Transcription

Cześć, ten materiał nagrywam dla kanału Zero, który przygotowuje film na temat europejskiego portfela tożsamości cyfrowej. Ale pytania, które dostałem, dotyczą też tymczasowego rozwiązania, a może przede wszystkim tego rozwiązania właśnie, które wchodzi od 1 lipca w niektórych krajach i ma adresować jedynie kwestie weryfikacji wieku przez Internet. No to zacznijmy od tego, że w przestrzeni medialnej panuje niesamowity bałagan. Zarówno dziennikarze, jak i komentujący te kwestie internauci, kiedy mówią o unijnych rozwiązaniach związanych z cyfrowym ID dla Europejczyków, mieszają ze sobą różne rozwiązania, różne pojęcia, no i wymogi stawiane tym rozwiązaniem oraz tak naprawdę ryzyka, które tego typu rozwiązania technologie stanowią. No bo mamy z jednej strony rozporządzenie EIDAS, które wprowadza takie pojęcie właśnie jak Europejski Portfel Tożsamości Cyfrowej, po angielsku EUDI Wallet. No i mamy też niedawno uruchomiony Digital Euro Sandbox, czyli środowisko testowe, ale dla cyfrowej wersji waluty euro. Oba te projekty są w fazie pilotażowej, co oznacza, że nie ma jeszcze pewności co do tego jak one będą faktycznie wyglądały, jak będą funkcjonowały w tej finalnej wersji. Oficjalnie udostępnienie mieszkańcom Unii Europejskiej i portfela, no planowane jest to na rok 2026, ale wiadomo jak to z tymi terminami bywa. Mamy też trzeci twór, czyli ten tak zwany Mini ID Wallet, który jest okrojoną wersją tego dużego portfela europejskiego, portfela tożsamości. I ta mini wersja, mini wallet ma w zasadzie wyłącznie jeden cel, potwierdzenie wieku użytkownika w internecie. To jest niezły bałagan, prawda? Dlatego dyskusja w tym obszarze jest taka trudna. Niektórzy podnoszą zarzuty, które są całkowicie od czapy i wynikają tak naprawdę z niezrozumienia technologii, bądź też pomylenia z samych projektów i ryzyk z nimi związanych. No ale część zarzutów dla poszczególnych technologii jest jak najbardziej zasadna, no i spróbujmy się im przyjrzeć. W każdym razie, ja chciałem jeszcze na początku podkreślić, że ta moja wypowiedź dotyczy tylko i wyłącznie projektu Mini ID, a nie tego pełnego dużego europejskiego portfela. I od razu też uspokoję Polaków, bo wymóg korzystania z Mini ID nas nie dotyczy. Zresztą podkreślmy, że tak naprawdę wielu z Polaków od lat korzysta z M-Obywatela, który w rzeczywistości jest prawie dokładnie takim samym rozwiązaniem jak ten duży europejski portfel tożsamości cyfrowej. Kluczowa różnica jest tylko taka, że na razie M-Obywatelem nie logujemy się na stronach internetowych przypadkowych firm, na jedynie banków czy też usług rządowych. Od lat obserwujemy w internecie ciągotki ustawodawców, polityków różnych krajów do weryfikacji nie tylko wieku, ale też całkowitej tożsamości internautów przed dostępem do różnej kategorii stron. Czy to dotyczy stron dla dorosłych, czy też stron np. o zabarwieniu hazardowym. Politycy dążą do zablokowania możliwości anonimowego korzystania z internetu. To jest ta kluczowa informacja. Moim zdaniem, jeśli wymóg weryfikacji tożsamości ma dotyczyć dostępów do usług innych niż rządowe, czy też np. właśnie bankowe, tak jak to jest teraz w Polsce i w przypadku M-Obywatela, no to ten pomysł tego wymogu tej weryfikacji jest to pomysł bardzo ryzykowny, żeby nie powiedzieć wprost niebezpieczny. A co więcej, wdrożenie tego typu rozwiązań niemasowo, czyli w kilku krajach, a nie od razu na całym świecie, jest po prostu całkowicie bez sensu, bo będzie bardzo łatwe do ominięcia, jeśli chodzi o tą weryfikację wieku. No bo co z tego, że prawo nakazuje np. Francuzom identyfikację wieku przed