Free Press

Met de opkomst van gezichtsherkenning en vingerafdruklezers op onze telefoons is het geen geheim dat biometrische gegevens in hoog tempo de sleutel worden tot onze digitale apparaten, auto’s, bankrekeningen en nog veel meer.

Er zijn enkele goede redenen voor biometrische verificatie. Het is voor hackers nog steeds te gemakkelijk om toegang te krijgen tot iemands account door een medewerker van de klantenservice voor de gek te houden, en veel mensen hebben de neiging om dezelfde zwakke wachtwoorden voor schijnbaar alles te hergebruiken. Maar biometrische gegevens kunnen nog steeds uitlekken, en in tegenstelling tot de oneindig te veranderen pincodes en wachtwoorden van vroeger, zitten we er voor altijd aan vast.

Dus ter voorbereiding op deze brave new world, besloot ik mijn vingerafdrukken te vervangen. En opmerkelijk genoeg was het net zo gemakkelijk en pijnloos als het aanbrengen van een pleister.

Mijn vervangende vingerafdrukken werden geleverd door Mian Wei, een derdejaars student industrieel ontwerpen aan de Rhode Island School of Design. Met behulp van zijn IDENTITY-kit kan iedereen zijn echte vingerafdruk bedekken met een nepafdruk die volledig functioneel, vervangbaar en praktisch onmogelijk te kopiëren is.

“Veel mensen geloven dat we nu allemaal cyborgs zijn, 24 uur per dag met internet verbonden,” vertelde Wei me toen we elkaar onlangs ontmoetten in een café in de buurt van Harvard Square in Cambridge. “Wanneer we ons eigen stukje huid als wachtwoord instellen, is dat een solide en definitieve verbinding. Je kunt nu je gezicht, maar je vingerafdrukken niet echt veranderen, en je ze op alles wat je aanraakt.”

Om volledig te begrijpen hoezeer een biometrische toekomst zou kunnen zuigen, denk aan de 5,6 miljoen Amerikaanse overheidsmedewerkers en aannemers van wie de vingerafdrukken vorig jaar werden gestolen in een massale inbreuk op het Office of Personnel Management. Onderzoekers hebben aangetoond dat een slimme crimineel of overheidsspion met behulp van deze vingerafdrukken een functionele kopie van de vinger van de eigenaar kan maken. Aangezien veel consumentenapparaten tegenwoordig vingerafdruklezers hebben, betekent dit dat een gelekte vingerafdruk toegang kan geven tot allerlei privégegevens, en dat het slachtoffer er vrijwel niets tegen kan doen.

“Wanneer we ons eigen stukje huid als wachtwoord instellen, is dat een solide en definitieve verbinding.”

Gemaakt voor een cursus prothetisch ontwerp, zei Wei dat het doel van zijn project was om een biometrisch privacyproduct te maken dat mensen ook echt in de echte wereld zouden kunnen gebruiken. De verpakking van IDENTITY is ontworpen om eruit te zien als iets dat je op een plank bij je plaatselijke drogist zou vinden, en elke vingerafdruk-spoofing strip is individueel verpakt als verband in een soort tegen-surveillance EHBO-kit.

De kleverige zwarte protheses zijn gemaakt van een mengsel van geleidende siliconen en bevatten een willekeurige puinhoop van vezels, die de kleine ribbels vervangen waar sensoren normaal gesproken naar zoeken op een echte vingerafdruk. Eenmaal om mijn wijsvinger gewikkeld, kon ik de valse vingerafdruk gebruiken om mijn telefoon te ontgrendelen, net zoals ik dat met mijn echte vinger zou doen.

Nou, zelfs als iemand erin zou slagen een mal van mijn echte vingerafdruk te maken – zoals een lid van de Chaos Computer Club in 2013 deed om de TouchID-sensor van de iPhone te vervalsen – zou hij nog steeds niet in staat zijn om mijn telefoon te ontgrendelen.

Even verder is de afdruk die de valse vinger maakt als hij voorwerpen aanraakt, niet echt een “patroon”, maar een verzameling willekeurige lijnen; de vezels die die lijnen vormen, worden gewoon in het siliconenmateriaal gemengd, vervolgens uitgehard en in kleine reepjes gesneden. Dat betekent dat de afdruk van de prothese vrijwel onmogelijk als vingerafdruk kan worden herkend, laat staan gedupliceerd, aldus Wei.

Dus zou iemand bij zijn volle verstand een vervangbare vingerafdruk gebruiken? Na twee weken een IDENTITY-prothese van Wei te hebben gedragen, was mijn algemene gevoel: waarschijnlijk wel, onder de juiste omstandigheden.

Het goede nieuws is dat het zeker werkt. Toen ik de nepvinger eenmaal had toegewezen om mijn telefoon te ontgrendelen, was de prothese net zo betrouwbaar als mijn echte vinger. (Ik gebruikte een iPhone 6S en een Nexus 5X, maar je zou theoretisch dezelfde resultaten krijgen op elk apparaat met een vingerafdruklezer.)

