На ИТ-завтраке в рамках Петербургского международного экономического форума глава Минцифры Максут Шадаев рассказал, что ведомство рассматривает возможность внедрения сервиса идентификации возраста на онлайн-платформах. Он назвал это темой ближайшей повестки и указал, что Европа и развитые страны идут "по пути жестких ограничений".
Главный вопрос заключается в том, как именно будет происходить эта проверка, обратил внимание старший преподаватель кафедры КБ-14 "Цифровые технологии обработки данных" Института кибербезопасности и цифровых технологий РТУ МИРЭА Игорь Котилевец. Если сервис будет запрашивать скан паспорта или его реквизиты, это создаст базу персональных данных, которая привлечет внимание злоумышленников, предупреждает эксперт.
Даже крупные компании не застрахованы от утечек, а потеря паспортных данных грозит человеку не просто взломом аккаунта, а полноценной кражей личности, оформлением кредитов и подставных фирм. Поэтому технически сложность заключается в том, чтобы сделать эту систему одновременно удобной и безопасной.
"Самый надежный способ - использовать концепцию "слепого подтверждения" через портал "Госуслуг". В этом случае сайт не получает ни паспортных данных, ни фото документа, а только короткий и однозначный ответ: пользователь старше 18 лет или нет. Такой подход уже отработан в мессенджере "Макс", где с помощью динамического QR-кода можно подтвердить статус многодетной семьи или льготника, не передавая магазину лишней информации. Этот код обновляется каждые 30 секунд, защищен от скриншотов, а при сканировании передается лишь факт наличия права, без раскрытия персональных данных", - поясняет Котилевец.
При этом у функции подтверждения возраста есть и риск. По словам эксперта, многие сайты могут пойти по пути наименьшего сопротивления и начать требовать прямого ввода паспортных данных или загрузки фотографии документа. Это может привести к массовым утечкам, так как безопасность хранения данных на десятках тысяч сайтов невозможно гарантировать. А также к росту числа отказов от регистрации.
"Пользователи, особенно молодежь, привыкли к мгновенному доступу к контенту, и любое дополнительное действие, включая необходимость подтверждать возраст, будет восприниматься как барьер. Часть аудитории просто уйдет на зарубежные платформы, которые не встроят российскую систему верификации", - полагает Котилевец.
С точки зрения безопасности личных данных, главная угроза кроется именно в реализации идеи. Если закон обяжет все сайты использовать только безопасные механизмы "слепого подтверждения" без сбора и хранения чувствительных данных, риск для пользователей будет минимальным.
Кроме того, есть риск угона и продажи верифицированных аккаунтов. Руководитель аналитического центра компании Zecurion Владимир Ульянов рассказал, что может произойти ситуация с повышением уровня доверия к прошедшим проверку участникам сообществ, хотя по факту они могут оказаться не теми, за кого себя выдают.
"Более вероятным мне видится подтверждение возраста через учетную запись на "Госуслугах". Я надеюсь, что будут существовать и альтернативные способы подтверждения. Не исключено, что сервисы могут злоупотреблять возможностями и запрашивать больше сведений о пользователях, чем им на самом деле нужно. В большинстве случаев люди соглашаются предоставить разрешения в том объеме, в котором они были запрошены", - добавляет эксперт.
Также есть риск и накопления больших массивов данных пользователей в одном месте. Подобные сервисы потенциально могут хранить избыточные сведения о пользователях вроде паспортных данных, фотографиях и биометрии. С одной стороны, это привлекает внимание злоумышленников, а с другой - когда произойдет утечка, то в открытом доступе окажутся вообще все сведения о людях.
Руководитель группы защиты инфраструктурных ИТ-решений компании "Газинформсервис" Сергей Полунин объясняет, что большинству сервисов будет достаточно простого ответа - есть пользователю 18 лет или нет, но опыт подсказывает, что этими сведениями сервисы не ограничатся.
"Самым надежным будет способ, который позволит подтверждать свой возраст, но не передаст сервису полного набора персональных данных. Во многих странах для этих целей используют государственные цифровые идентификаторы. Кроме этого подтвердить свой возраст можно через банк или сотового оператора, которые при заключении договора эти данные уже проверили.", - заключает Полунин.