บริการยืนยันตัวตนของ TikTok, Uber และ X เปิดเผยข้อมูลใบขับขี่

 (404media.co)
1 คะแนน โดย GN⁺ 2024-06-28 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • AU10TIX ผู้รับหน้าที่ยืนยันตัวตนให้ TikTok, Uber และ X เปิดเผยข้อมูลรับรองสำหรับการจัดการไว้บนออนไลน์นานกว่าหนึ่งปี ทำให้เกิดความเสี่ยงต่อการเข้าถึงข้อมูลละเอียดอ่อนของผู้ใช้
  • บริการนี้จัดการข้อมูลยืนยันตัวตนที่มีความเสี่ยงสูง เช่น ภาพใบหน้า รูปภาพใบขับขี่ liveness detection จากวิดีโอแบบเรียลไทม์ และการประเมินอายุจากภาพถ่าย
  • ตามภาพหน้าจอและข้อมูลที่ 404 Media ได้มา ข้อมูลรับรองที่ถูกเปิดเผยอาจทำให้แฮ็กเกอร์เข้าถึงข้อมูลละเอียดอ่อนได้
  • บนเว็บไซต์ของ AU10TIX ยังมีโลโก้ของ Fiverr, PayPal, Coinbase, LinkedIn และ Upwork และบางบริษัทก็ยืนยันความสัมพันธ์การเป็นลูกค้าในปัจจุบันหรือในอดีต
  • เมื่อข้อกำหนดการยืนยันตัวตนและอายุขยายไปยังโซเชียลเน็ตเวิร์กและเว็บไซต์ลามก ผู้ให้บริการยืนยันตัวตนเองก็อาจกลายเป็นเป้าหมายการโจมตี

การเปิดเผยข้อมูลรับรองสำหรับการจัดการของ AU10TIX

  • AU10TIX ซึ่งมีฐานอยู่ในอิสราเอล ให้บริการยืนยันตัวตนแก่ผู้ใช้ TikTok, Uber และ X
  • ตามภาพหน้าจอและข้อมูลที่ 404 Media ได้มา ข้อมูลรับรองสำหรับการจัดการบางส่วนถูกเปิดเผยบนออนไลน์นานกว่าหนึ่งปี
  • ข้อมูลรับรองดังกล่าวอาจนำไปสู่การเข้าถึงข้อมูลละเอียดอ่อน เช่น ภาพใบหน้าผู้ใช้และรูปภาพใบขับขี่

ข้อมูลที่จัดการในกระบวนการยืนยันตัวตน

  • AU10TIX แนะนำบนเว็บไซต์ของตนว่ามอบ “full-service identity verification solutions”
  • รายการที่บริการนี้ประมวลผลมีดังนี้
    • การตรวจสอบเอกสารยืนยันตัวตนของผู้ใช้
    • liveness detection ผ่านสตรีมวิดีโอแบบเรียลไทม์กับผู้ใช้
    • การยืนยันอายุจากภาพถ่ายที่อัปโหลด

บริษัทที่ถูกแสดงเป็นลูกค้า

  • บนเว็บไซต์ของ AU10TIX มีการแสดงโลโก้ของหลายบริษัทนอกเหนือจาก TikTok, Uber และ X
  • บริษัทที่แสดงมี Fiverr, PayPal, Coinbase, LinkedIn, Upwork รวมอยู่ด้วย
  • บางบริษัทในกลุ่มนี้ยืนยันกับ 404 Media ว่าเป็นลูกค้าปัจจุบันหรือเคยเป็นลูกค้าของ AU10TIX

ขอบเขตของหลักฐานที่นักวิจัยแบ่งปัน

  • การค้นพบของนักวิจัยด้านความปลอดภัยไซเบอร์รายหนึ่งเผยให้เห็นว่า บริการยืนยันตัวตนเองก็อาจตกเป็นเป้าของการแฮ็กได้
  • นักวิจัยรายดังกล่าวมอบภาพหน้าจอและข้อมูลบางส่วนให้ 404 Media เพื่อวัตถุประสงค์ในการยืนยันเท่านั้น และไม่ได้เผยแพร่ข้อมูลเพิ่มเติม

