Uudised

Kui internetis ei saa enam kõike uskuda, siis kuidas luua usaldust?

Kuigi kohtumiste fookused olid erinevad, jäi mulle kõigist kolmest kõlama üks ühine küsimus ehk kuidas luua ja säilitada usaldust internetis, kus tehnoloogia areneb kiiremini kui meie võime selle riske mõista ja reguleerida?

Domeeninduses tähendab see vajadust teada, kes domeeninime taga tegutseb. Euroopa poliitikakujundamises tähendab see tasakaalu leidmist turvalisuse, innovatsiooni ja põhiõiguste vahel. Tavakasutaja jaoks võib aga küsimus olla hoopis isiklikum: kuidas olla kindel, et inimene, kellega internetis suhtled, on päriselt see, kellena ta end esitleb?

CENTR BoP töögrupi kohtumine Ljubljanas: kas domeeniregister peaks tundma oma klienti?

CENTRi Business & Operations töögrupi kohtumisel Ljubljanas kujunes üheks keskseks teemaks registreerijate andmete kontrollimine ja isikutuvastus. Euroopa Liidu NIS2 direktiiv on tõstnud domeenide registreerimisandmete täpsuse ja usaldusväärsuse senisest olulisemale kohale, kuid registrite praktilised lahendused on endiselt üsna erinevad.

Näiteks Belgia register tutvustas oma koostööd riikliku autentimisteenusega, mis võimaldab Belgia kasutajaid tuvastada riigi digitaalse identiteedi taristu abil. Sloveenia register on rakendanud registreerijate kontrollimiseks EPP laiendusel põhineva lahenduse, mis tugineb Austria registri nic.at mudelile.

Huvitav oli võrrelda ka Saksamaa ja Šveitsi lähenemist. Saksamaa register DENIC on loonud mudeli, kus isikutuvastuse teeb sarnaselt .ee registriga registripidaja, kuid edastab registrile ka eraldi tehnilise liidese kaudu teabe kontrolli tegemise kohta. Šveitsi register rõhutas aga õiguslikku piiri, et registril ei ole alati võimalik iseseisvalt otsustada, kas esitatud dokument on võltsitud või kas registreerija on tegelikult see, kellena ta end esitleb. Nende hinnangul on selliste küsimuste lahendamisel oluline roll pädevatel asutustel, kelle ülesanne on hinnata keerulisi isikutuvastusega seotud juhtumeid.

Aruteludes kerkis esile ka küsimus, kas domeeninimi peaks enne isikuandmete kontrollimist juba toimima või olema aktiveeritud alles pärast edukat tuvastamist. Mõned registrid lubavad domeeni esmalt kasutusele võtta ning kontrollivad registreerija andmeid hiljem n-ö riskipõhiselt. Teised, sealhulgas Eesti, on valinud tugevama ennetava lähenemise ehk enne domeeni aktiveerimist peavad registreerija andmed olema õiged.

Minu jaoks on oluline, et domeeni kuritarvitamist saaks ennetada juba enne selle kasutuselevõttu, kuid isikutuvastus ei tohiks muuta registreerimist keeruliseks ega aeganõudvaks. Eesti kogemus näitab, et tugev isikutuvastus ja kasutajasõbralikkus saavad edukalt koos toimida. Mida varem teame, kes domeeni taga tegutseb, seda paremini saame kuritarvitamist ennetada, selle asemel et tegeleda üksnes tagajärgedega.

Samuti oli Ljubljana kohtumise üks põnevamaid ettekandeid Montenegro .me registrilt, kes tutvustas tehisintellektil põhinevat domeeniotsingut. Kui tavapäraselt otsib inimene konkreetset domeeninime, siis uue lahendusega piisab oma ettevõtte või idee kirjeldamisest ning AI pakub selle põhjal sobivaid nimesid. Huvitavad olid ka tulemused: AI-otsinguga seostati 5 583 domeeniregistreeringut, tavapärase otsinguga aga 2 714. See pani mõtlema, kas tulevikus ei otsigi me enam ise domeeninimesid, vaid laseme tehisintellektil oma ideele sobiva digitaalse identiteedi luua? Igatahes on tegemist väga põneva lahendusega .me registrilt.

Ja vahel mõjutavad domeeniturgu ka täiesti ootamatud arengud. Näiteks kasvas Sloveenia .si domeeni populaarsus järsult pärast seda, kui Donald Trump hakkas tehisintellekti kohta kasutama väljendit superintelligence (SI). Selle tulemusel ületas .si uute registreeringute koguarv ühe kuuga peaaegu 200 000 piiri. Sloveenia register naljatas oma ettekandes, et ei teagi, kas olla Trumpile tänulik või mitte, sest ootamatu registreerimisbuum on pannud nende süsteemid proovile ning muutnud tavapärased protsessid aeglasemaks ja oluliselt töömahukamaks.

Ljubljana kohtumine näitas, kui kiiresti muutub domeenindus ning kui oluline on registritel uute tehnoloogiate ja ootamatute arengutega kohaneda. Üha enam tuleb mõelda mitte ainult domeenide arvu säilitamisele või kasvatamisele, vaid ka teenuste kasutusmugavusele, turvalisusele ja kvaliteedile.

CENTRi üldkogu kohtumine Brüsselis: kuidas sa tead, et mina olen päriselt mina?

Kui Ljubljanas rääkisime sellest, kuidas registrid saavad registreerijate identiteeti kontrollida, siis Brüsselis toimunud CENTRi üldkogul sain tutvustada meie enda Eesti Interneti SA loodud eeID isikutuvastuslahendust, mis pakub sellele probleemile praktilist lahendust.