dostępem do stron pornograficznych? Tym prawem nie są objęte firmy działające poza Francją, więc po takie treści dokładnie tam pójdą Francuzi, pójdą do innych krajów. Albo jeszcze prościej, Francuzi z usługami, które wymagają od nich weryfikacji, identyfikacji, będą po prostu łączyć się przez VPN, udając np. że są Polakami, którzy przecież obowiązku identyfikacji nie mają, przynajmniej na chwilę obecną. Dlatego właśnie moim zdaniem, jeśli chcemy chronić dzieci przed nieodpowiednimi dla nich treściami w internecie, co, żeby było jasne, robić powinniśmy, no to jednak zamiast takich łatwych do ominięcia, stanowiących pewnego rodzaju ryzyka wymogów weryfikacji wieku, które będą takim niepotrzebnym i upierdliwym kłopotem dla wszystkich obywateli, a nie tylko dzieci, powinniśmy stosować rozwiązania typu kontrola rodzicielska, czyli odpowiednie konfigurowanie urządzeń, do których dostęp mają dzieci. To jest bardzo łatwe do zrobienia, ale jednak wymaga pewnej świadomości i odrobiny zaangażowania pracy ze strony rodziców czy też szkoły. No niestety rząd zamiast edukować rodziców, którzy takiej wiedzy potrzebują w temacie bezpiecznego korzystania przez dzieci z internetu, no to rząd woli przepalać swoje środki i pomysły na inne, bardzo wątpliwe inicjatywy. No to skoro szkoła rodziców nie uczy, to skąd brać wiedzę na temat tego, jak ochronić swoje dzieci przed internetowym złem, nie tylko treściami dla dorosłych? Jak skutecznie kontrolować, ile twoje dziecko spędza czasu przed ekranem, nie tylko za pomocą narzędzi kontroli rodzicielskiej? Jak zablokować mu możliwość korzystania z niektórych aplikacji albo właśnie kontrolować to z kim i o czym w sieci rozmawia? Jakie narzędzia Ci w tym pomogą i co poza smartfonem oraz komputerem dziecka powinieneś jeszcze wziąć pod uwagę i zabezpieczyć? Tego wszystkiego dowiesz się z praktycznego materiału, który nagrałem specjalnie dla rodziców takich jak Ty. Link do tego materiału pojawia się teraz na dole, jest też w opisie w formie klikalnej. Zapoznaj się z nim i podnieś bezpieczeństwo swojego dziecka. Nie zapomnij też o wpisaniu kodu wakacje. Trzeba też wyraźnie zaznaczyć, to jest kluczowe, że w tej kwestii, tej kwestii ochrony dzieci przed złem w internecie, żadne rozwiązanie techniczne nigdy nie będzie wystarczające, to prawda. I dlatego właśnie dzieci należy być może przede wszystkim przygotowywać w sposób również całkowicie nietechnologiczny, czyli np. odpowiednią rozmową i wychowaniem. To znów jest praca i zadanie dla rodziców i nauczycieli, na nie żadnego portfela cyfrowej tożsamości. Trend jednak jest taki w internecie i w różnych państwach, że rządy dążą do wymuszania identyfikacji obywateli, no właśnie w sieci, w internecie, przed dostępem do jakiejś usługi. No i raczej ciężko, trzeba to z bólem serca powiedzieć, będzie ten trend nam odwrócić. Dlatego jeśli założymy na chwilę, że jesteśmy na taką identyfikację skazani i że ją akceptujemy, no to znów lojalnie musimy przyznać pod kątem technologicznym, że podejście tego mini-ideoletu, o którym rozmawiamy, choć nie jest bez waty, no to jest jednak lepsze, zdecydowanie lepsze niż wgrywanie fotki swojego dowodu osobistego czy paszportu do strony internetowej, która chce weryfikować nasz wiek, a jest to np. strona z obrazkami dla dorosłych, za każdym razem, kiedy chcemy na taką stronę wejść. Tutaj w przypadku mini-idei wykorzystywana jest taka technologia Zero Knowledge Proof, ZKP, czyli to jest taka technika kryptograficzna, która pozwala udowodnić posiadanie określonej informacji bez jej ujawniania. W uproszczeniu, chodzi o to, że wallet przekaże