Øyespion: IRS krever ansiktsgjenkjenning for å se selvangivelser

US Internal Revenue Service (IRS) har inngått samarbeid med et Virginia-basert privat identifikasjonsfirma som krever en ansiktsgjenkjenningsselfie blant annet for å opprette eller få tilgang til nettkontoer hos byrået.

Ifølge KrebsonSikkerhetkunngjorde IRS at innen sommeren 2022, den eneste måten å logge på irs.gov på er gjennom ID.me. Grunnlagt av tidligere Army Rangers i 2010, har det McLean-baserte selskapet utviklet seg til å tilby online ID-verifiseringstjenester som flere stater bruker for å redusere arbeidsledighet og svindel med pandemihjelp. Selskapet hevder å ha 64 millioner brukere.

Rundt 27 stater bruker allerede ID.me for å undersøke etter identitetstyver som søker om fordeler i andres navn, og nå slutter skattemyndighetene seg til dem. Tjenesten krever at søkere oppgir mye mer informasjon enn det som vanligvis etterspørres for elektroniske verifiseringsordninger, som f.eks. skanninger av førerkortet eller annen offentlig utstedt ID, kopier av energi- eller forsikringsregninger og detaljer om mobiltelefontjenesten deres.

Når en søker ikke har ett eller flere av de ovennevnte - eller hvis noe ved søknaden deres utløser potensielle svindelflagg - ID.me kan kreve en innspilt, live videochat med personen som søker om fordeler. -Krebson Security

Av hensyn til artikkelen sin gjorde Krebs seg til et forsøkskanin og meldte seg på ID.me for å beskrive den lange prosessen som "kan kreve en betydelig investering av tid og ganske mye tålmodighet."

Etter å ha lastet opp bilder av førerkortet, oppgi utstedt ID eller pass.

Hvis dokumentene dine blir akseptert, ID.me vil da be deg om å ta en live selfie med mobilenheten eller webkameraet. Det tok flere forsøk. Da kameraet på datamaskinen min ga et akseptabelt resultat, sa ID.me at det sammenlignet utdataene med bildene på førerkortskanningene mine. -Krebson Security

Når det er akseptert, Id.me vil be om å bekrefte telefonnummeret ditt - og vil ikke godta numre knyttet til voice-over-IP-tjenester som Skype eller Google Voice.

Krebs' søknad ble sittende fast i «Bekrefte telefonen»-stadiet – noe som førte til en videochat (og måtte sende inn annen informasjon på nytt) som hadde en estimert ventetid på 3 timer og 27 minutter. Krebs – å ha intervjuet ID.me sin grunnlegger i fjor – sendte ham en e-post, og var i stand til å snakke med en kundeservicerepresentant ett minutt senere "mot mine gjentatte protester om at jeg ønsket å vente på min tur som alle andre."

Når det gjelder sikkerhet, fortalte administrerende direktør Blake Hall til Krebs i fjor at selskapet er "sertifisert mot NIST 800-63-3 retningslinjene for digital identitet" og "bruker flere lag med sikkerhet, og fullstendig skiller statiske forbrukerdata knyttet til en validert identitet fra et token som brukes til representere den identiteten."

"Vi tar en dyptgående forsvarstilnærming, med partisjonerte nettverk, og bruker svært sofistikert krypteringsskjema, slik at når og hvis det er et brudd, er dette brannmuren," sa Hall. «Du må kompromittere tokens i stor skala og ikke bare databasen. Vi krypterer alle de tingene ned til filnivå med nøkler som roterer og utløper hver 24. time. Og når vi har bekreftet deg, trenger vi ikke disse dataene om deg fortløpende.»

Krebs mener at ting som ansiktsgjenkjenning for å etablere ens identitet er et "Plant Your Flag"-øyeblikk, fordi "Love it or hate it, ID.me vil sannsynligvis bli et av de stedene hvor amerikanere trenger å plante flagget sitt og markere deres territorium, om ikke annet enn at det sannsynligvis vil være nødvendig på et tidspunkt for å administrere forholdet ditt til den føderale regjeringen og/eller staten din.»

Les hele historien her ...

Amerikanske myndigheter bruker teknologi for ansiktsgjenkjenning nesten uten tilsyn

Ken Macon via Reclaim the Net, 7. juli 2021

Det er noen få hensiktsmessige bruksområder for ansiktsgjenkjenningsteknologi i hendene på rettshåndhevelse. Disse tilfellene bør være svært sjeldne, som å spore opp en bekreftet terrorist eller å lokalisere en væpnet og farlig mistenkt midt i en folkemengde. Utover ekstreme nødscenarier bør ikke ansiktsgjenkjenningsteknologi brukes.

