Key Takeaway
- IRS telah membatalkan rancangan untuk menggunakan pengecaman muka untuk mengesahkan pembayar cukai.
- Jabatan kini menyedari implikasi keselamatan/privasi pelannya yang ditarik balik sekarang.
-
Pakar keselamatan dan privasi telah mencadangkan beberapa alternatif yang berdaya maju yang menghormati privasi.
Menggunakan pengecaman muka untuk mengesahkan identiti individu, mengikut pelan IRS yang ditarik balik sekarang, bukanlah pendekatan yang betul, tegas pakar keselamatan dan privasi.
Langkah IRS mendapat kritikan daripada penyokong privasi sejak ia diumumkan. Pada 7 Februari 2022, beberapa penggubal undang-undang menyertai paduan suara menggesa IRS untuk membatalkan keputusannya, yang jabatan itu lakukan tidak lama kemudian, sebaliknya berjanji untuk meneroka pilihan lain.
"IRS memandang serius privasi dan keselamatan pembayar cukai, dan kami memahami kebimbangan yang telah dibangkitkan," kata pesuruhjaya IRS Chuck Rettig sambil menarik balik keputusan itu. "Semua orang harus berasa selesa dengan cara maklumat peribadi mereka dilindungi, dan kami dengan pantas mengejar pilihan jangka pendek yang tidak melibatkan pengecaman muka."
Menyimpan Wajah
Agensi itu merancang untuk menggunakan teknologi pengesahan daripada ID.me dan telah meminta pengguna menyerahkan swafoto video kepada syarikat untuk mengakses akaun dalam talian mereka.
Jay Paz, Pengarah Kanan Penghantaran di Cob alt, memberitahu Lifewire melalui e-mel bahawa walaupun biometrik telah menjadi sebahagian daripada kehidupan seharian kita, terima kasih kepada telefon pintar dan peranti pintar, penggunaannya untuk pengesahan adalah secara sukarela.
“Untuk sistem dan data yang lebih sensitif, seperti apa yang boleh diakses oleh IRS, adalah penting untuk mempunyai ketelusan ke dalam teknologi dan proses yang akan melindungi data pengguna,” kata Paz.
Tim Erlin, VP Strategi di Tripwire, bersetuju dan memberitahu Lifewire melalui e-mel bahawa walaupun teknologi pengecaman muka secara umum terpolarisasi, bagi kebanyakan orang, idea untuk mempercayai pihak ketiga untuk mengurus data peribadi sedemikian adalah tidak boleh diterima.
"Jika Amerika Syarikat mempunyai undang-undang privasi yang kukuh yang melindungi maklumat biometrik individu, itu akan menjadi situasi yang berbeza. Walau bagaimanapun, tanpa sebarang perlindungan untuk data warganegara Amerika, penggunaan teknologi ini pada skala ini akan menjadi penyelewengan privasi, " Lecio DePaula Jr., VP Perlindungan Data di KnowBe4, memberitahu Lifewire melalui e-mel.
Maka terdapat fakta bahawa tidak semua orang mempunyai akses kepada keupayaan pengesahan biometrik, sesuatu yang Paul Laudanski, Ketua Perisikan Ancaman di Tessian, menunjukkan kepada Lifewire melalui e-mel. Dia beralasan ini mungkin disebabkan oleh beberapa faktor, seperti kekurangan akses kepada perkhidmatan internet yang boleh dipercayai atau peranti dengan kamera dan penderia yang serasi.
Alternatif Berdaya maju
DePaula Jr. percaya bahawa rancangan IRS adalah salah satu daripada situasi di mana tujuan tidak membenarkan cara.
"Portal boleh menjadi sama selamat dengan memanfaatkan keperluan kata laluan yang kukuh serta pengesahan dua faktor untuk pengguna akhir, yang merupakan cara yang lebih murah, kurang mengganggu dan tidak berat sebelah untuk melindungi portal tanpa perlu untuk memanfaatkan pihak ketiga, " dia berpendapat.
Paz juga memihak kepada kaedah pengesahan identiti sekunder seperti itu, terutamanya penggunaan apl kata laluan satu masa berasaskan masa seperti Google Authenticator. Sebagai alternatif, beliau mencadangkan IRS juga boleh mencuba menggunakan nombor telefon yang disahkan untuk menghantar kod SMS kepada pengguna, yang mungkin merupakan penyelesaian paling mudah diakses yang tersedia untuk hampir semua pengguna dari semua peringkat umur.
"Untuk sistem dan data yang lebih sensitif… adalah penting untuk mempunyai ketelusan ke dalam teknologi dan proses yang akan melindungi data pengguna."
Sebelum ia memusatkan perhatian pada penyelesaian, bagaimanapun, Darren Cooper, CTO di Egress, menjelaskan kepada Lifewire melalui e-mel IRS perlu memastikan mekanisme yang dipilih dapat melindungi data pembayar cukai tanpa memperkenalkan isu kebolehaksesan.
Beliau mencadangkan bahawa jika jabatan itu ingin mengutamakan tahap keselamatan yang lebih tinggi, mereka boleh menggunakan cara fizikal untuk pengesahan peribadi seperti fob kunci keselamatan RSA. Kaedah ini, bagaimanapun, adalah kompleks dari segi logistik. Pengesahan SMS ialah pilihan yang mungkin kurang kompleks, tetapi Cooper menambah ia hanya akan berfungsi jika jabatan itu mempunyai nombor mudah alih yang diketahui untuk semua orang.
"IRS juga harus mempertimbangkan keperluan untuk interaksi terdahulu dengan pengguna untuk mengesahkan identiti mereka sebelum mereka boleh mengakses perkhidmatan. Contohnya, mereka boleh meminta pembayar cukai memasukkan butiran ID unik, seperti keselamatan sosial atau nombor pasport, yang boleh disemak oleh IRS secara dalaman sebelum log masuk dalam talian dikeluarkan. Overhed logistik di sini lebih besar tetapi memastikan tahap keselamatan yang lebih tinggi dapat dicapai, " cadang Cooper.
Walaupun IRS tidak menyenaraikan alternatif yang sedang diterokainya, jelas sekali, tiada kekurangan pilihan.
Walaupun mereka secara kolektif memuji IRS kerana membalikkan keputusannya, pakar keselamatan menunjukkan pihak lain dalam kerajaan, terutamanya Jabatan Hal Ehwal Veteran, masih menggunakan perkhidmatan pengecaman muka asas yang sama untuk tujuan pengesahan identiti.
Ini adalah sesuatu yang amat disedari oleh DePaula Jr. dan berharap IRS “mula menuju ke arah yang betul, kerana apabila satu agensi kerajaan mengamalkan piawaian, yang lain mula mengikutinya.”
