CFP 2007:n viimeinen päivä alkoi Bruce Schneierin puheella The Psychology of Security. Turvallisuuden tunne ja tosiasiallinen turvallisuus ovat eri asioita ja usein ristiriidassa keskenään. Riskien arvioimisen psykologia on sopeutumaa savannille, nykymaailmassa menee välillä pieleen - nyrkkisääntöjä, nopeita mutta epätarkkoja, kuitenkin pääsääntöisesti suhteellisen hyviä. Pakorefleksiä ohjaa mantelitumake, aivojen kehityshistoriallisesti vanhimpia osia, nopeampi kuin tietoisuus mutta silti tietoisesti kumottavissa. Tietoisuus asuu aivokuoressa, aivojen uusimmassa osassa, hidas, yleensä hyvä mutta myös buginen (”still in beta”). Monilla psykologisilla testeillä on todettu, että arvioimme todennäköisyyksiä väärin monissa tilanteissa, jne. (Enemmän aiheesta löytyy Schneierin kotisivulla julkaistusta esseestä.) Yleisökysymykseen pätevätkö havainnot myös matemaatikoihin Schneier totesi, että asiantuntijoita on testattu ja todettu näiden erehtyvän yhtä pahasti kuin muidenkin, mutta luottavan itseensä enemmän… matemaatikoista erityisesti ei ollut tietoa.
Aamupäivän ensimmäinen paneeli oli otsikoitu Digital Identity on the Internet: Boon or Nightmare?, keskustelijoina Gus Hosein, Caspar Bowden, Ralf Bendrath, Paul Madsen ja Christian Paquin: Anonymiteetti reaaliaikaisissa vuorovaikutteisissa verkkoyhteyksissä on nykyisin todella vaikeaa; Microsoftin CardSpacen kaltaiset ratkaisut paitsi helpottavat rekisteröitymis- ja kirjautumisprosessia suorituksena, myös totuttavat ihmisiä monen identiteetin ajatukseen; kunnollista taloudellista teoriaa yksityisyyden hinnasta ja ihmisten preferensseistä ei ole. Vanha pilapiirros “In the Internet nobody knows you’re a dog” ei enää päde; web2.0 linkittää ihmisiä ja identiteettejä eikä vain dokumentteja. Hallitukset inhoavat anonymiteettiä, ei vain Kiina vaan myös esim. Etelä-Korea suunnittelee bloggaajien ja kommentoijien tunnistusjärjestelmää. Kysymys: “Kuka on vastuussa siitä kuka minä olen - minä vai joku muu?” Yleisökysymyksenä tai pikemminkin kommenttina Kim Cameron totesi, että joskus meillä pitää olla oikeus ja mahdollisuus valehdella (kontekstina väärien tietojen antaminen rekisteröitymistä vaativiin verkkopalveluihin).
Paneelissa Electronic Voting Integrity oli varsin arvovaltainen puhujajoukko: Peter Neumann, Ron Rivest, Barbara Simons, Lillie Coney ja Doug Jones (valitettavasti David Chaum ei ollut päässyt paikalle). Sähköinen äänestys sai enimmäkseen kylmää kyytiä, esimerkkejä suorastaan järkyttävästä tunaroinnista riitti. Suurin ongelma ei kuitenkaan ole tekniikka sinänsä, vaan sen yhteensovittaminen vanhojen toimintatapojen ja virkamiesten tottumusten kanssa. Tietoturvaa yritetään parantaa salailulla (Kazakstanissa kaikki äänestysjärjestelmiin liittyvä on luokiteltu valtiosalaisuudeksi!), mutta lopputulos on päinvastainen, salailulla vain pahennetaan ja kätketään virheitä. Kaikki isot tietokoneohjelmat ovat bugisia, joten niiden pitäisi olla mahdollisimman laajan joukon analysoitavissa, ja järjestelmistä pitäisi tehdä “ohjelmistoriippumattomia” siinä mielessä, että mikään ohjelmabugi ei voi aiheuttaa lopputulokseen virhettä, jota ei ole mahdollista havaita (mielellään korjatakin). Erilaisten äänestyskoneiden hyviä ja huonoja puolia esiteltiin (hyvää ja halpaa ei olekaan… vielä ei edes oikein hyvää kallistakaan). Ongelmana on myös todellisen ja näennäisen luotettavuuden ero: usein vain halutaan järjestää vakuuttava show äänestäjien rauhoittamiseksi, kun nämä eivät kuitenkaan asiaa oikeasti ymmärrä. Internet-äänestystä kaikki pitivät huonona ideana, mutta Internettiä voisi käyttää äänestyksen seuraamiseen ja tarkistamiseen - sopivalla kryptografisella protokollalla saadaan aikaan tilanne, jossa äänestäjä voi www:stä tarkistaa äänensä menneen perille voimatta kuitenkaan todistaa sivullisille miten äänesti. Tarvittava matematiikka on aika monimutkaista, mutta äänestäjän ei tarvitsekaan ymmärtää sitä eikä äänestyskoneiden toimintaa, kun tulos on tarkistettavissa suoraan, eikä vain epäsuorasti prosessin vaiheista.
