Uit het niets werd mijn schoonvader getroffen door een kanjer van een herseninfarct. De schade zat links, wat onder meer betekende dat zijn rechterhand buiten dienst was en zijn spraak verdwenen. Letterlijk, er kwam de eerste dagen geen geluid meer uit. Terwijl we als een razende logopedie voor hem regelden – je moet er in zulke gevallen snel bij zijn om te redden wat er te redden valt – ontdekten we ook ineens hoe afhankelijk we allemaal geworden zijn van computersystemen en identificatieprocedures. Want wat waren zijn inloggegevens bij de bank, en wat was zijn pincode, en die van zijn scannertje? Wat was de toegangscode van zijn eigen pc? Hij wist het allemaal nog wel, zo zou weken later blijken, maar vooralsnog kon hij het niet zeggen of opschrijven, en een toetsenbord zei hem even helemaal niks meer.

Zo kan het moderne leven zomaar veranderen in een gekmakende hordenloop tussen kastjes en muren. Zo ontdek je hoe vaak je je tegenwoordig moet identificeren, op hoeveel  manieren dat kan en hoeveel verschillende eisen allerlei bedrijven en instanties eraan stellen.

Onlangs ventileerde NWO-voorzitter Marcel Levi in Het Parool nog maar eens zijn diepe frustratie over dit dagelijkse digitale ongemak, waardoor hij bijvoorbeeld ook al met drie verschillende laptops moet rondsjouwen, omdat de instanties erachter uit veiligheidsoverwegingen maar één specifiek type apparaat contact met hun diensten laten maken. Dat is, hoe je het ook bekijkt, contraproductieve waanzin. Al evenzeer leed hij onder de terreur van instanties die ingewikkelde wachtwoorden eisen, die ook nog eens regelmatig veranderd moeten worden. Hoe kan een mens dat allemaal onthouden?

Biometrie heeft nadelen

Kun je dat nu niet veel eenvoudiger aanpakken, met één simpele identiteitscheck die precies vertelt wie je bent? Ja, dat kan, met biometrie. Dat wordt bijvoorbeeld nu in het paranoïde Amerika bepleit om fraude bij verkiezingen uit te sluiten: ‘Een belangrijke stap voorwaarts is het controleren van biometrische eigenschappen als vingerafdrukken, het gezicht en de iris. Wanneer die gebruikt worden in combinatie met automatische controle van NAW-achtige gegevens, kan dat resulteren in een uitzonderlijk hoge mate van accuratesse en betrouwbaarheid’, zo meldt de Electronic Insight Newsletter.

Het klinkt logisch en efficiënt, en smartphonefabrikanten en bedrijfsbeveiligers maken er al duchtig gebruik van. Toch kleven er grote nadelen en risico’s aan biometrische toegangscontrole.

De grootste makke is misschien wel dat grootschalig gebruik ervan inhoudt dat delen van ieders intiemste en meest particuliere gegevens, namelijk die over het eigen lichaam, zonder dwingende reden op enorm veel verschillende plaatsen worden opgeslagen en bewaard. Al die verzamelingen kunnen worden verhandeld en naar eigen goeddunken gebruikt door hun eigenaren, BigTech voorop. Ze kunnen ook worden gehackt door onverlaten en overheden.

Dat is geen kattenpis. De ervaring van alledag leert dat geen enkele grote databank inbraakvrij is. Vergeet ook niet dat, zelfs in een keurige, stevig gewortelde rechtsstaat als de onze, de overheid verreweg de machtigste en gevaarlijkste partij is waar je als burger in je leven mee te maken krijgt.

De risico’s van biometrische gegevens in verkeerde handen zijn bovendien onberekenbaar. Je kunt natuurlijk denken ‘ach, wat kun je nou helemaal uit zo’n irisscan afleiden?’ maar dat is struisvogelpolitiek. Dit soort biotechnologie ontwikkelt zich razendsnel, dus niemand weet wat er over tien of twintig jaar allemaal mee kan. En eens gegeven blijft gegeven, je leven lang. Biometrische gegevens zijn niet alleen uniek, maar ook onveranderlijk. Ze behoren onverbrekelijk tot de essentie van wie je bent. Daar wil je graag zeggenschap over houden.

Daarnaast is de technologie voor ons, de gecontroleerden, niet inzichtelijk. We weten daarom nooit zeker wat er allemaal gescand wordt. Wie nu je iris scant, kan over een paar jaar misschien zomaar het netvlies even meenemen, bepaalde bloedwaarden meten en wie weet wat nog meer.  