ความเสี่ยงที่เกิดจากการขยายการยืนยันตัวตนและอายุ

  • โซเชียลเน็ตเวิร์กและเว็บไซต์ลามกจำนวนมากขึ้นกำลังเปลี่ยนไปใช้โมเดลการยืนยันตัวตนหรืออายุที่กำหนดให้ผู้ใช้อัปโหลดเอกสารยืนยันตัวตนจริง
  • การเปิดเผยครั้งนี้แสดงให้เห็นว่า ในกระแสดังกล่าว ผู้ให้บริการยืนยันตัวตนอาจกลายเป็นจุดรวมศูนย์ของข้อมูลผู้ใช้ที่ละเอียดอ่อน

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-06-28
ความคิดเห็นบน Hacker News

  • บริษัทอ้างว่าพบและดำเนินการกับ การรั่วไหลของข้อมูลประจำตัว แล้วตั้งแต่ 18 เดือนก่อน แต่ข้อมูลประจำตัวที่รั่วออกมายังใช้งานได้อยู่จนถึงหนึ่งเดือนก่อน
    ผมสงสัยจริง ๆ ว่าธรรมาภิบาลและมาตรฐานของผู้ให้บริการในสาขานี้โดยทั่วไปอยู่แค่นี้หรือเปล่า ถ้าเป็นองค์กรขนาดยักษ์ก็พอจินตนาการได้ว่าอาจพลาดจุดแปลก ๆ สักหนึ่งหรือสองแห่งที่มีการใช้ข้อมูลประจำตัว แต่ถ้าเป็นผู้ให้บริการที่ทำงานเฉพาะอย่างเดียว ซึ่งหัวใจคือความน่าเชื่อถือ ผมก็คาดหวังต่างออกไป
    แม้จะขาดความสามารถภายใน ผมก็คิดว่าบริษัทแบบนี้น่าจะทำประกันไว้ และบริษัทประกันจะส่งผู้เชี่ยวชาญมาตรวจยืนยันว่าการแก้ไขแบบนี้ปิดงานเรียบร้อยจริง ๆ แต่ไม่รู้ว่านั่นเป็นความเข้าใจผิดของผมหรือเปล่า

    • นี่ไม่ใช่งานที่มีความน่าเชื่อถือสูง ผู้ให้บริการแบบนี้มักมีอยู่เพื่อให้องค์กรที่มีความสัมพันธ์โดยตรงกับผู้บริโภคสามารถผลักความรับผิดออกไปอีกชั้นเมื่อเกิดเหตุถูกเจาะระบบ พูดอีกอย่างคือเป็น บริษัทเอาต์ซอร์สความรับผิด
    • ใช่ เป็นเรื่องธรรมดามาก งานแบบนี้แทบจะไม่มี ผลลัพธ์ที่เป็นรูปธรรม ตามมาเลย
    • สงสัยว่าทำไมต้องเก็บสำเนาไว้ด้วย แค่รู้ว่าได้ตรวจสอบและยืนยันแล้วก็น่าจะพอ จากนั้นก็ควรลบได้เลย
      ไม่มีเหตุผลที่จะต้องเก็บสำเนาไว้ และอย่างน้อยก็ควรปิดบังส่วนสำคัญที่ไม่ใช่ความรู้สาธารณะไว้ โง่จริง ๆ
    • พวกเขาไม่ได้ทำธุรกิจที่เชื่อถือได้หรือปลอดภัย แค่เป็นบริษัทซอฟต์แวร์อีกแห่งที่พยายามขยายผลิตภัณฑ์เท่านั้น
      ในอุดมคติ บริษัทประกันควรส่งผู้เชี่ยวชาญมาทำให้แน่ใจว่าได้จัดการอย่างถูกต้อง แต่ในความเป็นจริง บริษัทประกันมีลูกค้าเป็นพัน ๆ ราย จึงแทบเป็นไปไม่ได้ที่จะให้ การรับประกันที่เป็นรูปธรรม เกินกว่าการตรวจสอบการปฏิบัติตามข้อกำหนดขั้นพื้นฐาน การจัดการสิทธิ์เข้าถึงและข้อมูลประจำตัวเป็นปัญหายากแม้แต่สำหรับทีมความปลอดภัยที่มีคนพร้อม ยิ่งยากกว่านั้นมากถ้าจะให้ผู้ตรวจสอบการปฏิบัติตามข้อกำหนดเพียงคนเดียวจัดการ

