אין לוותר על הדמוקרטיה והפרטיות שלנו בתואנה של זיוף 

אין לוותר על הדמוקרטיה והפרטיות שלנו בתואנה של "זיוף"

נכתב על ידי מיכאל (מיכה) שפיר

תעודות זהות עם מזהים ביומטריים השמורים בכרטיס חכם נמצאו זה מכבר כפתרון חסר תועלת. פתרון של חתימת דרכונים במידע ביומטרי (ePassports) נכשל לוגית. לא קיים כל צורך או הכרח המצדיקים ויתור על פרטיות אזרחים ומאפייני הדמוקרטיה. המידע המצוי שבב המוטמן בתעודה מיותר ואינו בטוח, על אחת כמה וכמה כאשר קיים בעולם יותר מקורא אחד המסוגל לקרוא ולפענח מידע זה.

את המידע הביומטרי המצוי בשבב צריכים לקרוא גופים שונים (בקורת גבולות, משטרה וכד') במקומות שונים רק כדי לאמת את זהות נושא התעודה. לשם כך, חייבים לאפשר לקוראים אלו ל"הבין" או "לקרוא" את המידע הזה ע"י יצירת סוג מסוים של אחידות או תקינה המאפשרים לקרוא את המידע המאוחסן, כדי לאפשר לקורא מרוחק יכולת לקרוא מידע אלקטרוני השמור בשבב (כרטיס אשראי, פס מגנטי, זיכרון מחשב, וכד').  איזו תועלת תצמח למאכסן מידע אם לא תהיה דרך לעשות שימוש במידע בשלב מאוחר יותר? כאשר קיימת דרך "חוקית" לקרוא את המידע תמיד תמצא  גם דרך "אחרת" של שיכפול או פלישה למידע.

 נסכם: אם מידע מסוים מאוחסן על מצע מידע כלשהוא ומתוכנן להיקרא, חייב להיות התקן כלשהו עם היכולת לקרוא את המידע הזה... אחרת, למידע המאוחסן אין ערך מעשי.

שימוש בתעודות משולבות במידע ביומטרי מחייב התקני קריאה דומים ומבוזרים המשתמשים בתקן אחיד. תקן אחיד לקריאת מידע מכרטיסי האשראי מאפשר את השימוש בכרטיס בחנויות שונות אפילו בחו"ל. ללא תקן אחיד ומוכר לא היינו יכולים לעשות בכרטיסים אלו שימוש סדיר, מכיוון שכל עמדת תשלום מחייבת יכולת קריאת מידע בדיוק באותו אופן שעושים זאת קוראים אחרים, וזאת כדי לקבל תוצאת קריאה אחידה בכל עמדות התשלום של כרטיסי אשראי, ויכולת שליחת התוצאה למרכז מידע עם נתונים מדויקים מהכרטיסים וסכומי החיוב לצורך אישור ויצירת העסקאות וחיובי הלקוחות השונים.

העתקה או דליפה של מידע מאחד הכרטיסים מאלץ ביטול הכרטיס עם המידע הישן, והנפקת כרטיס חדש עם מידע שונה, כדי לאפשר ללקוח המשך שימוש בכרטיס כאמצעי תשלום לגיטימי. לא כך הם פני הדברים כשמדובר בביומטריה. נתונים ביומטריים גולמיים מעצם טבעם לא ניתן לשנות...

ליצירת מכנה משותף, או תקינה, יש יתרונות רבים ביכולת לקרוא מידע מאוחסן מכרטיסים זהים בתכונותיהם במקומות שונים. יחד עם זאת, לתקינה יש חסרונות, בייחוד כאשר מדובר בזיוף או מרמה. אם מידע בתקן אחיד מאפשר קריאה בקוראים לגיטימיים, המידע הזה בוודאי ניתן לקריאה בהתקני קריאת כרטיסים העושים שימוש במכנים משותפים או כפי שנהוג לקרא לזה בעגה מקצועית, 'עומדים בתקן'. קוראים אלו עושים שימוש נכון בתקן גם כאשר הם אינם לגיטימיים. יחידות המידע הלגיטימי והמזויף זהות מבחינה לוגית ותוצאתית כי שתיהן עומדות בדרישות התקן.. אם לא יהיו בידנו כלים לגלות את הזיוף, הוא לא יתגלה לעולם. אם בעל חשבון לא יתלונן שכספים הוצאו מחשבונו על ידי צד שלישי או לחילופין הבנק לא יגלה זאת באמצעות מנגנוני ניטור, המגלים פעולות לא סבירות בחשבון פעיל (מיקום, זמן, סכומים וכד') הזיוף לא יוכל להתגלות לעולם מכיוון שגם לבעל החשבון הלגיטימי וגם לזייפן יש את אותם הכלים ומידעים לבצע תשלום מול אותה מערכת. המידע שנקרא זהה לחלוטין בין אם נקרא באמצעות התקן חוקי או מזויף.

