu anahtarları o kişinin tüm RPID’lerini tek bir günden birbirine bağlamak için kullanabilir. “
Sonuç olarak, bilgisayar korsanı bir kullanıcının hayatının her hareketini haritalandırabilir ve o kişinin kim olduğunu önemsiz bir şekilde belirleyebilir. Bir kişinin günlük hareketlerine gerçek zamanlı bir lense sahip olmakla eşdeğerdir. EFF, sorunun açıkça Bluetooth ile sınırlı olmadığını, Bluetooth’un büyük ölçüde güvenli olmadığını ve saldırı yüzeyinin minimuma indirilmesi gerektiğini detaylandırmaya devam ediyor..
Ek olarak, hükümet ve polis, kullanıcılar için yakınlık izleme ölçütlerine doğrudan erişebilir ve seçmeleri durumunda bulundukları yer ve faaliyetleriyle ilgili bilgileri çıkarabilir. Bu endişelerin hiçbiri, halka açık kayıtların veya Apple’a ve Google’ın sunucularına sızan verilerin güvenliğini hesaba katmaz bile..
Güvenmek için Google ve Apple izleme sisteminin içsel sorununu çözebiliriz.
Devlete ve teknoloji şirketlerine verileri kötüye kullanmamaları için güvenin, kayıt defterine yüklenen RPID’lerin spam olmadığına (bireylerden gerçek yüklemelerin kimliğini doğrulamanın hiçbir yolu yoktur) ve üçüncü taraf geliştiricilerin olmayacağına güvenin kullanmak gözetim amaçlı sistem.
Tüm sistem güvene dayalıdır ve merkezi olmayan kripto para belirteçleri ne işe yarar? Hızlı doğrulama – ör. Denetlenebilirlik – ve güvenin en aza indirilmesi.
Tokenizasyonun avantajları
Birincisi, Apple ve Google’ın açık kaynaklı şifrelemeye ve onun eşlik eden gönüllü gizlilik odaklı girişimler ve aktivistlerden oluşan sınıfına kapıdan çıkar çıkmaz dönebileceğini göz ardı etmek zor. İnsanlar çok daha rahat hissederler. Ama yapmadılar – sürpriz değil.
İki şirket tarafından kullanılan terminolojinin çoğu da belirsizdi. Kriz sona erdikten sonra bile bildirimleri kapatmak ve yakınlığı izlemek gibi, bu şirketlerin üzerinde doğrudan kontrol sahibi olacakları uygulama ile ilgili endişeler de var..
Bu tür yetkiler, bu merkezi, kar odaklı tüzel kişiliklerin elinden tamamen kaldırılmalıdır. Bunu yapmanın ideal bir yolu, virüslü yakınlık RPID’lerinin tokenize edilmesi ve şifrelenmiş doğrulamasıdır..
Örneğin, yakınlık takibi için özelleştirilmiş parametreler kullanmak her bir jetona eklenebilir. Jetonlar, herhangi bir varlığın geliştirme himayesi altında değildir ve jetonun kullanımı bittikten sonra jeton kullanıcıları tarafından yazılabilir. Bir şirketin kontrolü altında, uygulamayı çalışır durumda tutan bir şemsiye anahtarı yoktur – tamamen merkezi olmayan bir sistemdir ve izinsiz erişimi korur.
Her belirli kullanıcının, yalnızca o kullanıcının cihazında şifrelenip yönetilen RPID’lerle kendilerine tahsis edilmiş bir jetonu olacaktır. Kullanıcılar COVID-19 pozitif olduklarına inanıyorlarsa, kamu siciline bir tasdik gönderebilirler. Bu nedenle, akredite bir klinik veya hastane, bu kullanıcılar için pozitif bir teşhisi belirten bir sertifika verebilir. Herkese açık olarak tanımlanabilen verilerin ibraz edilmesi gerekmediğinden, devlet hizmetlerinin külfetli süreci çok daha hızlı teknolojiyle değiştirilir..
Oradan, bireyin gerçek konum verileri jeton içinde pişirilebilirken, bulaşma durumunu doğrulamak için ilgili ayrıntılar – örneğin, kimliği çözülmüş COVID-19 takası – serbest bırakılabilir. TokenScript, veriye ihtiyaç duyan servisler ile cep telefonundan asla ayrılmayan gerçek veriler arasındaki iletişim noktası görevi görür. Bu, hem hükümetlerin hem de üçüncü taraf geliştiricilerin konum verilerini etik olmayan yollarla kullanma eğilimini ortadan kaldırır..
