Key takeaways
- IRS har lagt ner planerna på att använda ansiktsigenkänning för att autentisera skattebetalare.
- Avdelningen är nu medveten om säkerhets-/integritetskonsekvenserna av sin nu tillbakadragna plan.
-
Säkerhets- och integritetsexperter har föreslagit flera genomförbara alternativ som respekterar integriteten.
Att använda ansiktsigenkänning för att verifiera en individs identitet, enligt IRS:s nu återkallade plan, var aldrig rätt tillvägagångssätt, hävdar säkerhets- och integritetsexperter.
Skattemyndighetens drag lockade brickbats från integritetsförespråkare från det ögonblick det tillkännagavs. Den 7 februari 2022 anslöt sig flera lagstiftare till kören och uppmanade IRS att ändra sitt beslut, vilket avdelningen gjorde strax efter, och lovade istället att utforska andra alternativ.
"IRS tar skattebetalarnas integritet och säkerhet på allvar, och vi förstår farhågorna som har tagits upp", konstaterade IRS-kommissionär Chuck Rettig när han återkallade beslutet. "Alla ska känna sig bekväma med hur deras personliga information är säkrad, och vi söker snabbt efter kortsiktiga alternativ som inte involverar ansiktsigenkänning."
Spara ansikte
Byrån planerade att använda autentiseringsteknik från ID.me och hade bett användare att skicka in videoselfies till företaget för att få tillgång till deras onlinekonton.
Jay Paz, Senior Director of Delivery på Cob alt, sa till Lifewire via e-post att även om biometri har blivit en del av vårt dagliga liv, tack vare smartphones och smarta enheter, har användningen för autentisering varit frivillig.
"För mer känsliga system och data, som vad IRS har tillgång till, är det viktigt att ha insyn i tekniken och processerna som skyddar användarnas data", påpekade Paz.
Tim Erlin, VP of Strategy på Tripwire, höll med och sa till Lifewire via e-post att även om ansiktsigenkänningstekniken polariserar i allmänhet, är idén att lita på en tredje part för att hantera sådana personuppgifter oacceptabel för många.
Om USA hade en robust integritetslagstiftning som skyddade individers biometriska information, skulle det vara en annan situation. Utan något skydd för amerikanska medborgares data skulle det dock vara att använda denna teknik i denna skala Sekretessfel, säger Lecio DePaula Jr., VP of Data Protection på KnowBe4, till Lifewire via e-post.
Sedan är det faktum att inte alla människor har tillgång till biometriska autentiseringsfunktioner, något Paul Laudanski, Head of Threat Intelligence på Tessian, påpekade för Lifewire via e-post. Han menade att detta kan bero på flera faktorer, såsom brist på tillgång till pålitliga internettjänster eller enheter med kompatibla kameror och sensorer.
Viable Alternatives
DePaula Jr. anser att IRS plan var en av de situationer där målen inte motiverar medlen.
"Portalen kan vara lika säker genom att utnyttja starka lösenordskrav samt tvåfaktorsautentisering för slutanvändarna, vilket är ett mycket billigare, mindre påträngande och opartiskt sätt att säkra portalen utan att behöva för att utnyttja en tredje part", ansåg han.
Paz är för sådana sekundära identitetsverifieringsmetoder också, särskilt användningen av tidsbaserade engångslösenordsappar som Google Authenticator. Alternativt föreslog han att IRS också kan försöka använda verifierade telefonnummer för att texta en SMS-kod till användare, vilket kanske är den mest tillgängliga lösningen som är tillgänglig för praktiskt taget alla användare i alla åldrar.
"För mer känsliga system och data… är det viktigt att ha insyn i tekniken och processerna som skyddar användarnas data."
Innan den nollställer en lösning, förklarade dock Darren Cooper, CTO på Egress, för Lifewire via e-post att IRS måste säkerställa att den mekanism den väljer kan skydda skattebetalarnas data utan att införa tillgänglighetsproblem.
Han föreslog att om avdelningen vill prioritera en högre säkerhetsnivå, kan de använda fysiska metoder för personlig autentisering som en RSA-säkerhetsnyckelbricka. Denna metod är dock logistiskt komplex. SMS-autentisering är ett potentiellt mindre komplicerat alternativ, men Cooper tillade att det bara fungerar om avdelningen har ett känt mobilnummer för alla.
"IRS bör också överväga ett krav på tidigare interaktion med användaren för att bekräfta sin identitet innan de kan komma åt tjänsten. De kan till exempel kräva att skattebetalare anger unika ID-uppgifter, såsom personnummer eller passnummer, som kan kontrolleras av IRS internt innan en onlineinloggning utfärdas. Den logistiska omkostnaden här är större men säkerställer att en högre säkerhetsnivå kan uppnås", föreslog Cooper.
Medan IRS inte har listat alternativen som den undersöker, finns det helt klart ingen brist på alternativ.
Även när de kollektivt hyllade IRS för att ha ändrat sitt beslut, påpekar säkerhetsexperter att andra i regeringen, framför allt Department of Veterans Affairs, fortfarande använder samma underliggande ansiktsigenkänningstjänst för identitetsverifieringsändamål.
Detta är något DePaula Jr. är väl medveten om och hoppas att IRS "börjar gå i rätt riktning, för när en statlig myndighet antar en standard börjar andra följa."
