新西兰广播公司的菲尔·彭宁顿报道
分析
美国国税局(Inland Revenue)向Facebook、Instagram、领英(linkedIn)和谷歌(Google)提供了数十万纳税人的加密详细信息，用于定向广告——但这种加密有多好呢?
国税局及其主管部长西蒙?沃茨(Simon Watts)表示，这是板上钉钉的事。
“这个过程是不可逆转的，”瓦茨周一告诉新西兰广播公司。
许多人对此表示异议。他们说，这是很容易逆转的——一位软件开发人员为我们制作了一些东西来展示如何逆转。
在海外，反对者包括美国联邦贸易委员会(Federal Trade Commission)和欧洲数据保护监管机构(European Data Protection Supervisor)。文章发表后，许多软件顾问联系了新西兰广播公司，表达了他们的担忧。
“我对这种事情的发生感到非常震惊，我认为这是一种非常明显的隐私侵犯，”一名用户在电子邮件中写道。
“税务局似乎在说:我们有一种安全的方法(散列数据)来与渴求数据的跨国科技公司沟通，这些公司通过根据收集到的你的数据开发产品来赚钱。显然，这是一个糟糕的论点。”
第三位是前黑客亚当·布瓦洛(Adam Boileau)，他直言不讳地与那些已经拥有数十亿个数据点的组织分享细节。
“不幸的是，在这种情况下使用散列或其他数据聚合只是一种技术上的花招，目的是欺骗人，”他说。
对于选择使用税收所能买到的最物有所值的定向广告方式，国税局的辩护之一是技术上的:“哈希是一种加密安全方法，它将标识符转换为随机代码，无法逆转，因此身份得到保护。”毕竟，有文件显示，在过去的六年里，它只在Facebook上花了大约40万美元。
例如，john.doe@ird.govt.nz可能会被散列为wLKziR/ 6roxdv1mdaxlh1unuc9nivr97jrtnl4txsm=。例如，meta使用这些散列信息，并将其与自己的散列信息进行比较，以构建自定义受众。”
也许在15年前(或者确切地说，是税务局开始走这条路的时候——在线营销人员Jack Yan说，税务局是一个早期的采用者)，“不能逆转”是有分量的。
但时代和技术在变化。
在新西兰广播公司的报道揭露了这种做法之后，一位软件开发人员自愿开始做一些尝试。
“为了证明哈希对一组有限值的匿名化是多么无效，我创建了一个简单的程序，可以将任何哈希(加密)的新西兰固定电话号码转换回原始(未加密)号码，”他告诉新西兰广播公司。
要花多长时间?
“0.15秒。”
他将自己的程序称为SHA256生成器:SHA代表标准哈希算法，SHA256是Facebook使用的算法，20多年前与其他三种哈希算法一起在全球推出。
下面是顾问的DIY方法来逆转不可逆哈希:首先，为每个区号生成所有可能的电话号码列表。“例如，对于南岛，03 000 000 000到03 999 9999。”
接下来，分别生成一个SHA256哈希。发电机会超快帮你搞定的。
将其存储在数据库中。然后，当一个散列出现时，您认为它可能是一个电话号码，请询问数据库。
“这是一种众所周知的攻击散列值的技术，”这位顾问说。
正如你想象的那样，有人对这种方法进行了精简和包装，称之为“彩虹表”。
一家科技网站表示:“彩虹表攻击是一种密码破解方法，它使用特殊的表(彩虹表)来破解数据库中的密码散列。”
布瓦洛是Risky.biz网站的技术编辑，每周都会做安全新闻播客。他将哈希算法比作处理数据块的绞肉机。
“你看不出一根土豆泥香肠里放了哪些猪肉。”
他说，一名网络攻击者窃取了一份密码文件，他必须尝试破译哈希值，“把香肠放进研磨机，把把手向后转，再把猪弄出来”。
“我花了20年时间做一名专业黑客，而不是做这种愚蠢的事情，我们所做的只是对字典中的每个单词进行散列，看看是否能找到匹配的。”
那肯定要花很长时间吧?
不。“利用现代3D游戏图形设备的力量，我们可以以每秒数千亿字的速度做到这一点。两者的数学原理基本相同。
如果您对已散列的数据的性质有所了解，那么反转就会变得更加容易。例如，如果它可能是关于性别、出生日期、电话号码或信用卡的信息，那么简单地为每个可能的电话号码或信用卡计算哈希“是微不足道的，仅仅是几秒钟或几分钟的计算”。
Boileau说:“最终，与你不信任的人或组织共享数据是不容易的，特别是如果该组织已经拥有数十亿个数据点。”
“如果他们想关联或调查数据以去匿名化，他们可以这样做。”
他们可以。但Facebook、谷歌和领英想这么做吗?如果他们已经知道了你的姓名、出生日期、地址、电话和电子邮件联系方式，这对他们有什么好处呢?
奥克兰大学计算机科学学院讲师丹尼尔·威尔逊(Daniel Wilson)说:“看看税务局发布的针对特定人群的广告。”
美国国税局表示，它针对的是那些有所得税或商品及服务税到期债务、学生贷款到期债务或需要为家庭工作的人。
“如果税务局的目标成功了，有人点击了Facebook上发布的税务局广告，会发生什么?”威尔逊说。
例如，Facebook会跟踪你的广告活动。(你可以通过“菜单”查看，然后点击“最近的广告活动”。)
“所以，如果我点击税务局的‘整理你的所得税债务’广告，它就会被记录下来……向meta提供信息，例如，我可能有所得税债务是相当敏感的事情。
“这与我知道自己是科普书籍的粉丝是完全不同的。”
国税局提供了其他抗辩理由，包括这既在法律范围内，也是收回税收的有效途径。
它还强调，它相信科技公司会做正确的事情，包括在使用后迅速删除纳税人的信息。
威尔逊说，税务局可能会认为删除限制了它的责任。
他说:“但在更广泛的系统背景下，如果税务局成功地实现了让客户点击表明特定纳税义务的特定广告的目标，这些信息就会被记录下来，在目前的环境下，这些信息可以被社交媒体公司免费用于培训人工智能系统等活动。”
“如果没有税务局的定向广告活动，社交媒体机构不可能收集到这类特定信息。”
隐私专员办公室告诉新西兰广播公司，它对哈希算法没有总体立场，但如果需要，可以考虑制定一个。美国联邦贸易委员会(ftc)和欧洲监管机构多年前就看到了这一需求。
一位发邮件的人说，这位专员需要更多地了解国税局(Inland Revenue)，并创造了滑坡效应。“直到几年前，还存在一条红线，即健康数据不应该流向海外。这已经逐渐减少了。”
另一个人说，税务局可能是在逆风航行。他们讨论了Google Adwords客户匹配功能如何允许像Inland Revenue这样的客户向Google上传详细信息列表，从而直接针对个人投放广告。
其中一项服务条件是，广告商必须有一项隐私政策，允许他们与广告商和第三方共享客户数据。
发件人表示，他们不相信税务局已经按照《隐私法》的要求，“在知情的情况下，未经强迫地同意使用我的私人信息”。
税务局为哈希算法进行了辩护——然后，在新西兰央行的报道发表后，税务局表示将重新审视“以确保它仍然可以安全使用”。
但它最后一次安全是什么时候?
注册每日H，这是一份由我们的编辑策划的免费时事通讯，每个工作日直接发送到您的收件箱。
