Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

Stel je voor dat je lichaam een set sleutels bevat die nooit slijten, nooit verloren gaan en niet vergeten kunnen worden. Dit is de belofte van biometrische technologie, waarbij systemen unieke fysieke kenmerken zoals vingerafdrukken of de patronen van aderen in je hand gebruiken om te verifiëren wie je bent. In tegenstelling tot een wachtwoord, dat je kunt wijzigen als een hacker het steelt, zijn de kenmerken van je lichaam permanent. Als een digitaal slot wordt gekraakt, kun je simpelweg de code veranderen; als een biometrisch systeem wordt gecompromitteerd, kun je niet je hand of je gezicht vervangen. Dit fundamentele verschil maakt de beveiliging van deze systemen een kwestie van diepe persoonlijke consequentie. Terwijl ingenieurs zich al lang concentreren op het moeilijker maken van de sensoren om te misleiden, heeft een nieuwere lijn onderzoek ontdekt dat de apparaten zelf op onverwachte manieren informatie kunnen lekken. Net zoals een radiostation signalen uitzendt die door een ontvanger kunnen worden opgevangen, zenden sommige biometrische scanners zwakke elektromagnetische golven uit die, in een laboratoriumsetting, theoretisch gebruikt zouden kunnen worden om de zeer aderpatronen te reconstrueren die ze bedoeld zijn te lezen.

Een team van onderzoekers probeerde niet de mechanica van dit potentiële lek te begrijpen, maar hoe het publiek zou reageren als een dergelijk risico bekend zou worden gemaakt. Ze bouwden geen apparaat om gegevens te stelen, noch testten ze een specifieke scanner. In plaats daarvan stelden ze een andere vraag: wat is de huidige stemming van het publiek met betrekking tot privacy, vertrouwen en controle? Om dit te achterhalen, bekeken ze een enorme collectie enquêtegegevens uit eenentwintig Europese landen, verzameld in 2010. Deze dataset, hoewel ouder, biedt een heldere momentopname van hoe mensen zich voelden over hun digitale leven vóór het huidige tijdperk van kunstmatige intelligentie en de dominantie van sociale media. De onderzoekers behandelden het idee van een lek in handpalm-aderpatronen als een scenario om dit te testen tegen deze bestaande houdingen, waarbij ze vroegen of mensen zich veilig, in controle of verraden zouden voelen als ze zouden ontdekken dat hun lichaamsgegevens gestolen konden worden via onzichtbare signalen.

De studie begon met het kijken naar hoe bezorgd mensen waren over het feit dat ze online in de gaten werden gehouden. De resultaten toonden een verdeeld publiek. Veertig procent van de ondervraagde mensen uitte hun bezorgdheid dat hun gedrag op het internet werd opgenomen, terwijl de rest zich minder zorgen maakte of er niet om gaf. Deze bezorgdheid was niet gelijkmatig verdeeld; jongvolwassenen en mensen in hun dertiger en veertiger jaren waren eerder bezorgd dan mensen boven de vijfenvijftig. Echter, bezorgdheid alleen vertelt niet het hele verhaal. De onderzoekers onderzochten ook of mensen de macht voelden om deze registratie te stoppen of de informatie te beheren zodra deze bekend was. Onder degenen die persoonlijke details hadden gedeeld op sociale of deelwebsites, voelde slechts zesentwintig procent dat zij de volledige controle hadden over die informatie. Een aanzienlijk deel, twintig procent, voelde dat zij helemaal geen controle hadden. Deze kloof tussen het gevoel van bezorgdheid en het gevoel van machteloosheid suggereert dat als er een nieuwe dreiging zou ontstaan, mensen waarschijnlijk angstig maar hulpeloos zouden zijn, niet in staat om het probleem met een eenvoudige instellingswijziging op te lossen.

Vertrouwen speelde een even cruciale rol in het plaatje. Wanneer gevraagd werd aan wie zij hun vertrouwen schonken om hun persoonlijke informatie veilig te houden, trok het publiek een scherpe lijn tussen verschillende soorten organisaties. Gezondheids- en medische instellingen werden het meest vertrouwd, waarbij zeventiveentachtig procent van de respondenten vertrouwen had in hun vermogen om gegevens te beschermen. Banken en overheidsinstanties genoten ook een hoog niveau van vertrouwen. In schril contrast hiermee werden internetbedrijven door slechts tweeentwintig procent van de ondervraagde mensen vertrouwd. Dit bevinding is cruciaal voor het begrijpen van hoe een biometrisch risico zou worden ontvangen. Als een scanner in een ziekenhuis een gebrek zou vertonen, zou het publiek dit met een mate van begrip of geduld bekijken, gezien het hoge vertrouwen in de medische zorg. Maar als een technologiebedrijf of een online platform met hetzelfde probleem te maken kreeg, zou de reactie waarschijnlijk een van diepe scepsis en woede zijn, aangezien het publiek deze entiteiten al wantrouwt in hun vermogen om persoonlijke geheimen te bewaken.