  • ผมขอให้ Uber ลบข้อมูลของผม แต่พวกเขาวางสายใส่อย่างหยาบคาย พอเรื่องถูกยกระดับไปถึง CEO ก็ส่งข้อความมาอธิบายว่าทำไมลบไม่ได้ และย้ำให้สบายใจว่าความกังวลเรื่องข้อมูลรั่วไหลนั้น “ไม่มีมูล”
    คนที่อ้างว่าชื่อ Maribel จาก Uber Support บอกว่าได้ตรวจสอบคำขอลบเพิ่มเติมแล้ว แต่เพราะ มาตรการด้านความปลอดภัย จึงไม่สามารถลบข้อมูลทั้งหมดในบัญชีได้ และให้ไปดูส่วน “E. Data retention and deletion” ใน Privacy Notice ณ วันที่ 12 พฤษภาคม 2024 บัญชีถูกทำเครื่องหมายไว้ว่าจะถูกลบ และระบุว่าการลบบัญชีคนขับเป็นการลบถาวร บัญชีผู้โดยสารก็จะถูกลบอัตโนมัติ และเครดิตก็จะหายไปด้วย
    นอกจากนี้ยังย้ำว่าแพลตฟอร์มมีมาตรการรักษาความปลอดภัยที่เข้มงวดเพื่อปกป้องข้อมูลส่วนบุคคลและความปลอดภัย

    • ผมคิดอย่างจริงจังว่าคำกล่าวอ้างอย่าง “แพลตฟอร์มมีมาตรการรักษาความปลอดภัยที่เข้มงวด จึงรับประกันข้อมูลส่วนบุคคลและความปลอดภัย” ควรต้องมี ความรับผิดทางกฎหมาย ตามมา
      ข้อแรก มันสื่อเป็นนัยเหมือนให้ความปลอดภัยเป็นเรื่องสำคัญสูงสุด แต่ในความเป็นจริง พวกเขาน่าจะทำแค่ตามแนวทางขั้นต่ำเพื่อปกป้องตัวเองทางกฎหมาย จึงอาจเป็นการโกหกในทางปฏิบัติ
      ข้อสอง การรับประกันความปลอดภัยของข้อมูลเป็นไปไม่ได้ทางกายภาพ มันเหมือนสัญญากับเด็กว่าเขาจะไม่มีวันตาย การละเมิดความปลอดภัยไม่ใช่ประตูที่ปิดแล้วลืมได้ แต่เป็นเรื่องของความน่าจะเป็น สังคมที่ปล่อยให้บริษัทรับประกันความปลอดภัยแบบเด็ดขาดกำลังทำให้ตัวเองตกอยู่ในอันตราย
      หลังจากดูสารคดี Ashley Madison เรื่องใหม่ สิ่งที่ยิ่งติดอยู่ในใจคือ พวกเขาแทบไม่พยายามกับความปลอดภัยจริง ๆ แต่กลับสร้างใบรับรองความปลอดภัยปลอมขึ้นมา และแม้จะมีทางเลือกให้ปิดกิจการได้ ก็ยังเอาข้อมูลผู้ใช้มาเดิมพันเล่นเกมวัดใจ ถ้าแฮกเกอร์ลงมือจริง รางวัลก็ย่อมปลิวไปอยู่แล้ว จึงเป็นกรณีที่ชัดเจนมากของความโลภบังตา และ CEO ควรถูกถือว่ามีความรับผิดทางกฎหมายอย่างมากต่อผลลัพธ์ที่เกิดขึ้นและการฆ่าตัวตายที่ตามมา
    • แถมในยุโรป GDPR ก็กำหนดไว้ ดังนั้นพวกเขาสามารถลบข้อมูลทั้งหมดของคุณได้

  • แน่นอนว่าพวกเขาทำข้อมูลรั่วไหล ช่างเทคนิคที่มีประสบการณ์คงมองเห็นตั้งแต่แรกแล้วว่ามันจะลงเอยแบบนี้
    สักวันหนึ่ง ทนายความมืออาชีพที่มีหลักการและรู้เรื่องเทคโนโลยีอยู่บ้างจะโกรธขึ้นมา และทำให้บริษัทเหล่านี้สักแห่งต้องชดใช้ให้สาสมกับ ความประมาทเลินเล่ออย่างร้ายแรง
    จากนั้น เมื่อบริษัทอื่น ๆ มองดูบริษัทที่ถูกบดขยี้ พวกเขาก็จะพยายามผลักดันกฎหมายเพื่อหลีกเลี่ยงความรับผิด แต่บางบริษัทจะตัดสินว่างานเลี้ยงแห่งความบ้าบิ่นจบลงแล้ว และจะรู้สึกว่าต้องทำตัวให้รับผิดชอบและมีความสามารถมากขึ้น