Wie is rechthebbend?

Dat klinkt als wel heel veel datageweld voor zoiets banaals als een telefoon of webaccount ontgrendelen, en dat is het ook. In de meeste gevallen is het biometrische sop de kool niet waard, het gaat immers niet om absolute veiligheid. We willen het indringers alleen maar zo moeilijk maken dat ze liever iets anders gaan doen. Bovendien werkt biometrische identificatie meestal met een verkeerd type gegevens. De reden is dat biometrische data van alles vertellen over wie je bent, terwijl meestal alleen relevant  is wat je bent. 

Wie je bent, is enorm belangrijk als je bijvoorbeeld een partner zoekt. Dan gaat het om iemands stem, geur, motoriek en de blik in zijn of haar ogen. Om de dingen waar je spiegelneuronen op aanslaan, om al die trekjes en eigenschappen die die ene persoon nu juist zo verrukkelijk onderscheiden van alle andere. Voor vrienden maken geldt iets dergelijks, maar verder is wie je bent voornamelijk van belang als het gaat om de inhoud van je medisch dossier, en voor overheidsdiensten die hun pappenheimers terdege in de gaten en op het juiste pad wensen te houden. Denk bijvoorbeeld aan de Chinese staat en, niet te vergeten, de ordediensten van Rusland.

In bijna alle andere gevallen doet wie je bent niet terzake, het gaat slechts om wat je bent. Daarmee bedoelen we: ben je een rechthebbende? Behoor je bijvoorbeeld tot degenen die mogen stemmen, een bepaalde krant, databank of bankrekening mogen inzien, of hotelkamer 213 mogen betreden? In dat laatste geval noem je bij de receptie je naam, en krijg je een kamersleutel of pasje. Bij vertrek lever je die sleutel weer in en klaar is Kees. In de digitale wereld noem je je accountnaam en is je kamersleutel een vooraf afgesproken wachtwoord.

Bij verkiezingen in wat primitievere landen neemt men op het stembureau vaak een vingerafdruk van de stemmer, maar dat is allerminst een vorm van biometrische identificatie. Die hele vingerafdruk kan zo de vuilnisbak in. Waar het om gaat is de zwarte vingertop die de kiezer eraan overhoudt. Zo wordt voorkomen dat mensen dubbel stemmen: alleen wie schone vingers heeft, krijgt een stembiljet. Simpel, en bij ontbreken van een hoogwaardig bevolkingsregister zo waterdicht als maar kan. In zo’n geval is een schone vingertop dus de sleutel.

Een gebruikersnaam plus wachtwoord is als het gaat om wat je bent zowel simpeler als veiliger dan biometrische identificatie. Wachtwoorden kun je naar believen veranderen, en ook aan een ander overdragen. Je kunt bijvoorbeeld met diens pinpas een boodschap doen voor een zieke ander, zoals mijn schoonvader. Met biometrie kan dat allemaal niet. Ook bevatten wachtwoorden geen enkele gevoelige informatie, bij biometrie is dat per definitie wel zo. Ook is iets als een vingerafdruk gemakkelijker met drang of geweld af te dwingen dan een wachtwoord.

En verder is de inlogprocedure met een wachtwoord volstrekt transparant – er kunnen niet stiekem allerlei zaken gescand, gelezen en aan anderen verklapt worden. Als het heel belangrijk is, zoals bij een bankrekening, volgt een extra controle op je sleutel: bij pinnen moet je behalve je fysieke bankpasje ook je pincode opgeven, en anders moet je na je wachtwoord ook een wisselende inlogcode vanaf je rekeningscanner of via een sms-je intypen.

Niet perfect, wel goed genoeg

Dat is vrijwel waterdicht. Een wachtwoordsysteem heeft maar één echte vijand: de slordige, goedgelovige en luie gebruiker zelf. Noteer op kantoor geen wachtwoorden op gele briefjes aan je monitor of onder je toetsenbord, en laat je machine niet openstaan als je koffie haalt. Gebruik niet de verjaardag van je kind als wachtwoord, enzovoort. Maar hou privé wel nauwgezet een lijst van uw eigen wachtwoorden bij, bewaar die goed en laat een vertrouwd iemand weten waar de boel in geval van nood te vinden is.

