IBM представила технологию защиты пользователей от кражи персональных данных

IBM представила технологию защиты пользователей от кражи личных данных

Корпорация IBM представила программное решение с открытым исходным кодом Identity Mixer, призванное помочь людям защитить их персональные данные от возможных утечек и краж — часто имеющих место тогда, когда эти данные хранятся на серверах компаний, услугами которых они пользуются.

Примечательно, что в разработке решения приняли участие две женщины-криптографа — россиянка Мария Дубовицкая и Анна Лисянская родом из Украины.

Мария Дубовицкая занимается непосредственной разработкой и внедрением Identity Mixer, а также разработкой новых криптографических алгоритмов и систем, использующих Identity Mixer. Сейчас она руководит проектом по интеграции Identity Mixer в платформу IBM Bluemix.

Дубовицкая окончила Московский инженерно-физический институт, завершала работу над диссертацией в научном центре IBM в Цюрихе, где сейчас занимает должность исследователя в области информационной безопасности и защиты персональных данных, пишет safe.cnews.ru.

Ее коллега Анна Лисянская - одна из изобретательниц криптографического алгоритма Identity Mixer. Она окончила Массачусетский технологический институт, где получила докторскую степень (Ph.D.) в области электротехники и компьютерных наук, и сейчас она работает профессором департамента компьютерных наук в Университете Брауна в США. Часть своих исследований она провела во время стажировки в лаборатории IBM в Цюрихе.

Identity Mixer - это предложенное IBM облачное решение по защите персональных данных.

Многие компании требуют от пользователей указывать разнообразные личные данные, например, дату рождения, адрес, номер и срок действия банковской карты. Хакеры могут взломать серверы и получить доступ к этим данным, что нежелательно для пользователя. Кроме того, компания может халатно отнестись к сохранности данных, в результате чего они могут оказаться открытыми третьим лицам.

Решение Identity Mixer помогает избежать таких ситуаций за счет того, что пользователь попросту не передает компании своих персональных данных и поэтому на ее серверах этих данных нет.

Например, университет выпускает электронные студенческие билеты, которые содержат персональные данные своих владельцев. Однако когда электронный билет используется для получения скидки, то для выполнения этой операции сведения о персональных данных не нужны. Разработанные в Цюрихской лаборатории IBM специальные криптографические алгоритмы позволяют пользователю лишь подтвердить тот факт, что он является студентом, не разглашая при этом имени, даты рождения и т. д., пояснили в IBM

IBM демонстрирует другой пример использования технологии Identity Mixer: онлайн-библиотеку художественных фильмов. Чтобы скачать фильм с этого сайта, пользователю нужно подтвердить, что его возраст соответствует возрастной категории, указанной для выбранного им фильма. Сейчас пользователю пришлось бы предъявить документ, удостоверяющий его возраст, что означало бы автоматическую передачу всех персональных данных из этого документа. Однако если этот видеосервис использует Identity Mixer, то сторонний сайт получить только криптографическое доказательство того, что пользователь достиг требуемого возраста, а никакой другой информации о пользователе разглашено не будет.

Электронные удостоверения, поддерживающие технологию Identity Mixer, могут выпускаться как третьей стороной (например, электронным правительством в случае паспорта или университетом в случае со студенческим билетом), так и самим поставщиком услуг — например, выдача подписки на использование сервисом. Выпускающая сторона гарантирует подлинность персональных данных в заверенном ею документе. В отличие от провайдеров социальных сетей, она не участвует в проверке криптографических доказательств о выданных ею электронных удостоверениях — для этого необходим лишь ее открытый ключ. Это является еще одним преимуществом Identity Mixer, так как действия пользователей никем не отслеживаются, рассказывают в IBM.

Identity Mixer подходит не только в этом случае, но и когда пользователю необходимо передать сервису данные банковской карты. Решение позволяет передавать тому же видеосервису вместо этих данных аналогичное криптографическое доказательство платежеспособности клиента, которое может быть использовано для получения денег непосредственно от банка клиента.

Технически Identity Mixer представляет собой набор Java-библиотек. Клиент, решивший внедрить новое решение, может сделать это бесплатно, загрузив исходный код с сайта GitHub и развернув решение на собственных серверах.

IBM предлагает облегчить задачу и воспользоваться Identity Mixer в рамках облачной платформы Bluemix. То есть, разместив сайт в облаке IBM, заказчик сможет подключить Identity Mixer в виде сервиса, не беспокоясь о технических деталях запуска в собственном дата-центре. Как сообщили CNews в IBM, запуск бесплатной тестовой версии Identity Mixer на платформе Bluemix запланирован на апрель-май 2015 г.