    • ปัญหาคือ ไม่มีผลตามมาเลย จากการรั่วไหล ถ้าบริษัทปล่อยข้อมูลลูกค้าออกไป ลูกค้าควรได้รับค่าชดเชยโดยอัตโนมัติ
    • ด้วยเหตุผลหลายอย่าง ผมเคยเริ่มเปิดบัญชีธนาคารกับ Mercury แล้วตัดสินใจไปใช้ผู้ให้บริการรายอื่น
      ผมบอกว่าจะไม่กรอกใบสมัครให้เสร็จและขอให้ลบข้อมูลหนังสือเดินทางของผม ตอนแรกพวกเขาเพิกเฉยต่อส่วนที่ขอลบ พอผมตอบกลับไปอีกครั้งให้ลบข้อมูล พวกเขาก็อ้างกฎหมาย KYC และย้ำให้สบายใจว่าข้อมูลจะถูกเก็บอย่างปลอดภัยแน่นอน
      ถึงจุดนั้นผมก็ยอมแพ้ ถ้าสู้ต่ออาจลบได้ก็ได้ หรือพวกเขาอาจถูกมัดมือไว้จริง ๆ ก็ได้ หรือการที่ผมสู้เรื่องนี้อาจทำให้ข้อมูลผมถูกทำเครื่องหมายว่าเสี่ยงฟอกเงินก็ได้ แต่ผมจินตนาการถึงเหตุรั่วไหลแบบนี้ไว้เลย
      ผู้ให้บริการที่มีข้อมูลของผมและได้รับผลกระทบไม่ได้มีแค่นั้น และการถูกเจาะครั้งนี้ก็ไม่ใช่ครั้งแรก แต่กรณีนั้นเจ็บปวดที่สุด
      เล่าเป็นเกร็ด ตอนนี้เป็นครั้งแรกในรอบหลายเดือนที่สแปม SMS ถาโถมเข้ามา ผมมองได้อย่างเดียวว่ามีใครสักคนกำลังกวาดข้อมูลรั่วไหลชุดใหม่เพื่อหาเบอร์ที่ยังใช้งานอยู่
    • ในฐานะทนายความที่มีหลักการและรู้เรื่องเทคโนโลยี ผมขอบอกว่าเรื่องแบบนั้นจะไม่เกิดขึ้น
      1. มันอาจไม่ใช่ ความประมาทเลินเล่ออย่างร้ายแรง เลยก็ได้ ความประมาทเลินเล่ออย่างร้ายแรงคือการเบี่ยงเบนจากมาตรฐานความระมัดระวังทั่วไปอย่างสุดโต่ง แต่ดูเหมือนว่ามาตรฐานทั่วไปในเรื่องนี้คือความปลอดภัยที่ย่ำแย่
        กฎหมายสามารถกำหนดมาตรฐานความระมัดระวังและทำให้เรื่องแบบนี้เป็นความประมาทเลินเล่ออย่างร้ายแรงได้ แต่ตอนนี้ยังไม่ได้เป็นแบบนั้น ตั้งแต่ต้นก็ยังไม่ชัดด้วยซ้ำว่าพวกเขามีหน้าที่ต้องระมัดระวังต่อใคร และหากไม่มีสิ่งนั้น ก็เป็นความประมาทเลินเล่อไม่ได้ เรื่องนี้ก็ต้องแก้ด้วยการออกกฎหมายเช่นกัน ถ้าไม่อยากเถียงกันไม่รู้จบ
      2. ความเสียหายแทบทั้งหมดเป็นการคาดคะเน ปัญหาคือความเสียหายจริงคืออะไร และคุณพิสูจน์มูลค่าของมันได้แค่ไหน ใน HN คนชอบพูดว่า X หรือ Y มีมูลค่าเท่านั้นเท่านี้ แต่คุณพิสูจน์อะไรได้ว่าเป็นความสูญเสียจริง?
        การถกเรื่องความเสียหายเชิงคาดคะเน เช่น มูลค่าของความเป็นไปได้ที่ข้อมูลส่วนบุคคลอาจถูกขโมยในอนาคต เป็นเรื่องน่าสนุก แต่คดีส่วนใหญ่จัดการกับความเสียหายจริง
        ถ้าการคำนวณจริงยากเกินไป ก็มักไปใช้ค่าเสียหายตามกฎหมาย แต่ในกรณีนี้ก็ยังไม่มีเช่นกัน ตราบใดที่ยังไม่มีการออกกฎหมายจำนวนมาก ก็จะไม่มีอะไรเกิดขึ้นนอกจากคดีแบบกลุ่มตามเดิมกับคูปองมูลค่า 5 ดอลลาร์
    • ตอนนี้ค่อนข้างปลอดภัยที่จะสันนิษฐานว่า ข้อมูลส่วนบุคคลของผมที่บริษัทใดก็ตามถืออยู่ จะรั่วไหลในไม่ช้า
    • อุตสาหกรรมของเราทั้งหมดเน่าเฟะแล้ว และเราต้องคิดใหม่อย่างถึงรากถึงโคนกับหลายสิ่งที่เราทำ เรื่องนี้ยอมรับไม่ได้ และไม่ควรเป็นเรื่องยากขนาดนี้ เราต้องมี ช่วงเวลาที่ต้องชดใช้ราคา