Als nu nog fabrikanten en ict-afdelingen ophouden met het stellen van overdreven eisen aan de vorm van wachtwoorden en ons niet langer dwingen tot het even zinloze als hinderlijke periodiek wisselen van wachtwoord, hebben we tot de quantumcomputer misschien alles kraakbaar maakt een alleszins redelijk beveiligde omgang tussen particulier en machine. Niet perfect, maar wel goed genoeg, en daar gaat het om.

Rik Smits is taalkundige en wetenschapsjournalist.

Wynia’s Week wordt mogelijk gemaakt door de lezers, kijkers en luisteraars. Bent u al donateur? Hartelijk dank!

Het bericht Inloggen met vingerafdruk of irisscan? Beter van niet verscheen eerst op Wynia's Week.

Als dit ooit nog wordt doorgevoerd, komt het er op neer dat elke Europeaan voortaan met een digitale spion van de overheid in zijn of haar mobieltje rondloopt. Voorstanders van dit soort Big Brother-surveillance zullen zeggen dat dit zwaar overdreven is, omdat er beperkingen aan zitten: die digitale spion in zijn huidige vorm controleert alleen of je geen kinderpornografische foto’s of video’s verstuurt via Whatsapp, Telegram of andere publieke communicatiekanalen. Zolang je dat niet doet, kijkt er niemand mee in je telefoon, wordt ons verzekerd. Maar als je dat wel doet, verklikt je eigen telefoon je volautomatisch aan de overheid.  

Whatsapp, Telegram, en sinds kort ook Facebook Chat, maken gebruik van end-to-end encryptie. Dat wil zeggen: de tekst en beelden die jij verstuurt, worden in je telefoon omgezet in geheimschrift dat alleen je gesprekspartner kan ontcijferen, en vice versa (door middel van zogeheten public key encryptie, een ingenieus systeem waarmee twee partijen veilig kunnen communiceren zonder dat ze elkaar eerst een geheime sleutel hoeven toe te sturen. Zonder public key encryptie zouden online betalingen onmogelijk zijn).

Goed geïmplementeerde end-to-end encryptie is onkraakbaar. Noch de overheid, noch de internetprovider beschikt over de decryptiesleutels, en zonder die sleutels is ontcijferen onbegonnen werk. Het officiële EU-standpunt is dat zulke encryptie een groot goed is om de privacy van haar burgers te waarborgen. In het voorstel staat ook expliciet, dat men niet de bedoeling heeft om end-to-end encryptie te ondergraven.

Terrorisme als excuus

Dat is de theorie; in de praktijk gedragen overheden zich alsof ze zulke lekvrije encryptie een gruwel vinden. Eerder veroorzaakte de Amerikaanse FBI brede ophef, omdat ze Apple wilden dwingen een ‘achterdeur’ in hun besturingssoftware in te bouwen, waardoor de geheime dienst de wachtwoordbeveiliging van Apple-telefoons zou kunnen omzeilen. Echt alleen maar om in de telefoons van gearresteerde terroristen te kunnen kijken, uiteraard.

Voorstel 12611/23 houdt in, dat de EU telefoon- en internetproviders een ‘detectiebevel’ geeft voor kinderporno en online grooming van kinderen. Het voorstel zegt niet hoe die providers dat moeten doen, omdat de opstellers zich niet willen vastpinnen op de huidige stand van de techniek.

Onvermijdelijk is echter, dat tekst en beeld worden geanalyseerd voordat het met onkraakbare end-to-end encryptie verstuurd wordt. Dat moet dus gebeuren door software in de telefoon zelf.

Automatische alarmering

In 2021 kondigde Apple aan op eigen initiatief zulke spionagesoftware in het besturingssysteem van al zijn telefoons te gaan installeren. Hun systeem ging alle foto’s en video’s, die via een iPhone worden opgeslagen in de iCloud, vooraf scannen op kinderporno. Ondanks geavanceerde waarborgen voor privacy, stak een storm van protest op onder cybersecurity-experts en privacyactivisten. Waarop Apple het plan schielijk in de ijskast zette.

Het AI-systeem van Apple maakte in de telefoon van elke foto of video die geback-upt werd naar de iCloud een soort digitale vingerafdruk (een neural hash, een getal van 96 cijfers). Die vingerafdruk werd vergeleken met de vele miljoenen vingerafdrukken van al bekende kinderporno in een centrale database, beheerd door de overheid. Na een minimum aantal matches (vijf of tien, om vals alarm zoveel mogelijk te voorkomen) gaat automatisch een alarmering naar de provider en naar opsporingsinstanties.

