Big Brother gebreideld

In voetbalstadions, langs uitgaansstraten, op de tram: overal rukt het cameratoezicht op. Alles ten koste van de privacy van de burger. Een nieuw systeem van kpn gaat misbruik tegen.

Dirk van Delft

Afgelopen januari, tijdens de 35ste editie van de Super Bowl in Tampa (Florida), deed de Amerikaanse politie een opmerkelijke proef. Terwijl op het veld de New York Giants het aflegden tegen de Baltimore Ravens, werden de toeschouwers stilletjes gefilmd. Nog tijdens de wedstrijd werd op de aldus verzamelde gezichten digitale beeldbewerkingstechnologie losgelaten, waarna ze door de computer werden vergeleken met een bestand aan criminelen. Met deze actie hoopte de politie voortvluchtige misdadigers onder het publiek in de kraag te kunnen vatten.

"De proef in Tampa zou ook op Schiphol kunnen", zegt dr. Boaz Gelbord, werkzaam bij de afdeling Security van K PN Research in Leidschendam. "Zodra het systeem een passagier identificeert als 'gezocht', alarmeert het automatisch de politie die daarop actie kan ondernemen. Een andere toepassing is het systeem te vragen of de heer Jansen de afgelopen vier maanden heeft ingecheckt."

Deze techniek is mogelijk omdat de kwaliteit van de videobeelden de laatste paar jaar sterk is verbeterd én omdat de herkenningssoftware veel slimmer is dan voorheen terwijl de rekenkracht van de computers geweldig is toegenomen. Net als mensen dat doen maken computersystemen bij het herkennen van gezichten tegenwoordig ook gebruik van karakteristieke bewegingingen, zoals die van de ogen. Ook weet de computer veel beter dan vroeger raad met personen die in vergelijking met de politiefoto hun baard hebben afgeschoren, of hun bril hebben verruild voor contactlenzen.

In deze ontwikkelingen schuilt een groot gevaar, meent Gelbord. "Om de burger een gevoel van veiligheid te geven en de misdaad te bestrijden komt er steeds meer videobewaking. In stations, op het vliegveld, in het voetbalstadion, bij de juwelier, op het uitgaansplein, overal rukken de camera's op. Het risico bestaat dat gezagsdragers, aangemoedigd door de mogelijkheden van de nieuwe technologie zoals toegepast in Tampa, het cameratoezicht ongebreideld willen laten groeien. Voor je het weet houdt Big Brother je op de gekste plaatsen in de gaten. Nu is de openbare veiligheid heel wat waard en als videocamera's misdaad helpen bestrijden is dat een goede zaak, maar intussen rijst wel de vraag hoeveel privacy de burger in ruil voor dit alles wil opgeven - gesteld dat hij zich van het probleem bewust is."

minnares

Iedere camera betekent een inbreuk op je privacy. Een boekhouder die op kantoor een afspraakje met zijn minnares heeft en door een camera wordt geregistreerd die daar is opgehangen om computerdiefstal tegen te gaan, staat, al heeft hij geen bedrijfsregel overtreden, intussen wel op de band. Iemand die die band te zien krijgt zou op het idee kunnen komen de boekhouder met het overspel te chanteren. Gelbord: "Ongetwijfeld kent het bedrijf regels die paal en perk stellen aan wie de banden mag zien en hoe lang ze bewaard mogen worden. Maar waarom zou je zo'n beheerder vertrouwen? Altijd is er het risico dat een band in verkeerde handen valt. Vandaag de dag worden er steeds meer banden via het internet naar elders verstuurd. Een hacker die in zo'n systeem weet in te breken, kan een hoop kwaad."

Om dit soort bezwaren het hoofd te bieden heeft Gelbord samen met zijn collega Gert Roelofsen in Leidschendam een systeem bedacht dat de privacy van de burger beter beschermt: de B GR PrivaCam (Boaz Gelbord / Gert Roelofsen Privacy Camara). Het basisidee is de datastroom van een digitale videocamera over diverse partijen te verdelen, en wel op zo'n wijze dat ieder deel op zichzelf geen enkele informatie over het oorspronkelijke beeld bevat. Pas na het samenvoegen van de afzonderlijke delen komt dat beeld te voorschijn (zie kader). Het aanbrengen van digitale watermerken tijdens het splitsen en weer samenvoegen van de bestanden biedt partijen de mogelijkheid deze procedure te controleren.

Gelbord: "Met onze Privacy Camera voorkom je dat één partij, bijvoorbeeld de overheid of je baas, met een band aan de slag kan gaan zonder dat daar fatsoenlijke controle op bestaat. Stel, het bedrijf waar je voor werkt heeft een camera in je kantoor geïnstalleerd. In ons systeem zou je de datastroom die die camera uitspuugt kunnen verdelen over drie partijen: de directie, de ondernemingsraad en jezelf. Pas als alle drie partijen akkoord gaan om hun informatie bijeen te brengen is er een beeld. Is er één weigeraar, dan kan niemand ook maar iets zien, zelfs de kleur van het kleinste detail blijft dankzij de techniek volgens welke de data over de partijen worden verdeeld verborgen. Wanneer op kantoor de afspraak geldt dat de PrivaCam er alleen hangt om diefstal te beletten, en je baas wil opeens nagaan of je wel genoeg uren aanwezig was, kun je dat weigeren en zo je privacy beschermen. Misbruik krijgt dan minder kans."