  • วงจร ละครความปลอดภัย ในขั้นตอนตอนนี้เป็นแบบนี้

    1. พัฒนาฟีเจอร์ให้ได้ไม่ว่าจะต้องแลกด้วยอะไร เก็บข้อมูลเกินจำเป็น และปล่อยปละเรื่องความปลอดภัย
    2. แฮกเกอร์เข้ามาและกวาดข้อมูลทั้งหมดที่เข้าถึงได้ง่ายไป ทั้งหมายเลขบัตรเครดิต หมายเลขประกันสังคม credentials สำหรับระบบปฏิบัติการ การคาดเดารสนิยมทางเพศที่ไม่รู้ว่าบริษัทสร้างขึ้นมาเกี่ยวกับลูกค้าทำไม ประวัติเงินเดือนทั้งหมดของบริษัท ไปจนถึง credentials Instagram ของแฟนสาว CEO แถมยังถ่ายหนักทิ้งไว้ในห้องน้ำก่อนออกไปด้วย
    3. พยายามกลบข่าว
    4. นักข่าวอิสระในคาซัคสถานที่อ่าน /r/leaks ออกมาแฉ
    5. “เมื่อเร็ว ๆ นี้เราพบว่าบุคคลไม่หวังดีเข้าถึง log บางส่วนบนเซิร์ฟเวอร์ทดสอบบางเครื่องได้ อุ๊ย! จนถึงตอนนี้ยังไม่พบหลักฐานการใช้งานจริงใด ๆ โปรดวางใจว่า ความปลอดภัยคือสิ่งสำคัญสูงสุดของเรา ที่ ACME corp เรารักความปลอดภัย ทีมของเราสวมเสื้อยืด ‘security’ แบบสั่งทำ และสวดภาวนาต่อเทพเจ้าแห่งความปลอดภัย Glombo ทุกวันพฤหัสบดี เพื่อเป็นไมตรีต่อลูกค้าทุกท่าน เราขอมอบแพ็กเกจ ‘security+’ ให้ทดลองใช้ฟรี 2 สัปดาห์ หลังช่วงทดลองคิดเดือนละ $15.99 และอย่าลืมยกเลิกนะครับ/ค่ะ ขอย้ำอีกครั้งว่าข้อมูลของคุณปลอดภัยเมื่ออยู่กับเรา นอนหลับได้อย่างสบายใจ!”
    6. อีก 6 เดือนต่อมา intern พัฒนาระบบจัดการรหัสผ่านใหม่ที่ “เข้ารหัส” รหัสผ่านด้วย base64 อุดช่องโหว่ความปลอดภัยไปได้ครึ่ง ๆ กลาง ๆ
    7. ไม่มีใครสนใจ จึงกลับไปข้อ 1
    • ไม่ได้อยากจะจับผิดบทความดี ๆ หรอกนะ แต่ควรเพิ่มข้อ 5.a) ซึ่งเป็นวิธีที่บริษัทแสวงกำไรระดับพรีเมียมชอบใช้เป็นพิเศษ นั่นคือ โยนความรับผิดชอบของการรั่วไหลให้ลูกค้า ตัวอย่างเช่น 23andMe

  • เห็นรายชื่อลูกค้าแล้วตกใจ: eToro, Coinbase, Payoneer [1]
    มีวิธีตรวจสอบไหมว่าข้อมูลของฉันรั่วหรือเปล่า? รูปใบขับขี่น่าจะถือเป็น ข้อมูลชีวมิติ ภายใต้กฎหมายของบางรัฐ
    [1] https://www.au10tix.com
    [2] https://www.huschblackwell.com/2023-state-biometric-privacy-...