Omdat niet de foto’s zelf worden gelekt of door een mens bekeken, scheen Apple te denken dat dit slechts een kleine, aanvaardbare inbreuk op de privacy van hun klanten was, vergeleken met het grotere goed van het betrappen van verspreiders van kinderporno.  

Ook Voorstel 12611/23 voorziet in een ‘EU Centre on Child Sexual Abuse’ met een centrale databank van al bekende kinderporno. Daarnaast zou zo’n detectiebevel ook het signaleren van nieuwe kinderporno moeten omvatten. Hoe dat moet gebeuren wordt er niet bij gezegd; AI-systemen zijn  momenteel niet in staat onschuldige vakantiekiekjes met blote kinderen bij een zwembadje in de achtertuin betrouwbaar te onderscheiden van kinderporno. Voorts is het ondoenlijk om de vele miljoenen foto’s die dagelijks in de EU worden geüpload allemaal door mensen te laten beoordelen, nog los van de evidente privacybezwaren. Eigenlijk neemt het voorstel hier een voorschot op hypothetische, betere AI-systemen die dat wel voldoende betrouwbaar kunnen.

Alles of niets

Onder invloed van alle kritiek die eerder was losgebarsten, was het voorstel al iets afgezwakt: onder het fraaie eufemisme moderated uploading zou de gebruiker van de telefoon ‘ja’ of ‘nee’ mogen zeggen tegen het automatisch scannen van zijn beeldmateriaal. Maar uiteraard is dat een alles of niets keuze: ‘nee’ betekent dat hij of zij geen enkele foto of video meer kan back-uppen in de cloud of uploaden naar Whatsapp. Dat is geen keuze; dat is digitale afpersing.

Zelfs als je vindt dat kinderporno dermate afschuwelijk is dat dit forse inbreuken op de privacy rechtvaardigt, is de vraag wat de bestrijding ermee opschiet. Je kunt beeld namelijk prima offline met public key encriptie onherkenbaar maken en daarna pas via je telefoon of computer uploaden.

De gehaaide producenten en grote verspreiders van kinderporno vang je er dus niet mee, hoogstens de domme viezeriken die zulk materiaal argeloos met elkaar delen. En daarnaast zullen er onvermijdelijk mensen onterecht door zulke AI-systemen worden gebrandmerkt als verspreiders van kinderporno. We hebben inmiddels ruime ervaring met wat er terecht komt van beloftes door de overheid, dat mensen nooit alleen maar door een AI-systeem of algoritme zullen worden aangemerkt als dader.

Nieuwe toepassingen

Nog gevaarlijker is mission creep, het stap voor stap uitbreiden van zo’n surveillancesysteem. Als zulke software eenmaal standaard in het besturingssysteem van telefoons zit, is het bijna een natuurwet dat politie en veiligheidsdiensten nieuwe toepassingen gaan bedenken.

Als er toch al een digitale vingerafdruk beschikbaar wordt gemaakt van elke verzonden foto of video, dan kun je die zonder veel extra moeite ook matchen met een database van beeldmateriaal van vermiste personen, of verdachten van terrorisme, of voorwerpen die aangemerkt worden als gerelateerd aan drugshandel. Vandaar is het nog maar een kleine stap naar die digitale vingerafdrukken matchen met een database van als desinformatie aangemerkt materiaal over, zeg, de oorlog in Oekraïne, of vaccinatie. Alles voor uw eigen bestwil en veiligheid, uiteraard.

Voorstel 12611/23 staat nu in de ijskast. Maar zulke Big Brother-surveillance is dermate aantrekkelijk voor overheden en veiligheidsdiensten, dat het in aangepaste vorm vast wel weer ergens opduikt. En de technische complexiteit zorgt ervoor, dat de gangbare media nauwelijks aandacht besteden aan zulke onderwerpen. Dat zouden ze aan de talkshowtafels beter wel kunnen doen.

Van wetenschapsjournalist Arnout Jaspers verscheen onlangs De Klimaatoptimist, over energietransitie in Nederland. Het boek is HIER te bestellen. Informatie voor media en boekhandel: info@blauwburgwal.nl

Wynia’s Week viert het vijfjarig bestaan. Wynia’s Week wordt mogelijk gemaakt door de vrijwillig betaalde abonnementen van de lezers, kijkers en luisteraars. Doet u al mee?

Het bericht Een digitale spion in elk mobieltje, voor uw eigen bestwil verscheen eerst op Wynia's Week.