Som nogle af jer måske har lagt mærke til, så har e-boks uden større fanfare introduceret et digitalt aldersbevis i deres app, og de skriver at den tillader dig anonymt at dele din alder med andre. Jeg har kigget lidt næmere på det data der er indeholdt i aldersbeviset da jeg var nysgerrig på hvordan e-boks mon beskytter din identitet, og det helt korte svar er selvfølgelig: det gør de overhovedet ikke.
Lidt længere sagt: Selve aldersbeviset indeholder kun din alder som læsbar data, men det samme aldersbevis bliver anvendt igen og igen alle steder hvor du skal godkende dig og bliver kun genopfrisket hver 6. måned. Beviset er lige så anonymt som et telefonnummer eller en email, og e-boks vil til enhver tid kunne sige hvem det er der er knyttet til et givent aldersbevis. Det kan så let som ingenting anvendes som et sporingsværktøj hvis nogen skulle finde på det. F.eks. kunne en sammenslutning af værtshuse sagtens blive enige om en sortliste af aldersbeviser der ikke må lukkes ind, og hvis aldersbeviserne gemmes (du har som borger ingen mulighed for at tjekke om de bliver det når nogen scanner det) så kan myndighederne også senere gå til e-boks og finde ud af hvem der har været hvor og hvornår.
Den gode nyhed er så, at det også er trivielt at kopiere et aldersbevis fordi udviklerne hos e-boks er nogle lallende amatører. Du kan ganske enkelt optage en video af app'en (aldersbeviset er for stort til at være i en enkelt QR-kode, så det vises i 6 koder der hurtigt skifter) og sende den til en anden person som så åbner den på deres telefon. Man kan også nemt stjæle andre folks beviser ved at klæde sig ud som dørmand og scanne løs i en kø. Voila. Standarden bag aldersbeviset, "Mobile Driver's License" (ISO/IEC 18013-5), kræver faktisk at man først skal scanne en "challenge" og derefter generere et unikt bevis der kun passer til denne challenge, netop for at undgå kopiering, men genierne hos e-boks der har presset den her dampende implementation ud mellem ballerne har specifikt omgået dette ved at indsætte hardcodede dummy-værdier i de relevante felter i datastrukturen. Det er altså ikke blot uvidenhed men overlagt forkert implementation af en standard.
Jeg kan også se at AltID-app'en er kommet ud i Play Store, og jeg ville gerne have lavet en tilsvarende analyse for den. Det kan jeg dog ikke da genierne hos Digitaliseringsstyrelseren - en styrelse der efter sigende arbejder for at gøre os mindre afhængige af amerikanske techvirksomheder - har valgt at app'en ikke må kunne køre GrapheneOS der lige nu er det bedste og mest sikre alternativ til Android hvis du gerne vil gøre dig uafhængig af Google og Apple.
Tilføj meget gerne en negativ kommentar og en stjerne til AltID i Play Store hvis du er enig med mig i at dette er uacceptabelt. Jeg har lige gjort det, men fik på bedste dystopiske vis min anmeldelse fjernet af en automatisk bot fordi "Reviews must not contain political or social commentary, nor should they include solicitations".