    • ผม/ฉันอาจคิดผิดก็ได้ แต่คิดว่าเลข ID บนใบขับขี่ก็น่าจะเป็นข้อมูลที่ได้รับความคุ้มครองตามกฎหมายเดิมก่อนกฎหมายความเป็นส่วนตัวข้อมูลชีวมิติอยู่แล้ว

  • เรื่องทั้งหมดนี้สำหรับผม/ฉันรู้สึกเหมือน ฝันร้ายแบบ Orwell บริการอย่าง TikTok หรือ X ไม่ควรถามให้ยืนยันตัวตนตั้งแต่แรกด้วยซ้ำ
    ความวุ่นวายครั้งนี้ก็แค่ยิ่งตอกย้ำเหตุผลอื่น ๆ ว่าทำไมมันเป็นไอเดียที่แย่

    • หลายรัฐผ่านกฎหมายที่กำหนดให้โซเชียลมีเดียต้อง ยืนยันอายุ และนี่คือวิธีนำไปใช้
      บริษัทเองก็มีแรงจูงใจที่จะพิสูจน์ว่าจำนวนผู้ใช้ที่ใช้งานจริงเป็นคนจริง ไม่ใช่บอท
    • Uber ก็ไม่ควรทำแบบนั้นเหมือนกัน เวลาเรียกแท็กซี่ไม่เคยต้องแสดงบัตรประชาชน แค่ยืนอยู่มุมถนนแล้วยกมือโบกก็พอ
      ถ้าหมายถึงคนขับ Uber ก็พอเข้าใจได้บ้าง แต่ถ้าเป็นผู้โดยสารล่ะ? ผม/ฉันไม่ได้ใช้ Uber เลยไม่แน่ใจ
    • การรั่วไหลพวกนี้ทั้งหมดทำให้บัตรประจำตัวมีคุณค่าน้อยลงเรื่อย ๆ ในฐานะเครื่องมือพิสูจน์ตัวตนจริง ๆ
      อีกด้านหนึ่ง ก็ทำให้เชื่อได้ว่ามีเจตนาจะผลักดันให้ผู้คนใช้ การยืนยันตัวตนด้วยชีวมิติ อย่างสแกนม่านตาหรือลายนิ้วมือ เพราะบัตรประจำตัวแบบกายภาพรั่วไหลกว้างขวางเกินไปและกระจายไปถึงอาชญากรอย่างทั่วถึงจนกลายเป็นเอกสารที่เชื่อถือไม่ได้อีกต่อไป
    • ใช่แล้ว เพราะเหตุผลแบบนี้แหละถึงไม่ควรส่งบัตรประชาชนให้บริษัทพวกนี้เด็ดขาด
    • เห็นด้วยเต็มที่ และถ้าจะพูดให้ไกลกว่านั้นอีกหน่อย อาจเป็นเพราะผม/ฉันล้าสมัยหรืออยู่นอก bubble มากพอจนมองได้อย่างเป็นกลาง แต่การที่ต้องตรวจ บัตรประจำตัวที่ออกโดยรัฐบาล เพื่อสร้างบัญชีบริการ “ไลฟ์สไตล์” ล้วน ๆ อย่าง Twitter หรือ TikTok นี่มันมาถึงจุดนี้จริง ๆ แล้วเหรอ
      นี่คือจุดหมายที่ใครบางคนอยากให้ไปถึงจริง ๆ หรือ?