במשך שנים הושקעו מאמצי פיתוח בהגנה על מידע רגיש מבלי לתת פתרון לשורש הבעיה והיא היכולת לקשור אדם למכונה. ללא כל קשר כמה רגיש המידע המאוחסן, כל זמן שקיימת דרך לקרוא מידע, תמיד יהיו התקנים שיוכלו לעשות זאת באופן לא לגיטימי.

כך גם דרכונים ביומטריים המכילים מידע ביומטרי אגור. כל זמן שיש דרך תקנית לקרוא את המידע האגור בהם תמיד תמצא הדרך לשכפל ולהעתיק אותם. הדרכון הביומטרי בנוי מעצם טבעו להיות קריא למערכות אוטומטיות שונות לקריאת מידע של מסמכי מסע. לכן יהיו חייבים לעמוד בתקן של MRTD (קריאת מכונה של מסמכי מסע) כדי להופכם לשמישים ועליהם להיות אחידים ולפיכך פגיעים.  מכאן היכולת לקרוא את המידע באמצעים תקניים בלתי לגיטימיים קצרה. שמירת מידע ביומטרי במסמך המזהה עצמו, דומה לכרטיס כספומט שהודבקה עליו מדבקה עם הקוד הסודי.

כאשר יש לנו אוסף של מטרות אחסון אלקטרוניות זהות (דרכונים, תעודות זהות, או רישיונות נהיגה עם רכיבי זיכרון ובהם נתונים ביומטריים וכד') פריצה לאחד מהם מאפשרת פריצה גם לאחר. המשמעות המחרידה לעניין היא שלכל המטרות האלקטרוניות הזהות יש נקודת כשל יחידה
 (single point of failure). לממשלות בכל רחבי העולם יהיה קשה ויקר מאוד, להתאושש מהחלפה כללית של תעודות זהות ומסע בכל פעם שבאחת המדינות תתרחש פריצה למנגנון האלקטרוני הקיים בכל אחד מהכרטיסים החכמים. רק בגלל העובדה שהם יהיו חייבים להיות אחידים לקריאה או זהים במבנה הלוגי שלהם (בגלל תקן הקריאה האחיד).

תעודות זיהוי או מסע חייבות להיות קריאות למנגנונים שונים בארץ או בחו"ל ובכך תתאפשר תקיפה של המנגנון והוצאת המידע הרגיש משליטתו הבלעדית של הגוף או המדינה המנפיקה אותם.  תעודה האוגרת בתוכה מידע ביומטרי מהווה למעשה נקודת כשל קריטית ללא יכולת התאוששות מאבדן המידע. קודם כבר הוכחנו כי כל מה שניתן לקריאה, בהכרח ניתן להעתקה, וכל מה שניתן להעתקה, ניתן לפענוח, שכפול ופריצה. זיוף תעודות וגניבת זהויות תהפוך למכה עולמית ללא יכולת התאוששות או חזרה מאבדן המידע החשוף.

בעיה לוגית נוספת: אם נהפוך את המערכת הביומטרית הממוחשבת למנגנון היחיד שיכול להוכיח את זהותנו, כלומר אנו כבני אדם חופשיים ללא כל עבר פלילי ניתן למכונות ממוחשבות את הכוח והיכולת לזהות אותנו באופן בלעדי, נמצא עצמנו במצבים בהם לעולם לא נוכל להוכיח מי באמת אנחנו. בייחוד במקרה של זיוף או גנבה של המזהים העצמיים שלנו, במקרה בו יעשה שכפול, זיוף או הדבקה של המזהים הביומטריים שלנו.

מערכת ביומטרית יכולה להיות מאוד מדויקת במקרה של מיעוט רשומות. ככל שמספר הרשומות גדל, יגדלו בהתאמה מרווחי הטעויות. כדי לאפשר למערכת הממוחשבת זיהוי או התאמה ממוחשבת של המזהים העצמיים של אדם בזמן סביר יהיה הכרח להוריד את רמת הדיוק הנבדקת... הורדת רמת הדיוק באופן טבעי תשאיר פתח סטטיסטי לטעויות. זהו בדיוק המקום בו מתרחשים האירועים הקשים ביותר הפוגעים בפרט: מטעות בזיהוי עד לזיוף וגניבת זהות....