do strony np. tej pornograficznej informację, że my jesteśmy pełnoletni, ale nie ujawni tej stronie naszej pełnej daty urodzenia, czy też nie przekaże też imienia i nazwiska, przekaże tylko informację, informację, tak, to jest użytkownik pełnoletni. I w teorii nasze państwo, czyli wystawca naszego dokumentu tożsamości, dowodu osobistego paszportu, nie powinny się też dowiedzieć, że my chcieliśmy w danej chwili na daną stronę, tą stronę pornograficzną, wejść. No i to brzmi nieźle, prawda? Ale każdy projekt, który w założeniach brzmi nieźle, w teorii wydaje się okej, może z czasem przerodzić się w coś strasznego, i to zarówno pod kątem technologicznym, jak i, a być może zwłaszcza, pod kątem prawnym. MiniID nie był nigdy wcześniej używany na taką skalę, podobnie jak samo podejście z odkapać tego zero-knowledge-proofu, więc my nie znamy tak naprawdę jeszcze na tę chwilę wszystkich słabości. No i należy się liczyć z tym, że jakieś błędy, w tym błędy narażające naszą prywatność, prędzej czy później w tych technologiach się pojawią, no niestety. To będzie test, tylko niestety to będzie test na naszych najbardziej wrażliwych danych. Poważne błędy bezpieczeństwa występowały już przecież w przeszłości w podobnych projektach. Mieliśmy błędy w unijnych certyfikatach covidowych, gdzie dało się wystawić poprawny certyfikat na całkowicie zmyślone, fałszywe dane, w tym na dane pewnego niemieckiego akwarelisty, czy też na dane myszkimiki. Mieliśmy też podobne błędy w naszym rodzimym M-Obywatelu, który w rzeczywistości jest prawie dokładnie takim rozwiązaniem, jak ten Europejski Portfel Tożsamości Cyfrowej. MiniID jest też aplikacją mobilną, no a więc z usług, które będą jej wymagać, skorzystać będą mogli tylko posiadacze smartfona. Być może i komputera, jeśli tym aplikację będzie się dało uruchomić na komputerze. Na razie wszystkie infografiki wskazują na aplikację mobilną. Ale istotne jest to, że nie każda osoba musi mieć swoje prywatne urządzenie. Nie każdy ma, niektórzy korzystają ze spółdzielonych urządzeń, z komputerów udostępnianych przez np. biblioteki. Dlatego występuje tutaj pewna obawa, że dojdzie też do wykluczenia cyfrowego niektórych grup społecznych i do tych być może najbardziej potrzebujących dostępu do jakiejś treści, jakiejś wiedzy. Tu oczywiście zaznaczę, że ten wymóg weryfikacji wieku nie będzie realizowany tylko i wyłącznie przy stronach pornograficznych. To podaję jako jeden z przykładów. W kwestii wykluczenia poruszyć też trzeba jeszcze to, jak w ogóle ten portfel ustala, że my to my po zainstalowaniu. No, to nie jest tak, że MiniID oznacza, że gdzieś w Unii pojawi się jakaś jedna wielka centralna baza, w której będą zebrane dowody tożsamości wszystkich obywateli Unii z różnych krajów. Nie, to tak nie działa. Do tego naszego portfela naszą tożsamość pobieramy, instalujemy albo z lokalnego zaufanego rządowego rejestru, jak na przykład w Polsce to może być rejestr dokumentów tożsamości, tak jak robi to obywatel, kiedy ładujemy tam pewne nasze dokumenty, albo dodajemy ją lokalnie, czyli z fizycznego dokumentu, który jest wyposażony w warstwę elektroniczną. No i tutaj co prawda pojawiają się też głosy krytyki, no bo w przypadku fizycznych dokumentów ma następować również dodatkowa weryfikacja biometryczna. To jest po to, żeby ktoś, kto znajdzie nasz dowód, nie dodał go sobie do swojego portfela elektronicznego i nie stał się w internecie poprawnym, poprawną wersją, poprawnym klonem naszej tożsamości. Tutaj będzie następowała ta weryfikacja biometryczna, czyli realizowane to będzie tak, że kamerka w smartfonie będzie