Dessverre blir det brukt av massevis av mennesker ved nesten to dusin offentlige etater av en rekke årsaker med absolutt null tilsyn, minimal sporing av bruk, og faktisk ingen regler som beskriver når og hvordan det skal brukes. Det er klart vi har et stort problem når verdslige byråer som IRS, FDA og USPS bruker ansiktsgjenkjenningsteknologi. Når var siste gang en agent fra Food and Drug Administration gikk på jakt etter terrorister?

Tatt i betraktning IRS ser ut til å bli en del av politistaten, dette er spesielt urovekkende.

Government Accountability Office (GAO) rapporterer bruk av ansiktsgjenkjenning er både oppsiktsvekkende og irriterende. Det viser en kombinasjon av inkompetanse og misbruk som utgjør en veldig farlig oppskrift, spesielt i regjeringens hender. Det er i utgangspunktet ingen tilsyn. Byråene som bruker det kan ikke holde historiene sine rett om hvordan de bruker den eller til og med hvilke selskaper de bruker for å betjene utstyret. Det hele er fullstendig ugjennomsiktig og ingen i kongressen ser ut til å bry seg.

Det føderale tilsynsbyrået Government Accountability Office (GAO) har utgitt en rapport om bruk av ansiktsgjenkjenning av offentlige etater. Hovedavsløringen i rapporten er at det er lite internt tilsyn med bruken av teknologien.

Det er ingen tvil om at ansiktsgjenkjenningsteknologi er nyttig for kriminelle etterforskninger. Teknologien er imidlertid ikke perfekt ettersom den har en tendens til falske positiver og implikasjonen kan være sende rettshåndhevere etter feil person. Det er også generelt invasivt og fremmer en overvåkingstilstand.

Private selskaper som leverer teknologien, som f.eks Clearview, har bare gjort omdømmet til ansiktsgjenkjenning verre.

Det kom ikke som noen overraskelse å høre at etterretnings- og rettshåndhevelsesbyråer som FBI, DEA, ATF, TSA og Homeland eier eller bruker teknologi for ansiktsgjenkjenning. I følge rapporten bruker 20 byråer teknologien, inkludert noen du ikke ville forvente, for eksempel IRS, FDA og US Postal Service.

Kanskje mer bekymringsfullt er byråenes bruk av Clearview, et privat selskap som har vist seg å være uærlig og som har blitt etterforsket og saksøkt i den siste tiden. Halvparten av byråene har kontrakter eller har brukt Clearviews teknologi, noe som gjør det kontroversielle selskapet til den mest populære tredjepartsleverandøren av ansiktsgjenkjenning.

Rapporten sier at disse byråene bruker "statlige, lokale og ikke-statlige systemer for å støtte kriminelle etterforskninger." Etatene er imidlertid ikke klar over hvilke ikke-statlige systemer deres ansatte bruker.

"Tretten føderale byråer har ikke bevissthet om hvilke ikke-føderale systemer med ansiktsgjenkjenningsteknologi som brukes av ansatte. Disse byråene har derfor ikke fullt ut vurdert de potensielle risikoene ved bruk av disse systemene, for eksempel risiko knyttet til personvern og nøyaktighet. De fleste føderale byråer som rapporterte å bruke ikke-føderale systemer, eide ikke systemer. Dermed stolte ansatte på systemer eid av andre enheter, inkludert ikke-føderale enheter, for å støtte deres operasjoner.»

Noen byråer var ikke engang klar over hvor ofte de ansatte bruker denne teknologien, og måtte gjennomføre meningsmålinger for å finne ut av det. Avhengig av data som er avhengig av ærlig selvrapportering er ikke den beste ideen.

Et av byråene fortalte først GAO at de ikke bruker ikke-føderale systemer. Imidlertid, "etter å ha gjennomført en meningsmåling, fikk byrået vite at dets ansatte hadde brukt et ikke-føderalt system for å utføre mer enn 1,000 ansiktsgjenkjenningssøk.

Uforsiktig bruk av unøyaktig teknologi av disse byråene er også potensielt et brudd på loven og kan føre til at offentligheten lærer om pågående etterforskning.

«Når byråer bruker teknologi for ansiktsgjenkjenning uten først å vurdere personvernimplikasjonene og anvendeligheten av personvernkrav, er det en risiko for at de ikke vil overholde personvernrelaterte lover, forskrifter og retningslinjer. Det er også en risiko for at ikke-føderale systemeiere vil dele sensitiv informasjon (f.eks. bilde av en mistenkt) om en pågående etterforskning med offentligheten eller andre.»

Les hele historien her ...