השימוש בביומטריה יוצר מרחב עצום וחדש לגמרי לפגיעה בפרט ולדאגה לשלום הדמוקרטיה. השימוש בביומטריה מונע מאדם זכות לגיטימית להתכחש לתוצאות המדידה הנעשית לחלקים מגופו!!! שלא כמו בכרטיס אשראי ,כספומט או תעודה מודפסת רגילה, ברגע שאבד מידע זמני יונפק לבעליו כרטיס חדש עם מידע זמני אחר, שונה מקודמו. כדי למנוע שימוש במידע הזמני שאבד ונחשף. מידע ביומטרי או מדידות של דגימות הגוף או המזהים העצמיים של הפרט אינם ניתנים לשינוי הם שם ושארו שם למשך כל ימי חייו של הפרט. אבדן או חשיפה של מידע ביומטרי הוא אבדן מלא ללא יכולת ריפוי או תיקון לצמיתות. השימוש במידע שהופק מדגימות גוף לפיכך, מאוד מסוכן ופוגעני. בוודאי כאשר יש ביכולתו של המידע הזה להשפיע על חייו וזהותו של בעליו.

למדינת ישראל ישנם היום שני חוקי יסוד הנוגעים לחירותו וזכויותיו של האדם והם אבני הדרך שבה בחרה הכנסת לשם גיבוש הדרגתי של חוקה למדינת ישראל הראשון היא הזכות לפרטיות והשני חוק חופש העיסוק. הצעת חוק "הכללת אמצעי זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, התשס"ט 2008" מתנגש באופן בוטה בשני חוקי יסוד אלו:  

אכיפת אמצעים ביומטריים ע"י המדינה תאלץ את הכנסת לחוקק חוקים נוספים שימנעו מגופים פרטיים לעשות שימוש בטכנולוגית איסוף ביומטרית מקבילה כדי למנוע דליפת המידע ויצירה של מאגרים מקבילים, חקיקה של חוקים שיש בידם למנוע חופש עיסוק של מגזרים שלמים תהווה הפרה של חוק יסוד.

ההתנגשות הנוספת היא הפגיעה בפרטיות - אזרח במדינה דמוקרטית "נדרש באמצעות חקיקה" לוותר על זכותו הטבעית לשלוט במזהים העצמיים שלו (פרטיותו, גופו, כבודו), זכות יסוד המוקנית לו בחוק יסוד הקובע כי אין פוגעים בחייו, בגופו, או בכבודו של אדם באשר הוא אדם, ואם לא יאות האזרח לציית ו/או "לוותר" על זכות יסוד זאת, תישלל ממנו כ"עונש" זכות יסוד אחרת, חופש התנועה (לאזרח בלי מסמכי נסיעה אין חופש תנועה).

אנו כאזרחים מן השורה חייבים לזכור כי מידע ביומטרי, ניתן בקלות לשכפול, זיוף, הדבקה, השתלה, העתקה ואחסון. גופים פרטיים, מקומות עבודה או גופים ציבוריים כמו בנקים או הביטוח הלאומי מנצלים כיום את העדר הפיקוח והעדר אכיפה של הרשויות האמונות על הגנת הפרטיות, כ"כ הסתרת מידע תוך ניצול תמימות האזרחים, תוך ניצול תלותם בגופים המפרים את החוק, להזדהות באמצעות ציוד ביומטרי. גופים אלו עושים שימוש לא חוקי ופולשני במידע הנאגר במאגרים בלתי חוקיים, בלתי מאושרים ובלתי מאובטחים שבהעדר חקיקה ספציפית שתמצא פשרה בין הזכות לחופש העיסוק של יצרני טכנולוגיה ביומטרית פולשנית לבין פגיעה בזכויות יסוד של אזרח המדינה לפרטיות ולכבוד.

