印度国民数据库Aadhaar被曝严重漏洞，11亿公民信息可低价买卖

自2009年起，印度开始推行生物身份识别项目Aadhaar，至今已经收集了11.3亿印度居民和公民的生物识别数据（照片、十指指纹和虹膜扫描），这些数据能为每个人提供一个唯一的12位身份证明编号。但是越来越多的证据表明，政府对这个数据库的保护做得并不到位，这些信息正面临着严重的泄露危机。

2018年1月4日，印度《论坛报》称，有人正在以低得惊人的价格出售Aadhaar数据库。

该消息由一位名叫Bharat Bhushan Gupta的乡村企业家爆出。Gupta表示，此前有人在移动社交工具WhatsApp上向他退推销Aadhaar数据库。购买之后他发现，Aadhaar数据库为他提供了大量意想不到的用户信息。

考虑到这可能会涉及到大规模的隐私泄露，于是Gupta主动向印度特立识别委员会（UIDAI）反映了该问题。之后，Gupta又联系了印度《论坛报》的记者Rachna Khaira。随后，Rachna Khaira对这一事件展开了一些调查并发文报道。

Rachna Khaira的报道在印度民众中引起了轩然大波，人们纷纷要求政府给出一个说法。

政府声称，“信息泄露是失实报道”。针对这一问题，UIDAI先是对Rachna Khaira提起刑事诉讼，声称其报道是“误报”。

之后，信息技术部部长Ravishankar Prasad做出了以下回应：印度政府既支持媒体工作人的言论自由，也保证Aadhaar的信息安全。信息泄露与否我们还在调查中，同时也希望《论坛报》和该事件的相关记者能积极配合警方的调查。

其实这并不是UIDAI第一次把矛头指向事件曝光者。2017年年初，UIDAI就曾对CNN-News的记者Debayan Ray提起刑事诉讼，因为他利用同一套生物识别特征注册了两个Aadhaar ID。

此后，UIDAI又对企业家Sameer Kochchar提起刑事诉讼，因为他在自己的博客中指出Aadhaar缺乏应对黑客的能力。从以上三个案例可以看出，当人们对Aadhaar的信息安全性提出质疑时，UIDAI一直声称“这些报道有误”。

Aadhaar的设计存在着严重的漏洞

Aadhaar数据库不仅收集人们的电话号码、家庭住址等基本信息，还收集指纹、虹膜扫描等生物信息。通过这些信息，Aadhaar可以为居民和公民提供唯一的12位身份证明编号。这些信息都收入在一个由政府统一管理的数据库里，允许一些政府机构在处理公共管理事物时进行访问。

虽然数据的收集有利于提高政府的工作效率，但是数据量如此之大，不免会增加整个系统的脆弱性，就算只是出现一个小小的问题，也可能会导致数百万印度居民和公民的信息遭遇泄露危机。

2017年6月，推特用户twiterrati就曾向印度政府指出，Aadhaar数据库的登录和e-Aadhaar的下载存在着一定的风险。

印度电子信息技术部在20015年~2016年的年度报告中提到，面对Aadhaar这个庞大的数据库，他们使用的操作设备之一是一个名为DBT Seeding Data Viewer (DSDV)的系统。DSDV允许第三方通过白名单IP地址登入Aadhaar数据库（不需要获得UID持有者的许可），这就意味着任何有着正确IP地址的人都可以访问该系统。

这一严重的设计漏洞使得印度数百万人口的个人信息处于巨大的泄露的危机之中。

有确凿的证据表明，地方政府和中央政府的一些部门已经泄露了一些银行账户信息和Aadhaar信息，其中被泄露者主要是一些退休人员、未成年人、奖学金资助者。

2017年10月，另一推特用户iam_anandv指出，即使是在谷歌上就UIDAI的宣传词进行一个简单的搜索，也会跳出数百条与Aadhaar相关的细节。由此可见，Aadhaar的安全性还有待考证。

2017年11月，有数据证明，超过200个政府网站都在展示Aadhaar的信息。

UIDAI的首席执行官Ajay Bhushan Pandey反复强调，Aadhaar并不存在什么重大的泄露危机。但是有证据表明，目前所出现的信息泄露问题已经导致印度人民更容易遭受网络钓鱼、身份欺诈等威胁，例如，2017年12月，印度的电信巨头Airtel在没有获得用户同意的情况下，擅自公开了300万用户的支付账户。

尽管相类似的报道不断出现，但是信息泄露问题仍然没有得到有效的解决。另外，这一问题已经受到了国际隐私专家的关注。Graham Greenleaf教授最近指出，Aadhaar数据库的信息泄露是对隐私权的进一步发展极其不利。

尽管UIDAI对隐私泄露的处理不尽如人意，但是印度民众还是怀抱着一丝希望——他们寄最后一丝希望于印度最高法院。目前，印度最高法院正在举行听证会，以决定总理纳伦德拉·莫迪（Narendra Modi）行政机构是否将Aadhaar与私人和公共服务联系在一起，侵犯了个人的隐私权。

本文来自猎云网