ИТ-отрасль выступила против ковровых блокировок, предлагает точечные

Участники круглого стола «Замедление интернет-сервисов и сохранение цифровой экономики: взгляд отрасли», прошедшего 15 апреля в пресс-центре ТАСС, предложили комплекс мер, который, по их мнению, необходим для сохранения качества цифровых услуг для граждан и защиты бизнеса от экономических потерь.

Круглый стол организовали Ассоциация «Руссофт» и АНО Союз «Цифровой мир». В обсуждении также принял участие депутат Государственной Думы, первый заместитель председателя комитета по контролю Дмитрий Гусев.

Дмитрий Гусев отдельно подчеркнул, что даже в период вынужденных ограничений должны бесперебойно работать государственные платформы, включая «Госуслуги» и системы межведомственного взаимодействия. При этом, по его словам, важно сохранить для граждан привычный цифровой комфорт:

«При этом важно рационально распределять сетевые ресурсы: предотвращать перегрузки каналов, но одновременно сохранять доступ к базовым цифровым сервисам, от которых зависит повседневная жизнь людей. Операторы связи обязаны приоритезировать трафик критически важных государственных ресурсов, параллельно развивая резервные маршруты и автономные сегменты инфраструктуры».

Одним из таких механизмов остаются так называемые «белые списки». Ведущий аналитик Mobile Research Group Эльдар Муртазин назвал их лучшим из худших решений, которые удалось предложить в сложившейся ситуации. По его оценке, они обеспечивают доступ к базовому набору цифровых сервисов, на который приходится около трети всего трафика.

В то же время, отметил он, у этого механизма немало недостатков. Прежде всего, «белые списки» усиливают позиции крупных платформ. Кроме того, порядок их формирования остаётся непубличным и непрозрачным, и эту ситуацию, по мнению эксперта, необходимо менять. В целом же, по оценкам Эльдара Муртазина, потери российского бизнеса из-за ограничений интернета достигают десятков миллиардов рублей в месяц.

Председатель правления Ассоциации «Руссофт» Сергей Вотяков призвал расширить «белые списки» за счёт доверенных облачных и онлайн-сервисов. По его мнению, это могло бы дать дополнительный импульс их развитию. Однако пока многим ИТ-компаниям трудно строить планы, поскольку остаётся неясным, как будет работать интернет в ближайшей перспективе.

Участники дискуссии также призвали с осторожностью подходить к блокировке VPN. Как напомнил председатель совета директоров «Базальт СПО» Алексей Смирнов, VPN — один из базовых инструментов интернета, основное назначение которого заключается в обеспечении безопасной связи через публичные сети. Возможность обхода блокировок он назвал лишь побочным эффектом. Тотальную блокировку VPN он сравнил с полным запретом автомобильного движения ради соблюдения правил дорожного движения.

Председатель АНО Союз «Цифровой мир» Валерий Корнеев, в свою очередь, предложил ввести мораторий на запуск новых сервисов, требующих массового сбора персональных данных:

«Мы предлагаем ввести немедленный мораторий на запуск новых сервисов, критически зависящих от бесперебойной мобильной связи и надёжной удалённой идентификации. К ним, в частности, относятся инициативы по легализации онлайн-продаж алкоголя, энергетиков и табачных изделий, требующих сверки данных в режиме реального времени. В текущих условиях, когда для обеспечения безопасности граждан ограничены возможности мобильного доступа к сети интернет, приоритетом должно стать не наращивание трафика и нагрузки на инфраструктуру, а обеспечение устойчивости и защищённости уже работающих критически важных сервисов. Запуск высоконагруженных систем в такой обстановке создаёт неприемлемые риски для национальной безопасности».

Участники мероприятия выступили против «ковровых блокировок» и запрета целых платформ, которыми пользуется широкая аудитория и от которых нередко зависит работа бизнеса — как малого, так и крупного. По их мнению, ограничительные меры должны применяться точечно и затрагивать только конкретных нарушителей и контент, нарушающий законодательство.

В целом по итогам дискуссии были сформулированы пять основных предложений, направленных в правительство:

  1. Регуляторное воздействие должно быть точечным и распространяться только на явно вредоносный трафик.
  2. Необходимо обеспечить цифровой комфорт для граждан. Отчасти эту задачу решают «белые списки», однако механизм включения в них новых сервисов должен стать более публичным и прозрачным.
  3. Тотальный запрет VPN недопустим. Следует чётко разграничивать средства обхода блокировок и инструменты, предназначенные для безопасной передачи данных через публичные сети.
  4. Необходимо обеспечить доступ как минимум аккредитованных российских ИТ-компаний к международным сервисам — репозиториям кода, библиотекам и другим инфраструктурным ресурсам.
  5. Следует ввести мораторий на запуск новых систем, требующих массового сбора персональных данных и их сверки в режиме реального времени. Такие сервисы критически зависят от работы мобильного интернета, который в ряде регионов уже ограничен.

RSS: Новости на портале Anti-Malware.ru