Micro Focus in REAL security : morebitne neskladnosti med GDPR in blockchain-i

Predstavljamo mnenje o potencialnih neskladnostih med kmalu udejanjeno evropsko direktivo za zaščito zasebnih podatkov GDPR ter ti. tehnologijo prihodnosti – veriženi bloki ali v originalu blockchain.

GDPR : 27. 4. 2016 sprejeta Splošna Uredba o Varstvu Osebnih Podatkov (GDPR) Evropske Unije bo nasledila nacionalne zakone o varstvu osebnih podatkov, pri nas ZVOP-1, vsaj do sprejetja ZVOP-2. Implementirati se prične 25. 5. 2018, teoretično bi do srede leta 2018 morale vse organizacije, ki hranijo in obdelujejo osebne podatke državljanov EU, biti skladne z njo. Direktiva določa pravila varovanja osebnih podatkov tj. predvsem obveznosti organizacij, ki jih hranijo, ter pravice posameznikov, na katere se ti podatki nanašajo.

Povpraševanje po podatkih in zahteva po brisanju podatkov : Dve v GDPR pomembni obveznosti podjetij sta obveza posredovati seznam vseh o osebi hranjenih podatkov, ter obveza pobrisati vse podatke, če oseba to zahteva. Oba dela sta seveda nekoliko omejena z drugimi zakoni. Običajno podjetje je na primer dolžno posamezniki pokazati celotni inventar njegovih podatkov, država oz. njene tajne službe pa najbrž ne. Posameznik prav tako ne more zahtevati brisanj podatkov na banki, pri kateri še ni odplačal kredita, ali podatkov v državnih ustanovah o zaostalih davkih, prometnih prekrških ali zgodovini kriminalnih dejanj. Še vedno ostaja mnogo primerov, ko bodo podjetja in organizacije eni ali obema od teh dveh zahtev morale ugoditi. Tukaj lahko pride do nepredvidljivih težav, neskladnosti oz. »spopada« med GDPR in tehnologijo veriženih blokov.

   

Blockchain : Teoretične osnove veriženih blokov segajo v ‘davna’ devetdeseta leta prejšnjega stoletja, v globalni praktični rabi pa so se pojavili s prvo uspešno kripto-valuto Bitcoin. Potencialnih koristi tehnologij je veliko. In to za različne potrebe, ne samo za kibernetsko varnost. Namen veriženih blokov je vodenje podatkov, transakcij, interakcij med entitetami – posamezniki, podjetji, stroji ali komerkoli – na necentraliziran način, in sicer predvsem na temelju zaupanja. Zaupanje je postavljeno na, če poenostavimo – šifriranju. Dve ali več strank, ki uporabljajo blockhain, vpisujejo vanj transakcije, te se vodijo v neke vrste računovodski knjigi – ledger – ta računovodska knjiga je pravzaprav blockchain. Ko se vanj doda nova transakcija, se uporabi zelo močno šifriranje, s čimer se prepreči kakršnakoli manipulacija predhodnih zapisov. Tako se lahko vzpostavi decentralizirani sistem, kajti nobena od sodelujočih strank ga ne more zlorabiti.

GDPR vs Veriženi bloki

Potem, ko se podatki zapišejo v blockchain, jih je tako rekoč nemogoče pobrisati. To je pravzaprav namenska, zaželena lastnost veriženih blokov, ki zagotavlja možnost decentraliziranega delovanja in pomeni, da se sistemu lahko zaupa. A to tudi pomeni, da iz veriženega bloka ni mogoče odstraniti morebitnih osebnih podatkov, kar pomeni, da so veriženi bloki načeloma popolnoma neprimerni za hranjenje osebnih podatkov o državljanih EU oz. za hranjenje transakcij, čigar deli vključujejo tudi osebne podatke. In tega ni mogoče spremeniti ne s prilagajanjem tehnologije in ne s prilagoditvijo zakonodaje. Zakaj?

Poglejmo si primer najpopularnejšega veriženja blokov – Bitcoin. Dodajanje novega bloka v verigo zahteva precej obsežne kriptografske operacije, bitcoin »rudarji« jih poganjajo na osebnih računalnikih z množico procesorjev in grafičnih kartic namenjenih samo preračunavanju, ti stroji so skoraj tako močni, kot so nekoč bili super-računalniki. Ko je izračunan rezultat enkrat sprejet in postane del verige, bi bilo potrebno zelo veliko računske moči, da se ga zamenja z drugim blokom. Za brisanje ali spreminjanje od konca verige za X elementov oddaljenega bloka, pa bi bilo potrebno opraviti še več računskega dela, kot ga je bilo treba za dodajanje teh zadnjih X blokov. Poleg tega bi »rudar«, ki hoče narediti kakršnokoli spremembo, to moral narediti preden bi kateremu od drugih uspelo že dodati nov blok v verigo. To je zelo težko že za bloke, ki so čisto blizu konca verige, za bloke, ki so že nekaj časa v verigi, pa je s praktičnega stališča nemogoče.

