FBI 调查泄露1.53亿驾照的Nexus服务
FBI Probes Service Selling 153M+ Drivers Licenses
本周，暗网上新出现了一个名为 Nexus 的身份盗窃服务，正在出售超过 1.53 亿份美国和加拿大居民的驾照数字扫描件。通过采访受害者，我推测这些数据可能来自路易斯安那州一家名为 idscan.net 的身份验证公司。FBI 新奥尔良分局已正式介入调查。Nexus 声称其数据库包含驾照、身份证、旅行证件甚至医疗卡，且数据仍在持续更新。调查发现，许多记录的时间戳与租车、机场安检或进入 Planet13 大麻 dispensary 等场景高度吻合。FBI 助理副总监的驾照也赫然在列。这一事件暴露了第三方身份验证服务商在数据安全上的巨大漏洞，让无数人的隐私面临严重威胁。
这些系统正在将敏感数据交给越来越多的第三方供应商，而我们缺乏足够的监管来确保它们的安全。
HN 评论区
276- ethagnawl
我知道一些现代化的正常国家已经实施过类似的做法，但美国错失了一个绝佳的契机：在被迫推行 Enhanced/REAL ID 时，本可以给每个人分发一套 RSA 密钥对。
与其扫描、拍照或让人把驾照举到网络摄像头前（我最近就被要求这么做），不如让用户提供公钥，或者更好，提供一条包含姓名、网站或其他标识符的签名消息，由正规服务商在 id.gov 数据库中进行交叉验证。
当然，魔鬼藏在细节里，我也绝不会信任 GrandePelotas 及其同伙来“凭感觉”编写这样的系统，但这绝对是可行的，至少我们应该开始思考这个问题。
- Nition
这件事最让我恼火的是，按理说你在验证完某人身份后，完全可以轻松删除数据对吧？但他们却决定保留 153,347,439 条记录。
- tgsovlerkhgsel
如果设定某种固定的最低赔偿额——哪怕每个受影响者赔偿一美元——并实行严格责任（不管你声称采取了多么完善的保护措施，只要数据泄露了就是你的责任），那么公司突然就会非常有动力去：a) 加强安全，b) 最小化他们持有的数据。
如果没有惩罚措施，比如 Hertz 就没有理由不保留 10 年以上的驾照记录，以防万一将来在欺诈案件中有用，或者作为机器学习训练数据。如果持有这些数据意味着要承担 1.53 亿美元的赔偿责任，他们肯定会三思而后行。
- trollbridge
这些身份验证服务做的最荒谬的事情之一，就是要求你扫描驾照的正反面，然后让你用 APP 在摄像头前转动头部。
他们显然无法获取原始照片，所以 sophisticated 的攻击者完全可以伪造整个过程，而我们其他人却不得不更新非常详细的面部信息以及政府颁发的身份证件，而我们都知道这些信息会被无限期保留。
- ChrisMarshallNY
> 收集这些敏感数据的供应商需要接受更高的标准。
他们在欧洲已经做到了。我假设这很有效，因为我没怎么听说那边发生过这种级别的事件（虽然也可能是因为我不太关注欧洲新闻）。
美国的一个特点是，那些有能力的公司可以负担得起监管俘获，甚至直接行贿。这种情况在地方层面往往被放大。我不断听到关于我所在城镇赤裸裸的腐败水平的轶事。其中很多来自我那些拥有企业的朋友。
我们越互联互通，这些小型腐败市政当局就越容易获得访问权限；所以一个小城镇里被收买的官僚，就能访问国家级数据库。我们经常听到关于小城镇警察访问 Flock 摄像头数据的报道。
- shireboy
这到底该怎么解决？1.53 亿人需要立即换发新驾照，身份验证系统需要屏蔽被盗用的证件吗？另外，这可能导致哪些坏事：恶意行为者冒用身份开设已验证账户、冒用身份投票和旅行，还有什么？
- fishfasell
所以一家在线身份验证服务泄露了数百万个身份证件，其中很多还链接到了大麻 dispensary？天哪，我的身份证肯定也在里面，完了。
- rswail
给政府的主要问题是：
1. 你们本来就知道所有人是谁。根据定义，个人身份识别是由政府完成的。
2. 为什么没有一个系统，允许企业或其他服务请求政府进行加密的身份验证，且只有政府可见，但允许企业请求运营所需的特定详细信息（例如确认驾照有效性或年龄）？
3. 为什么证据不是直接提供，而是由政府服务提供确认（“是的，此人年满 18 岁”，而不是“是的，此人 37 岁”）？
政府需要保护公众，而不是任由企业肆意收集个人身份信息（PII）。