De onderzoekers keken ook naar hoe mensen zich daadwerkelijk gedragen wanneer ze proberen zichzelf te beschermen. Ongeveer de helft van de mensen die sociale websites gebruikten, had geprobeerd hun standaard privacyinstellingen te wijzigen, wat een bereidheid tot actie toonde. De specifieke acties die mensen namen, waren echter vooral gericht op zaken die ze konden zien en aanraken, zoals het verwijderen van cookies of het controleren op veiligheidslabels op websites. Dit zijn nuttige gewoonten voor het beheren van een webbrowser, maar ze zijn nutteloos tegen een verborgen signaal dat lekt vanuit een stuk hardware. De studie vond dat mensen het gevoel hadden enige controle te hebben over hun online profielen, maar dat zij niet de middelen hadden om de machines te inspecteren die hun lichamen lezen. Dit creëert een gevaarlijke mismatch: het publiek wordt gevraagd risico's te beheren die ver buiten hun vermogen om invloed uit te oefenen.

Misschien wel de meest veelzeggende bevinding was hoe mensen de bescherming van lichaamsgerelateerde gegevens bekeken. Wanneer gevraagd werd of genetische informatie, zoals DNA, speciale bescherming zou moeten krijgen, zei een overweldigende meerderheid van tachtigentweeentachtig procent ja. Dit suggereert dat mensen intuïtief begrijpen dat informatie die aan het lichaam gekoppeld is, anders is dan een gebruikersnaam of een creditcardnummer. Het wordt gezien als iets dat extra zorg verdient. De onderzoekers merkten op dat hoewel handpalm-aders geen genetische code zijn, de instinctieve houding van het publiek om lichaamsgebonden data als zeer gevoelig te behandelen, waarschijnlijk ook voor hen zou gelden. Als een bedrijf probeerde een lek in handpalm-aders af te doen als een klein technisch mankement, zou het publiek die verklaring waarschijnlijk verwerpen en de inbreuk zien als een schending van iets diep persoonlijks.

De studie concludeerde dat een technische openbaring over biometrische lekkage niet in een neutrale omgeving zou landen. Het zou aankomen in een wereld waar een groot deel van het publiek al bezorgd is over het feit dat ze in de gaten worden gehouden, waar het vertrouwen in internetbedrijven laag is, en waar mensen het gevoel hebben dat ze geen macht hebben om gegevensverzameling te stoppen. De onderzoekers voerden aan dat het vertellen van mensen dat ze "voorzichtiger moeten zijn" of "hun instellingen moeten wijzigen" niet zou werken, omdat het probleem ligt in het ontwerp van de machines en de beleid van de organisaties, en niet in de gewoonten van de gebruikers. De oplossing, suggereerden zij, moet van de instituten zelf komen. Bedrijven en overheden moeten de volledige verantwoordelijkheid nemen voor het beveiligen van de hardware, transparant zijn over risico's en echte alternatieven bieden voor degenen die geen biometrische systemen willen gebruiken. Het publiek heeft geen handleiding nodig over hoe ze een signaal moeten stoppen; ze hebben een garantie nodig dat het signaal niet wordt verzonden in de eerste plaats.

Uiteindelijk benadrukt dit onderzoek dat beveiliging niet alleen een puzzel is voor ingenieurs om met betere code op te lossen. Het is een sociaal contract dat afhangt van vertrouwen en het gevoel van controle. Wanneer een systeem een deel van je lichaam gebruikt om je te identificeren, zijn de belangen groter dan bij welk ander soort wachtwoord ook. Als dat systeem faalt, kun je je hand niet resetten. De studie suggereert dat voor acceptatie van deze technologieën, de mensen die ze bouwen en beheren, het publieke vertrouwen moeten verdienen door acties die passen bij de hoge waarde die mensen hechten aan hun eigen fysieke identiteit. Zonder dat vertrouwen zal zelfs de meest veilige technologie aanvoelen als een risico voor de mensen die zij dient.