美國信用機構數據大泄露引爆國家民眾的身份危機

credit：銳景創意

上周四(9月7日)，關於美國信用機構Equifax數據泄露的新聞里，最令人震驚的是涉事數量之龐大。特別是社會安全號碼(Social Security number, SSN)。是的，在此之前大規模的數據泄露事件已經頻發——五百萬社會安全號碼於今年七月從堪薩斯州商業部泄露，另有八千萬於2015年從Anthem公司被盜。但是，這次Equifax多達1.43億的個人信息泄露，使得安全專家強烈呼籲重新從基礎層面評估我們如何，並且為何認證我們自己。

設想數據從不同的渠道被攻擊、盜取甚至泄露，「我們可以安全地假設每個人的社會安全號碼都已被泄露，並伴隨著個人信息被盜，」防禦和入侵檢測公司SentinelOne的安全策略總監Jeremiah Grossman稱。「雖然這並不十分準確，但當下我們不得不按照這個假設工作。」

在上個世紀三十年代，社會安全號碼只有一個用途：用來追蹤美國公民在社會保障上的收入與支出。其他某些情況下，收集社會安全號碼也不違法，但是美國社會保障管理總署並未參與其更廣泛的用途。管理總署網站稱，「社會保障卡從未計劃被用來當做個人身份證件。」社會安全號碼的普遍性使得SSN被民營公司當做獨一無二的身份憑證。很不幸的是，這種普遍性導致了SSN被濫用。

credit：銳景創意

無所不在的問題

SSN的問題源於許多地方。你的社會安全號碼應被保密，但這在數字時代是一個日益嚴峻的挑戰。與其他類似號碼(如信用卡號碼和密碼)不同，SSN極難改變。在極端情況下(如身份盜用)，社會保障署能為你換髮一個新的SSN。即使你能改變你的SSN，由於很多機構已經有了你原來的社會安全號碼，罪犯往往可以成功地利用檔案信息繼續盜取你的個人身份多年。更重要的是，你收到的新號碼和舊的號碼是關聯的。

「SSN被用於和初衷完全無關的目的。這幾乎總是導致問題，」 美國電子隱私信息中心主席Marc Rotenberg說，其中心已倡議SSN改革超過20年。「國會需要加緊舉行聽證會。我們需要法律以限制收集和使用SSN。收集但無法保護SSN的公司需要受到處罰。」

關於SSN安全的傳統智慧，是限制你提供個人信息的頻次。一些組織在你未提供SSN的情況下也能與你保持互動(例如，一些網路運營商在你支付押金後將不會索取SSN)，但往往不便或不切實際。在眾多的情況下，比如報稅或背景調查，提交SSN不可避免。一些監管舉措已經成功削減SSN的傳播——例如本周醫療服務中心宣布，SSN將從醫療保險卡上移除。但僅此一步，就需要數年時間才能實現。

系統重啟

眾多隱私和安全領域的專家均同意，過度收集和使用SSN不是最好的解決方案。不同的認證碼(類似於個人密碼)，生物識別，甚至實體令牌都可以為ID生成增添多樣性。一些人還認為，政府可能不會成為這一改變背後的驅動力。」我們的政府在最好的時代以最慢的速度工作，」 隱私和網路安全保護公司Goodwin的主席Brenda Sharton說。Goodwin自本世紀初以來就參與數據隱私泄露的調查。「最終，SSN泄露會無法收場。這可能促使各公司朝著多因素認證的方向發展。改變可能來自企業和私營公司需要額外驗證來應對威脅。

例如，醫保公司可以使用與教育機構不同的系統，教育機構可採用與金融機構不同的認證方法。如果信用報告機構Equifax使用與SSN不同的ID，你的電力公司和你的無線服務提供商可以要求你提供這些ID進行背景調查。如果這些新的標識是很容易改變的(不像SSN)，信息泄露會變得不那麼重要。

「整個SSN等於身份證件的系統需要報廢了，」 身份盜竊保護公司CyberScout的全球隱私官Eduard Goodman說。」當我們看到越來越集中的數據，用於人際交易的生物識別，某種形式的高級加密以及區塊鏈技術——解決方案實際已擺在我們眼前。」

多個身份ID會讓消費者覺得新系統更複雜，但是它會有很多好處。並且與管理紛繁冗雜的在線用戶名和密碼相比，糾結其實少得多。「我能想像一個到處都沒有唯一身份證號碼的世界嗎？」SentinelOne的Grossman問。」我們在網上擁有ID。我們並未使用社會安全號碼登錄臉書、領英或者谷歌。我們也在網上活得好好的。」

credit：Equifax

在如今的互聯網上，個人安全情況肯定使人心急如焚，但這有可能促使機構實施強有力的和多樣化的認證方法，減少當前SSN泄露所產生的影響。即便只是向客戶郵寄一個額外的密碼，也能讓國家稅務局減少與身份盜用有關的稅務欺詐行為。「這是一個分水嶺，但無論什麼樣的變化，公司實施與否將取決於他們的商業模式和所受打擊的大小。」Goodwin的Sharton在數據泄露事件後說。「這些事件對公司名譽來講是毀滅性的。」

Equifax的信息泄露可能讓其在信用報告和金融機構中推廣新ID和認證碼。每位擁有社會安全號碼的美國人都指望著改變。

本文譯自 WIRED，由譯者 雁洲向北 基於創作共用協議(BY-NC)發布。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！