De PrivaCam is inherent veiliger dan een systeem waarbij een datastroom aan de hand van cryptografische technieken wordt versleuteld, waarna de deelnemende partijen ieder een deel van de decodeersleutel krijgen. Weliswaar geldt ook in dit geval dat in principe alle partijen akkoord moeten gaan eer het beeld op tafel kan komen, maar in tegenstelling tot de PrivaCam is de deelinformatie die iedereen bezit geen willekeurige ratjetoe waarmee niets te beginnen valt. Integendeel: iedereen heeft alles in handen, alleen de sleutel om erbij te kunnen is incompleet. Gelbord: "Als je over een netwerk van zeer krachtige computers beschikt, zoals bijvoorbeeld de politie, zou je die sleutel kunnen proberen te kraken achter de rug van je partners om. Bij PrivaCam is dat principieel onmogelijk."

gepatenteerd

De PrivaCam is een flexibel systeem. Het aantal partijen dat van de camera een datastroom krijgt is onbeperkt op te voeren en het is mogelijk de zaak zo in te richten dat niet alle partijen akkoord hoeven te gaan maar dat bepaalde combinaties volstaan. Bijvoorbeeld: als vijf van de zeven leden van de Raad van Bestuur ieder hun deel inbrengen is dat voldoende om het camerabeeld te genereren. In de praktijk kan het handig zijn één deel in de camera te laten. Iemand die de weggezonden overige delen alle weet te onderscheppen, kan dan toch niets beginnen. K PN hoopt de PrivaCam in zijn basisvorm binnen enkele maanden te lanceren. Gelbord: "De vinding is gepatenteerd en er zijn vergevorderde contacten met producenten. Ook is het systeem voorgelegd aan de Registratiekamer en de reacties waren ronduit positief. De Registratiekamer is gecharmeerd van technologie die de privacy beschermt in plaats van er inbreuk op te plegen."

De PrivaCam veronderstelt een digitale camera. Die is aanzienlijk duurder dan de analoge camera's die nu veelal bij toezicht worden gehanteerd. Gelbord verwacht dat bedrijven en instellingen die op dit moment cameratoezicht installeren of hun systeem vervangen langzaam maar zeker de overstap naar digitaal zullen maken, ook al vanwege de vele extra mogelijkheden die dat biedt. "Ons systeem komt op het juiste moment. Dat het niet eerder is bedacht heeft ook te maken met de onverschilligheid bij het publiek ten aanzien van privacy. In zo'n situatie hebben partijen die cameratoezicht willen geen behoefte aan systemen die de zaken alleen maar compliceren. Maar in Nederland ligt privacy gevoeliger dan in de Verenigde Staten. Nu dankzij de nieuwe technologie, zoals toegepast bij de Super Bowl in Florida, er veel meer mee te beginnen is, zou cameratoezicht wel eens een hoge vlucht kunnen nemen. Voor je het weet lopen de maatschappelijke discussies over privacy-aspecten ver achter bij de technologische ontwikkelingen. Het steeds frequenter inschakelen van Big Brother in openbare gelegenheden zou mensen te denken moeten geven. Laat je het op z'n beloop, dan is het al snel te laat."

Secret sharing

De PrivaCam is een digitale camera zodat het beeld wordt vertaald naar een serie nullen en enen. Die datastroom verlaat de camera niet maar dient als input voor een rekenvoorschrift, secret sharing geheten, dat op basis van die stroom een aantal nieuwe stromen maakt. Ieder van die stromen bestaat uit een volstrekt willekeurige serie nullen en enen waarmee iemand die hem toegestuurd krijgt niets kan beginnen. Maar bij elkaar 'opgeteld' leveren ze het originele beeld op. Het werkt als volgt. Stel een stukje van het beeld wordt gerepresenteerd door de 10 bits-string 0111001111. Die wil je, met inachtneming van het idee achter PrivaCam, over drie partijen verdelen. Om te beginnen krijgt de eerste partij een door een toevalsgenerator gemaakte string, bijvoorbeeld 1001011001. Ook de tweede partij ontvangt zijn bits van de toevalsgenerator, stel de uitkomst is 1100010100. Als laatste krijgt partij drie nu een dusdanige serie, dat de som van de drie partijen bij elkaar de originele string oplevert. De eerste bit van partij drie is dus een 0, want 1+1+0=1 bij binair (tweetallig) optellen. Aldus is het resultaat voor partij drie: 0010000010. Omdat de partijen een en twee een willekeurige serie hebben, is die van partij drie ook willekeurig in de zin dat hij op zichzelf eveneens geen enkele informatie over het origineel bevat. Als extra wordt iedere serie bits volgens een bepaald protocol voorzien van een eigen digitaal watermerk, simpel door een aantal nullen en enen aan de strings toe te voegen. Eerst krijgt het origineel een watermerk, vervolgens de drie series die naar buiten gaan, en als de partijen hun deel inbrengen bij het sommeren, levert dat opnieuw een watermerk op. Zo is precies na te gaan hoe alles is verlopen.