Na brisanje ali urejanje podatkov v blokih oddaljenih od konca verige lahko torej pozabimo.

No, informacije v Bitcoin verigi so pravzaprav le podatki o transferjih Bitcoin-ov od enega uporabnika do drugega, kajne, pa še ti uporabniki so identificirani samo s svojimi javnimi ključi in ne z imeni ali kakimi osebnimi podatki. Ali so tako anonimne informacije res lahko kočljive za zaščito posameznikove zasebnosti?

Morda!

Izkaže se, da večine podatkov ni mogoče narediti popolnoma anonimnih, lahko so kvečjemu deloma anonimni oz. psevdonimni. V verigi transakcij na primer bi oseba sicer lahko bila popolnoma anonimna, a ker je torej ne poznamo, ji ne moremo zaupati in zato nikakor ne more biti del veriženega bloka. Po drugi strani pa lahko osebi, katere identiteta je popolnoma znana, v celoti zaupamo, a ta oseba nima nobene anonimnosti. Psevdonimne informacije so kjerkoli med tema dvema ekstremoma, vključujoč oba konca, in predstavljajo kompromis med anonimnostjo in zaupanjem. Enako velja za vse podatke, ki se nanašajo na osebo, ne glede na to kateri podatki so to in v kaki obliki so zapisani, praktično nikoli ne predstavljajo enega ekstrema, običajno so nekje vmes.

   

Posledično – tudi samo z javnim ključem se lahko nekaj pove o posamezniku. Ali z drugega primera – samo z informacijo, da ste Slovenec, se o vas zelo veliko pove. Slovenci predstavljamo le 0.40 odstotka prebivalstva EU, pomeni, če vas nekdo lovi in izve, da ste Slovenec, bo iskanje med 510 milijoni oseb naenkrat zmanjšal na samo 2 milijona oseb. Še veliko več izve samo iz IBAN številke vaše banke, recimo da se vidi, da uporabljate NKBM, ta pa ima na primer 360.000 komitentov, s tem vam je vaš zasledovalec že precej bližje. Popona anonimnost je nemogoča!

In, če imamo na razpolago več sicer anonimiziranih podatkov, lahko na podlagi obdelave le teh pridemo do precej informacij ali pa neko osebo celo identificiramo. Pred leti so naredili raziskavo, v kateri so znanstveniki obdelali anonimne podatke o prometu s kreditnimi karticami za nekaj več kot 1 milijon uporabnikov. S pomočjo logike, strojnega učenja, preučevanja navad ipd. so lahko v devetdeset odstotkih primerov identificirali posameznika samo na podlagi datuma in lokacije zadnjih štirih nakupov. Dandanes, ko je mogoče pridobivati podatke iz več virov in ko ljudje puščajo za sabo sledi tako z lokacijo mobilnih naprav kot tudi z objavami na različnih socialnih omrežjih, je s pravilno korelacijo tako zbranih podatkov mogoče ugotoviti marsikaj.

Torej, glede na to da je iz dokaj anonimnih informacij o transakcijah s kreditnimi karticami mogoče identificirati ljudi, lahko sklepamo, da bi tudi iz Bitcoin transakcij bilo mogoče ugotoviti marsikaj ali celo pokazati na posameznika. Še bolj pa bo to najbrž veljalo za prihajajoče verižene bloke, ki bodo bolj splošno uporabni in najbrž manj računsko kompleksni. Treba je torej razmisliti, kaj se bo zgodilo. Možno bi celo bilo, da bodo uradniki EU razglasili Bitcoin-e za delno kršitev GDPR, čeprav najbrž ne morejo in nameravajo ukreniti kaj dosti proti rabi te kripto-valute. Lahko pa pričakujemo, da se bodo razvile debate, ki bodo pripeljale do kake nove direktive, ki bo bolj podrobno regulirala delovanje prihodnjih veriženih blokov oz. opredeljevala kaj se vanje lahko piše in kaj ne.

Luther Martin je izkušen tehnolog in vplivni avtor več člankov in blogov na spletnih straneh podjetja ter profesionalnih publikacijah in socialnih omrežjih. To besedilo deloma temelji na enem od njegovih blogov.

Avtor in prevod: Robert Lubej, REAL security