גוף ציבורי או פרטי המאלץ אזרח לעשות שימוש במידע מגופו כדי לאפשר כניסה לבניין או כדי להזדהות בשעוני נוכחות במקום העבודה או כדי לקבל דמי אבטלה, למעשה עובר על החוק ויוצר מאגרי מידע חלופיים שאינם חוקיים הכוללים מידע אישי, פרטי ורגיש אודות האזרחים המידע מפוזר במגזרים שונים ללא פיקוח  והגנת המחוקק. קיום של מאגרים ביומטריים מקבילים המכילים מידע אישי רגיש יאפשר זליגה ומכירה של המידע לכל דורש, ללא כל יכולת שליטה או בקרה של המחוקק, כפי שהדבר נעשה כיום עם כתובות הדואר האלקטרוני, מספרי הטלפונים, כתובת המגורים, המידע הפלילי, הרפואי, רמת השכר,  והרגלי הצריכה שלנו.

כפי שכבר הוכחנו קיימת סכנה ממשית לאבדן שליטה מוחלט במאגרי המידע עם דגימות מגופם של אזרחים והפיכת הביומטריה למנגנון הזיהוי האולטימטיבי של כל אזרחי המדינה. חשוב לדעת כי יש ביכולתו של המנגנון הביומטרי האגור לזהות אדם גם ללא ידיעתו או הסכמתו בכל פעם מחדש אפילו ללא צורך בהימצאותו של בעליו הלגיטימיים של המידע בתהליך הזיהוי. שמשמעותו, אבדן מוחלט של המרחב הפרטי והזכות לכבוד ולאנונימיות של הפרט העומדים בבסיסה של הדמוקרטיה המעוגנת וכפופה לחוקי היסוד שלה.

לסיכום: לעולם לא תהיה לאזרח תמים שכבודו ופרטיותו נפגעו, אפשרות להוכיח מאיזה מאגר פרטי, ציבורי או משטרי זלג המידע עם הדגימות מגופו. ברגע שהביומטריה (ואיתה יכולת השליטה במזהים העצמיים) תהפוך למנגנון זיהוי אולטימטיבי, מרחב ההזדמנויות לחדור לפרטיות האזרחים שזכות עליה אינה ניתנת לערעור ומעוגנת בחוק יסוד, תופר ולמעשה תרוקן מתוכן את כוונתו ותכולתו של חוק יסוד כבוד האדם וחירותו.

השימוש בביומטריה כפי שנוכחנו פולשני ובוטה, המאפשר לגוף שלטוני, לשוטריו ולפקידיו, לעשות במידע האישי שימוש חופשי ללא רשות בעליו וללא מתן שליטה לאזרח במדינה דמוקרטית שומרת חוק לכאורה לנעשה בהעתקי חלקים שהוצאו מגופו שלו. גופים פרטיים או עברייניים, יתחילו לעשות שימוש מסחרי ללא יכולת פיקוח משפטי במידע אינטימי, אישי, פולשני, פרטי ואנונימי של אזרחים תמימים, מידע שלא היה לו כל ערך מסחרי לפני החלת החוק הדרקוני המוצע ל"נטילת אמצעים ביומטריים".

במאמר זה הוכחנו ללא כל צל של ספק כי בחוק זה קיים פגם מהותי היורד לשורש עקרונות היסוד של המשטר החוקתי והתפיסות הדמוקרטיות בישראל, בלא כל התחשבות ברצונות ודעות של הפרט. קשה להאמין כי יוזמי הצעת החוק ביקשו לחוקק חוק זה רק כדי למנוע זיוף, רק בשל העובדה הפשוטה כי זיוף ניתן למנוע באמצעים פשוטים וזולים מאלו שהועלו בהצעת החוק גם לשטרי כסף יש מוטיבציה אדירה לזייף ואף אחד לא יעלה בדעתו לסמן כסף בביומטריה... לפיכך אי אפשר להסתיר עוד כי המטרה האמיתית של החוק נועדה לשלוט במאפייני גופם של אזרחי המדינה כדי לעשות במידע עליהם חקירות, ומעקבים. כאשר תופעת הלוואי לחוק שבוודאי אינה נסתרת למחוקק ולגופים שזכו במכרז, והיא הפוטנציאל העסקי של מסחר במידע, ולמשטרה כלים לחדור לרשות הפרט או לעשות שימוש חורג או אחר במזהים העצמיים של אזרחים תמימים וחפים מכל פשע. מידע הביומטרי לא יאפשר לאזרח תמים וחף מפשע להתכחש למידע שנאסף אודותיו או שנחשף, ויהפוך את חייו לבלתי נסבלים, ללא יכולת שליטה בפרטיותו, במאפייני גופו ובמזהים העצמיים שלו.

נכתב ע"י: מיכאל (מיכה) שפיר - טכנולוג ראשי ומייסד אינוויה מחקר ופיתוח