Lounastauolla seurasin Robert Guerran vetämää ICANN/WHOIS -minisessiota. Mitään erityisen uutta ei tullut esille, esimerkkeinä esiteltiin .org- ja .ca-domainien toimintatapoja, phishing-tilastoja (6 miljardia tammikuussa 2006 ja lisääntyy…). ICANNin GNSO:n WHOIS-työryhmän raportista keskusteltiin ja todettiin työn olevan yhä pahasti kesken.
Paneelissa Data Mining, Data Integrity, Data Fusion, Data Management keskustelivat Larry Ponemonin johdolla Yim Chan, Charles Giordano, Stewart Shapiro ja Robert Ellis Smith. Punaisena lankana oli RIM, Responsible Information Management, erityisesti yksityisyyden suojan näkökulmasta. Mielenkiintoisia lukuja: 12% ihmisistä on yksityisyyskeskeisiä, 68% sensitiivisiä yksityisyyden suhteen ja 21% huolettomia (16 maassa - vaihtelu alueiden välillä suurta). Yleisön luottamus yrityksiin ei tunnu riippuvan niinkään näiden yksityisyyspolitiikoista; tärkeimpiä positiivisia tekijöitä ovat yrityksen yleinen maine, asiakkaan kunnioitus, tuotteiden laatu, tietoturva verkkoyhteyksissä ja rajoitukset tiedon jakamisessa; negatiivisia vastaavasti tietomurrot, vastuuton markkinointi, tiedon epätarkkuus, liika “legalese”, aggressiivinen tiedon jakaminen ja asiakaspalvelukämmellykset. Hyviä toimintatapoja käsiteltiin aitojen (anonymisoitujen) esimerkkitapausten kautta (”mitä tekisit jos olisit tietoturvapäällikkö ja…”).
Viimeisellä paneelilla oli myös pisin nimi: Engaging Privacy and Information Technology in a Digital Age: Discussion on the findings of the report of the National Research Council (US). Aiheena oli siis USA:n tiedeakatemiantapaisen tuore raportti yksityisyydestä ja informaatioteknologiasta, keskustelijoina James Waldo, Herb Lin, Susan Landau ja Lee Tien. Raporttia on väännetty viisi vuotta ja melkoinen järkäle siitä tulikin (450 sivua) - silti kritiikillekin jäi sijaa, mm. havainto, että päättäjät eivät kuitenkaan lue kuin alun ja poimivat liian monesta suosituksesta muutaman helpon… Raportti on uunituore (sitä ei ollut verkossa vielä paneelin aikana, samana iltana se sinne ilmestyi) joten kaikki keskustelijatkaan eivät olleet sitä kokonaan lukeneet (paitsi sitä tekemässä ollut Waldo), yleisöstä puhumattakaan; keskustelu pyörikin enemmän yleensä yksityisyyden ympärillä, Waldon aina välillä huomauttaessa että “tuokin löytyy raportista”… Yksi mainitsemisen arvoinen havainto oli yksityisyyden odotusten muuttuminen suhteellisen lyhyessä ajassa, ja kun oikeudessakin puhutaan kohtuullisista odotuksista (”reasonable expectation of privacy”), tosiasiallinen yksityisyyden suoja rapautuu pikku hiljaa, kun sitä ei enää osata odottaa ja vaatia kuten ennen.
Kaiken kaikkiaan varsin antoisa konferenssi. Vaikka mitään järisyttäviä uutuuksia ei julkistettukaan, asiaa oli kuitenkin muutamaan päivään pakattu todella paljon ja ideoita pyörinee päässä vielä pitkään. Erityisesti mieleen jäi ohjelmaa katsoessakin ilmeinen seikka, että identiteetin hallinta on todella ajankohtainen, kuuma aihe - ja paljon vaikeampi ja monipuolisempi kuin voisi luulla. Yleisemmin yksityisyys ja vapaus ovat yhä ajankohtaisia ja uhanalaisia, mitään lopullista ratkaisua on turha odottaa - seuraavaankin CFP:hen riittää varmasti asiaa.
nörtti, maailmanparantaja, ihmisoikeuksien puolustaja ja luonnonystävä
Merkinnät