De enige keer dat ik de band verwijderde, was voordat ik ging slapen. Het liefst had ik hem constant om gehad, maar ik wilde niet het risico lopen hem onder de douche of onder mijn beddengoed te verliezen.

De prothese elke ochtend weer omdoen was echter niet zo’n groot karwei; het was niet bewerkelijker dan contactlenzen in doen, en paste op natuurlijke wijze in mijn ochtendrituelen. Er was echter wel een klein probleempje: Omdat ik slechts een bepaald segment van de siliconenband met mijn telefoon had ingeschreven toen ik hem voor het eerst opzette, moest ik eraan denken om hem elke keer op precies dezelfde manier weer in te doen.

Gelukkig ontwikkelde ik een workaround die de dingen gemakkelijker maakte: Telkens als ik de prothese weer opzette, ging ik terug naar de instellingen van mijn telefoon en registreerde een nieuwe vingerafdruk. Ik deed dit uiteindelijk zo vaak dat de meeste delen van de band in staat waren om de telefoon te ontgrendelen, en ik hoefde me niet zo veel zorgen te maken over het “correct” dragen.

Zoals een pleister, was ik me altijd bewust van de nepvingerafdruk tijdens het dragen, vooral tijdens de eerste paar dagen. De prothese is licht elastisch en plakkerig en moest zorgvuldig om mijn vinger worden gewikkeld om te voorkomen dat hij eraf zou vallen. Handen wassen, koken en andere alledaagse handelingen moesten voorzichtig gebeuren om de band niet te verliezen. Typen, wat ik vrij veel doe, was in het begin ook super irritant, maar ging na verloop van tijd steeds makkelijker.

Goegegeven, het zo lang bijna constant dragen van één prothese is waarschijnlijk niet wat de maker ervan voor ogen had. Mijn nepvingerafdruk werkte na twee weken nog perfect, maar Wei ontwierp de prothese als wegwerpprothese. Op dit moment is IDENTITY vooral een pronkstuk, maar als hij ze in massaproductie neemt en verkoopt (waar hij momenteel met een fabrikant over praat), kun je volgens Wei de band in theorie zo vaak vervangen als je wilt.

Ik ontdekte uiteindelijk dat nepvingerafdrukken het best situationeel kunnen worden gebruikt. Een goed voorbeeld: Als je een politiek protest bijwoont, kan een nepvingerafdruk voorkomen dat de politie je dwingt om je telefoon te ontgrendelen als je wordt gearresteerd.

In de VS hebben rechtbanken onlangs bepaald dat in tegenstelling tot een pincode of wachtwoord, de bescherming van het vijfde amendement tegen zelfbeschuldiging niet van toepassing is op vingerafdrukken, omdat het technisch gezien om een lichaamsdeel gaat en niet om “informatie” die in je hoofd is opgeslagen. Dat betekent dat als je ooit wordt gearresteerd, een agent je wettelijk kan dwingen om een apparaat te ontgrendelen met behulp van je vingerafdruk, zonder een bevelschrift.

Ik heb uiteindelijk ontdekt dat de beste gebruiksgevallen voor nepvingerafdrukken situationeel zijn.

Maar een demonstrant die een IDENTITY-strip van Wei draagt, kan voorkomen dat hij wordt gedwongen door de prothese discreet weg te gooien.

Overheidsspionnen zouden de telefoon ook niet kunnen ontgrendelen door de vingerafdruk van de eigenaar na te maken aan de hand van een vingerafdruk die in een biometrische database is opgeslagen. Uit een nieuw rapport van het US Government Accountability Office blijkt dat de Next Generation Identification-database van de FBI honderden miljoenen vingerafdrukken en gezichtsherkenningsfoto’s heeft verzameld, waarvan de meerderheid toebehoort aan Amerikanen die zelfs nog nooit van een misdrijf zijn verdacht.

Toch zijn voor de meeste mensen met een iPhone de ingebouwde beveiligingsfuncties van hun apparaat waarschijnlijk meer dan voldoende om de meeste indringers af te schrikken. Apple heeft zijn meest recente modellen zo ontworpen dat de vingerafdrukontgrendeling automatisch wordt uitgeschakeld en dat de gebruiker na vijf mislukte pogingen onder andere zijn wachtwoord moet invoeren. (Android, met zijn gefragmenteerde beveiligingsecosysteem, is een heel ander verhaal.)

All the end of the day, IDENTITY is een provocatie, en een hele goede ook. Wei heeft geen allesomvattende oplossing gecreëerd, maar een functioneel prototype gemaakt dat een toekomstbeeld schetst waarin we de vruchten kunnen plukken van biometrie en tegelijkertijd onze privacy en autonomie kunnen behouden. Zelfs als consumenten zich nu niet haasten om hun vingerafdrukken te vervangen, heeft het gebruik van IDENTITY overtuigend aangetoond hoe we op een dag de controle zouden kunnen terugnemen.