مصاحبه با مارك برگمن

مدیر بخش فناوری شركت Symantec

- در سخنرانی‌های خود، در خصوص نقش حـائز اهمیت هویت در مقوله امنیت بسیار سخن گفته‌اید. در صورت امكان، در این مورد بیشتر توضیح دهید.

آنچه ما در 12 ماه گذشته مشاهده كردیم آن بود كه لایه دیگری در بالای اطلاعات وجود دارد كه از لحاظ امنیتی حائز اهمیت بیشتری است. اگر شما بخواهید به وب‌سایت یك بانك یا یك سایت تجارت الكترونیكی دسترسی یابید، باید با آن سرویس به تبادل اطلاعات بپردازید. از كجا باید دانست آنها همان اشخاصی هستند كـه ادعا می‌كنند؟ و آنـها از كـجا اطمینان یابند كه شـما همان فردی هستید كه ادعای آن را دارید؟

- شــركـت Symantec چگونه بر این مشـكل فائق آمده است؟

مشكل اصلی در دنـیای شـبكه ایـن نـیسـت كه چـگونه هویت شخص را پس از ایجاد كنترل كنیم؛ بلكه مشكل حقیقی، چگونگی ایجاد هویت در ابتدای امر است.

در دنیای فیزیـكی، هـنگامی كه برای انـجام كـاری بـه شـركتی مـراجـعه می‌كـنید (بـا پـرسـنل انسانی آن روبه‌رو می شوید)، آنها سوابق شما را بررسی و به صورت رو در رو با شما صحبت می‌كنند؛ همچنین برخی از اسناد هویتی شما را نیز به صورت فیزیكی مشاهده و بررسی می‌كنند. سپس بعد از انجام تمامی این امور، اعتبارنامه‌ای را صادر خواهند كرد و با استفاده از این اعتبارنامه می‌توانید تبادلات موردنظر را انجام دهید.

ما سعی داریم كه به واسطه‌ای در زمینه هویت بدل شویم، در نتیجه هر فرد می‌تواند از طریق انجام مراحلی،‌ هویت خود را نزد ما ایجاد كند و هنگامی كه یك بار این كار را انجام داد، می‌تواند از آن اعتبارنامه‌ها در هر كجای فضای مجازی كه خواست استفاده كند، زیرا سایر شركت‌ها به ما اطمینان دارند.

- این حالت همانند پاسپورت است و این تلاشی بود كه شركت مایكروسافت قصد انجام آن را داشت و می‌خواست یك سرویس ورود به سیستم جهانی ایجاد كند.

می‌توان گفت هم بلی و هم خیر. مدیریت پاسپورت‌ها اندكی بدون تفكر بود. مایكروسافت قصد داشت هویت را كنترل كند. اما تصور می‌كنم مسئله مهم آن است كه افراد باید هویت خود را كنترل كنند. این هویت متعلق به شماست نه شركت Symantec، در نتیجه ما در برابر مالك آن هویت، یك واسطه محسوب می‌شویم.

- آیا در جست‌وجوی داده‌های دولتی هستید؟

در بعضی مواقع، منبع اصلی هویت مربوط به دولت است، اما این كار به زمان بیشتری نیاز دارد. در این فاصله، مكانیسم‌هایی وجود دارند كه می‌توانیم آنها را مورد استفاده قرار دهیم. این مكانیسم‌ها مشابه درجه‌بندی اعتبار هستند. فرضاً اگر قصد دارید وامی را دریافت كنید، بانك به Equifax مراجعه خواهد كرد تا در مورد اعتبار شما اطلاعاتی كسب كند. در این حالت، Equifax اعتبار شما را تائید نخواهد كرد، بلكه مجموعه‌ای از داده‌های عمومی موجود مربوط به هم را ارائه خواهد داد كه تصویری كلی از شما ارائه می‌كنند.

همین مسأله در خصوص هویت نیز صادق است. بدون صدور هویت از سوی دولت، فرضاً من می‌توانم اعلام كنم كه این نام متعلق به من است. من می‌توانم آدرسی را ارائه دهم كه شما بتوانید آن را جست‌وجو كرده و بیابید. من مداركی را در اختیار دارم كه نشان می‌دهد در گذشته در كجا زندگی كرده‌ام و اگر من مارك برگمن نباشم، ممكن است شما از این آدرس‌ها مطلع نشوید. شما می‌توانید فرضاً از من سوال كنید كه آخرین كالایی كه با كارت اعتباری خود خریداری كرده‌ای چه بوده است؟ درنتیجه با محدود ساختن فرآیند تائید اعتبار و یا ایجاد هویت، می‌توان این كار را انجام داد.

اكنون این شیوه،‌ ممكن است بهتر از كارت‌های تائید هویت دولتی باشد. حتی در دنیای فیزیكی نیز ایجاد یك هویت جعلی كار چندان سختی نیست. كافی است یك گواهی ولادت داشته باشید. گواهی ولادت، كاغذی است كه در آن ذكر شده است فردی با آن نام در تاریخ موردنظر متولد شده است. اما این گواهی حاوی DNA، اثر انگشت و یا هیچ اطلاعات دیگری نیست. فرد باید دارای همان جنسیت و همان سن باشد و همین كافی است اما ما می‌توانیم تاریخچه‌ای از زندگی فرد ایجاد كنیم كه شیوه بهتری برای تائید هویت وی است.