  • X ไม่ได้เปลี่ยนไปใช้ Stripe แล้วเหรอ? เคยมีเรื่องที่กลุ่มคนที่ประท้วงเกี่ยวกับปาเลสไตน์ออกมาต่อต้านอย่างหนัก เพราะกังวลว่าพวกเขาต้องส่งบัตรประจำตัวที่มีที่อยู่บ้าน ข้อมูลชีวมิติที่บริษัทนี้ยอมรับว่าเก็บ และข้อมูลอื่น ๆ ให้กับ บริษัทที่เกี่ยวข้องโดยตรงกับอิสราเอล
    ผม/ฉันไม่รู้รายละเอียดเฉพาะของบริษัทนี้ แต่รู้ว่ารัฐบาลทำตัวเหมือน incubator ของบริษัทเทคโนโลยีในทางปฏิบัติบ่อย ๆ ดังนั้นความกังวลแบบนั้นคงไม่ใช่เรื่องไร้เหตุผล
    ต่อให้เปลี่ยนแล้ว ผู้ใช้บางส่วนก็คงยืนยันตัวตนไปก่อนหน้านั้น ดังนั้น X ก็น่าจะยังได้รับผลกระทบอยู่ บางทีเรื่องนี้อาจมีผลต่อการตัดสินใจภายใน เพราะผู้ใช้ชี้ให้เห็นเป็นข้อกังวลกันมานานพอสมควรแล้ว
    ผม/ฉันไม่รู้เลยว่า Uber กับ TikTok ใช้พวกเขา รู้ไว้ก็ดี โชคดีที่ผม/ฉันยังไม่เคยให้ข้อมูลชีวมิติของตัวเองกับพวกเขา

    • ไม่รู้มาก่อนว่า Stripe เกี่ยวข้องกับอิสราเอล ขอบคุณที่บอก จะลองหาทางเลือกที่มีจริยธรรมมากกว่านี้ แต่ไม่แน่ใจว่าจะทันไหมเพราะใกล้เปิดตัวแล้ว

  • ทำไม ข้อมูลยืนยันตัวตนชีวมิติ ของพลเมืองสหรัฐฯ ถึงถูกส่งไปอิสราเอล? ไม่มีกฎหมายเกี่ยวกับการที่ข้อมูลอ่อนไหวแบบนี้ออกจากศูนย์ข้อมูลในสหรัฐฯ หรือ?

    • คุณอาจแปลกใจก็ได้ ตัวอย่างเช่น บริษัทธนาคารและ vendors ของพวกเขาจ้าง outsource ไปอินเดียและโปแลนด์ ในบรรดาคนทำงานที่โปแลนด์ก็มีพลเมืองเบลารุสอยู่ด้วย
      ข้อมูลลูกค้าสหรัฐฯ ทั้งเลขบัญชี หมายเลขประกันสังคม และข้อมูลส่วนบุคคลอื่น ๆ กระจายอยู่ทั่วโลก
      มันอาจถูกเก็บไว้ในสหรัฐฯ ก็จริง แต่คนในพื้นที่ที่ค่าครองชีพต่ำกว่าสามารถเข้าถึงได้
    • เป็นคำถามที่ดี ผม/ฉันต้องส่งบัตรประจำตัวให้ Au10Tix เพื่อบัญชี vendor ของ Azure และเห็นว่าข้อมูลนั้นถูก outsource ไปประมวลผลที่อิสราเอล

  • บางครั้งก็รู้สึกว่าสถานการณ์แบบนี้สุดท้ายอาจนำไปสู่ ระบบใบอนุญาตวิชาชีพ ที่กฎหมายกำหนดสำหรับงานบางประเภทในการพัฒนาซอฟต์แวร์
    แน่นอนว่าไม่ใช่ทุกคนที่เขียนโค้ดจำเป็นต้องมีใบอนุญาตนักพัฒนา การบอกว่าต้องมีใบอนุญาตเพื่อเขียนบล็อกหรือเปิดเว็บมุกเกี่ยวกับผลไม้นั้นฟังไม่ขึ้น แต่ถ้าธุรกิจต้องจัดการข้อมูลระบุตัวบุคคล ก็ต้องใช้งานวิศวกรรมจริง ๆ และคนที่ทำงานวิศวกรรมนั้นก็ควรได้รับการรับรองด้วย
    เรื่องนี้คล้ายกับจุดเริ่มต้นของใบอนุญาตวิศวกรรม อย่างน้อยในสหรัฐฯ จุดเริ่มคือ Wyoming เบื่อหน่ายกับคนที่ไม่รู้ว่าตัวเองกำลังทำอะไร แต่มาสร้างโครงสร้างพื้นฐานด้านน้ำประปา
    ใบอนุญาตยังอาจเป็นอำนาจต่อรองให้วิศวกรรายบุคคลในการโต้แย้งผู้จัดการหรือผู้บริหารสูงสุดที่ยึดแนวคิด “เดินหน้าให้เร็วแล้วทำพังไปบ้าง” ได้ด้วย หากอยู่ในสายวิชาชีพที่มีอำนาจอนุมัติแบบผูกขาด ก็จะพูดได้ง่ายขึ้นว่า “ต้องทำให้ถูกต้องครับ/ค่ะ ไม่อย่างนั้นนี่เป็นความรับผิดชอบของผม/ฉัน ช่วยถอยไป”
    ถ้าบริษัทบอกว่า “โอเค งั้นไล่ออก” แล้วดึงดันบริหารข้อมูลระบุตัวบุคคลต่อไป จนเกิดการรั่วไหลแบบนี้ ความรับผิดของบริษัทก็จะยิ่งใหญ่ขึ้นมาก โดยรวมแล้วมันจะทำงานไปในทิศทางที่เพิ่มอำนาจต่อรองให้แรงงานฝีมือที่รู้วิธีจัดการฐานข้อมูลข้อมูลระบุตัวบุคคลหรือตั้งค่าเอนด์พอยต์ ให้สามารถทำงานได้อย่างถูกต้อง
    ระบบใบอนุญาตก็มีหลุมพรางมากมายเช่นกัน แต่ก็สงสัยว่าในอีกไม่กี่ปีข้างหน้าจะเกิดความเคลื่อนไหวแบบนี้ขึ้นไหม