aktywowana i będzie weryfikowała naszą twarz podczas dodawania dokumentu. Będzie to porównywane i będzie werdykt, czy my w ogóle możemy taki dowód dodać, czy paszport dodać, bo to my na nim się znajdujemy. Aplikacja będzie weryfikować naszą twarz z dokumentem i to jest właśnie ta kolejna słabość, bo niektórzy obawiają się, że ten algorytm weryfikacji biometrycznej, no nie zadziała zbyt dobrze, na przykład na osobach, które na zdjęciu, w dokumencie nie miały brody, a teraz mają. Albo na osobach, które są osobami o ciemnej karnacji, ciemnej skórze, gdyż, co już kilka razy w przeszłości miało miejsce, te algorytmy nie są szkolone równie dokładnie na wszystkich odcieniach skóry. No ale niezależnie od koloru skóry istotne jest to, że aby skorzystać z portfela, trzeba w ogóle mieć dokument, a niektóre dzieci takiego dokumentu nie mogą zdobyć przez zgody rodziców. Co oznacza, że przez pięć lat nie będą w stanie uzyskać dostępu do jakiegoś serwisu, do jakiejś usługi, która weryfikuje nie czy ktoś, kto do niej uzyskuje dostęp jest pełnoletni, tylko czy ma na przykład skończone trzynaście lat. A więc dzieci będą odcięte być może od niektórych zasobów, trzymane niejako w więzi przez swoich rodziców, którzy nie pozwalają im wyrobić odpowiednich dokumentów. No i wreszcie najważniejsze, nawet jeśli założenia samej aplikacji portfelowej są transparentne, no bo są, dokumentacja jest dostępna, kod jest otwarty, każdy może go przejrzeć, to istotnym elementem tego systemu są również dostawcy treści, czyli te podmioty, które mają weryfikować dane z portfeli obywateli Unii Europejskiej przed umożliwieniem im dostępu do świadczonych przez siebie usług. Te podmioty mogą grać nieczysto i ciężko będzie zweryfikować, czy rzeczywiście to robią. Mogą na przykład przekazywane im dane łączyć z naszym profilem, wykorzystywać do reklam, nie zapominać wtedy, kiedy powinni zapomnieć, zaraz na przykład po zweryfikowaniu wieku. Więc to może być takie źródło problemów, bo te dane mogą być zbierane nadmiarowo, ba, mogą być nawet użytkownicy odpytywani o więcej danych niż dana usługa powinna móc przetwarzać. Czas dopiero pokaże, jak skutecznie Unia pod kątem prawnym, no bo tylko takim, będzie mogła reagować na tego typu nieprawidłowości i ile takich nieprawidłowości będzie. Jak widać wiele rzeczy może pójść nie tak, choć z różnych metod weryfikacji wieku, które mogą być wymagane przez niektóre podmioty w najbliższym czasie, w niektórych krajach Unii Europejskiej, ten mini ID, mini portfel wydaje się być najlepszy, to ja i tak jestem przeciwnikiem tego typu rozwiązania do weryfikacji wieku. Nie dlatego, że bezpieczeństwo dzieci w internecie nie jest istotne, że można je pokpić. Nie można. To jest bardzo ważne, aby je zagwarantować. Ale, tak jak wspomniałem wcześniej, są moim zdaniem lepsze, inne metody, metody korzystniejsze dla wszystkich obywateli niż sprawdzanie wieku przez dostawcę treści. To są metody, które nie będą generowały ryzyk związanych z prywatnością i bezpieczeństwem, no dla każdego z nas, dla wszystkich obywateli, łączając w to również dzieci. Obecna propozycja wylewa, no menomen, dziecko z kąpielą. No i nie możemy mieć pewności, że dziś to dość liberalne, łagodne prawo co do tego, jak mamy się posługiwać tym mini portfelem, co do tego, kto ma go wykorzystywać i stosować, z czasem, no nie przerodzi się w coś zdecydowanie bardziej restrykcyjnego. Więc tutaj pytanie do nas wszystkich, czy rzeczywiście chcemy korzystać z takiej technologii, czy zamierzamy wyrazić jakiś sprzeciw i czy plusy, bo plusy niewątpliwe są, nie przesłaniają przypadkiem minusów.