Konum verileriyle eşleştirilmemiş teşhislerin doğrulanması için ilgili ayrıntılar, gizliliği kötüye kullanma korkusu olmadan Dünya Sağlık Örgütü gibi üçüncü taraf kuruluşlara gönderilebilir. Uygulamada bu, hasta tarafından DSÖ web sitesini ziyaret ederek yapılabilir, bu da ya çok taraflı hesaplama ya da ilgili verilerin sıfır bilgi kanıtını talep eder. TokenScript’teki güvenlik bölgesi, web sitesinin orijinal verileri değil, yalnızca hesaplama sonuçlarını öğrenmesini sağlar. Tüm tıp endüstrisi, ilaç şirketlerinin etik ihlallerine karşı korunmak için kimliği belirsiz hasta verilerine güvenmelidir. Önerdiğimiz bu çözüm, kuruluşun dürüst ve güvenli olduğunu varsaymadan, hasta verilerini yalnızca kullanıcının cep telefonunda yerel olarak anonimleştirir. Ancak, sansüre dirençli ve daha hızlı olacaktır – o kadar hızlıdır ki, kullanıcılar web sitesindeki yeni raporların hesaplanmasına katılmak için tokenlerini kullandıkça web sitesi istatistiklerini ve raporlarını anında güncelleyebilir..
Örneğin, Michael adında bir kişi, COVID-19 pozitif bir kişiyle daha önce yolunun kesişip kesişmediğini bilmek ister. Uygulamanın pozitif olarak tanımlanan diğer kullanıcılarını tanımlayan bir dizi çok taraflı hesaplama başlatabilir. COVID-19 pozitif olarak tanımlananların mobil cihazları MPC’ye katılabilir ve böylece Michael’ın, olası aktarımın ne zaman ve nerede meydana geldiği gibi hassas bilgileri o kişiye ifşa etmeden onlarla temas halinde olup olmadığını öğrenmesine yardımcı olabilir. . Her iki grubun boyutu ne kadar büyükse (normal kullanıcılar ve tespit edilen olumlu vakalar), gizlilik düzeyi o kadar yüksek olacaktır. Kriptografide gelecekteki bazı ilerlemelerle, bunun, hastanın cep telefonu hesaplamaya katılmak için çevrimiçi olmadan ve yalnızca kamuya açık bir sicile gönderilen gizlenmiş veriler aracılığıyla yapılabileceği günü bile sabırsızlıkla bekleyebiliriz..
Yakınlığa dayalı uygulamalardan kaynaklanan sorunların çoğu gizlilik odaklıdır. Ve bugün jetonlar son derece hantal olmadan mükemmel bir gizlilik sağlamazken, iyileştirme için yer var. Oluşturulmakta olan gibi geniş ölçekli bir gözetim uygulamasının emsali yoktur ve bazı özellikleriyle ilgili belirsiz açıklamalar endişe vericidir. Muhtemelen karşılaşacakları tepkinin farkında olan Apple ve Google, verilerin çoğunu dağıtmak için çaba sarf etmişlerdir, ancak güvenlik ve gizlilik sızıntıları çok fazladır – esas olarak kamu sicil dairesi ile birey arasında kimlik doğrulama aktarımı yoluyla.
Kimlik doğrulama sertifikasının, RPID çapraz referansının ve birden çok sistemde kullanımın belirteçli bir sürümü, gizlilikten veya veriler üzerindeki kontrolün üçüncü bir tarafa yapılmasından ödün vermeden ölçekte doğrulama için daha iyi bir seçenek olacaktır. Veriler yerel olarak hesaplandığı için, bir danışma belgesinin Google veya Apple’ın peşinden gitmesi çok az şey kazanır. Her derde deva olmayabilir, ancak hastalık takibi durumunda belirteçleştirmenin nasıl çalıştığını keşfetmek, önemli bir araştırma ve geliştirme alanı haline gelmelidir – yoksa hükümetlerin kaprislerine göre güvenlik için mahremiyetten feragat ederiz..
Veya, belki de Bluetooth’un sınırlamaları ve belirsizliği göz önüne alındığında, ortak bir hükümet ve büyük teknoloji girişimi tarafından yayınlanan gözetim uygulamalarından tamamen kaçınmak çok daha kolaydır..
Burada ifade edilen görüşler, düşünceler ve görüşler yazara aittir ve Cointelegraph’ın görüş ve fikirlerini yansıtmaz veya temsil etmez..
Victor Zhang AlphaWallet’in CEO’su ve kurucu ortağıdır. Son beş yılını bankacılık ve blockchain teknolojisinin kesişme şeklini dönüştürmek için çalışarak geçirdi. Zhang, blockchain teknolojisine girmeden önce, 17 yıl boyunca Asya ve Avustralya’da uluslararası ticarette çalıştı..