    • ผลลัพธ์ที่ทุกคนที่เขียนโค้ดต้องมีใบอนุญาตนักพัฒนานั้น ที่จริงก็มีความเป็นไปได้สูงมาก
      สถิติที่น่าตกใจคือ โดยประมาณแล้วครึ่งหนึ่งของอาชีพต้องใช้ ใบอนุญาตประกอบอาชีพ บางแห่งถึงกับต้องมีใบอนุญาตจึงจะเป็นช่างจัดดอกไม้ได้ ในบางรัฐ นักออกแบบตกแต่งภายในหรือพนักงานปั๊มน้ำมันก็ต้องมีใบอนุญาตเช่นกัน วิศวกรรมซอฟต์แวร์เป็นข้อยกเว้นอย่างสิ้นเชิงในหมู่อาชีพรายได้สูง
      ผม/ฉันไม่ได้คิดว่านี่เป็นสิ่งที่ถูกต้อง แต่นี่คือโลกที่เราอาศัยอยู่ และเราไม่ควรหลอกตัวเอง วิศวกรซอฟต์แวร์จำนวนมากบอกว่าต้องการกฎระเบียบที่ละเอียดแม่นยำและเป็นประโยชน์ แต่กฎระเบียบจะมาแบบยกชุด และเว็บไซต์มุกเกี่ยวกับผลไม้ก็จะไม่เป็นข้อยกเว้น
    • นั่นคือ สถานการณ์ดิสโทเปีย ที่ Richard Stallman จินตนาการไว้ใน “Right to Read” ไม่ต้องการแบบนั้น ยอมรับความผิดพลาดเป็นระยะ ๆ แบบนี้ยังดีกว่า
    • ใบอนุญาตแบบนี้จะเป็นความสูญเปล่ามหาศาล และถ้าจะทำจริง ก็ควรรับรอง ผู้บริหาร ที่พยายามประหยัดงบด้านความปลอดภัยต่างหาก
      สำหรับวิศวกร อย่างมากก็ทำได้แค่ให้การฝึกอบรมเฉพาะทางหรือยอมรับวุฒิการศึกษา รัฐบาลทำอะไรได้มากกว่านั้นไม่มากนัก
      และไม่มีใบอนุญาตใดที่จะให้อำนาจต่อรองกับผู้บริหารสูงสุดได้
    • ถ้าเป็นอนาคตในแง่ดี ก็คงไม่จำเป็นต้องมีใบอนุญาตแบบนี้เลย เพราะจะไม่มี ข้อมูลส่วนบุคคล ให้ขโมยอีกต่อไป
      มีวิธีแก้ปัญหาที่สามารถยืนยันตัวตนได้โดยไม่ต้องรวมการสแกนเอกสารจริงไว้ด้วย สักวันหนึ่งสหรัฐฯ อาจมีสมาร์ตการ์ดก็ได้
    • ถ้าอย่างนั้น การย้ายงานไปต่างประเทศก็จะเพิ่มขึ้นอีก