Alustasin oma ettekannet lihtsa küsimusega: kuidas sa tead, et mina olen päriselt mina? 

Kui seisaksin sinu ees ja näitaksin passi, saaksid mu isikut üsna lihtsalt kontrollida. Aga internetis? Eestis oleme harjunud, et digitaalne identiteet lihtsalt töötab ja kasutame ID-kaarti, Mobiil-IDd ja Smart-IDd ning ei mõtlegi sellele pikemalt. 

Kuid internet ei ole ainult Eesti. Kui avasime 2016. aastal .ee domeeni registreerimise kogu maailmale, seisime silmitsi küsimusega, kuidas tuvastada registreerijat näiteks Austraaliast või Argentinast. Esialgu jõudsime ühe lahendusena PayPali kaudu isiku kontrollimiseni, kuid 2020. aastal sai selgeks, et see ei vasta enam meie ootustele ning vajame tugevamat ja usaldusväärsemat lahendust. Ka Euroopa sees polnud asi lihtne, sest eIDAS ei pakkunud erasektorile toimivat lahendust ning iga riigi oma lahendusega eraldi liidestumine registri tasandil tundus keeruline ja kulukas.

Nii jõudsingi oma ettekandes selleni, kuidas neist väljakutsetest sündis meie enda eeID isikutuvastuslahendus, mille põhimõte on lihtne: üks ühendus, mitu usaldusväärset isikutuvastusvõimalust. Nii saab eeID kaudu tuvastada Eesti kliendi Smart-IDga, Rootsi kliendi Freja+ abil ning Austraalia kliendi Veriffi videotuvastusega, võimaldades neil edaspidi pääsivõtme abil paroolivabalt sinu keskkonda sisse logida. Minu peamine sõnum oli, et iga ettevõte peab teadma, kes on tema klient, kuid iga ettevõte ei pea selleks ise isikutuvastuse eksperdiks hakkama.

Brüsseli kohtumise üks põnevamaid ettekandeid oli minu jaoks ka ülevaade Euroopa Liidu regulatsioonide arengutest ja CENTRi 2027. aasta plaanidest. Eriti jäi kõlama see, kui palju erinevaid õigusakte ja algatusi domeenindust praegu mõjutab. NIS2 kõrval on tähelepanu all näiteks Euroopa küberturvalisuse õigusraamistiku uuendamine (Cybersecurity Act 2.0), digitaalne suveräänsus, veebipettuste tõkestamine ja tarbijakaitse. Kõik need arengud võivad otseselt või kaudselt mõjutada registrite ja registripidajate tegevust ning tekitavad küsimuse, kuidas tagada turvalisem internet ilma valdkonda liigsete kohustustega koormamata.

Huvitav oli ka CENTRi enda tulevikusuund. 2027. aastal plaanitakse tugevdada poliitikatiimi ning liikuda senisest enam regulatsioonide jälgimisest nende aktiivse kujundamise poole. Selleks soovitakse suurendada koostööd Euroopa Liidu poliitikakujundajatega, kaasata rohkem liikmesregistreid ning panustada ühistesse uuringutesse ja praktilistesse lahendustesse.

Minu jaoks kinnitas CENTRi üldkogu kohtumine üht olulist mõtet: domeenindus ei peaks ootama, millised reeglid talle kehtestatakse, vaid kasutama oma teadmisi ja kogemusi selleks, et aidata kujundada toimivaid ja proportsionaalseid regulatsioone.

CyberChess: kui isegi oma silmi ei saa enam usaldada

Riias toimunud CyberChess tõi kogu identiteedi ja usalduse teema minu jaoks hoopis teise, palju isiklikumasse konteksti.

Kas oled kunagi mõelnud, et võid internetis suhelda inimesega, keda arvad tundvat, kuid keda tegelikult polegi olemas? Või veel hullem, et sa ei pruugi kunagi teada saada, et oled pettuse ohvriks langenud? Just sellise kõhedust tekitava mõttega jäin kuulama küberturvalisuse eksperdi Kerry Tomlinsoni ettekannet süvavõltsingutest (deepfakes).

Ta näitas oma ettekandes väga ilmestavalt, tehisintellekti abil loodud pettused, näiteks kuulsusi kehastades, võivad alata täiesti süütust vestlusest ning kuidas võltsitud fotode, videote ja hääle abil ehitatakse samm-sammult üles usaldus, kuni ohver ei suuda enam eristada, mis on päris ja mis mitte. Eriti pani see mind mõtlema noortele, kes kasvavad üles maailmas, kus oma silmi ja kõrvu ei saa enam alati usaldada. Soovitan väga vaadata Kerry Tomlinsoni ettekannet, mis oli minu jaoks kindlasti üks kogu konverentsi meeldejäävamaid.

CyberChessil oli mul endal võimalus osaleda paneelarutelus "WWW of Regulations" koos ICANNi, WIPO, Läti ja Leedu esindajatega. Arutlesime Euroopa regulatsioonide kasvava hulga, võimaliku ülereguleerimise ja domeeninduse tuleviku üle. Paneelis tegin ka ühe üsna julge ennustuse: kümne aasta pärast võib isikutuvastus olla iga domeeniregistreeringu tavapärane kohustuslik osa. 

Kas selle toob kaasa NIS3? Võib-olla, kuid juba praegune areng NIS1-st NIS2-ni näitab, kui kiiresti võivad regulatiivsed ootused Euroopas muutuda. Nii arutasime paneelis, et registrid ei peaks enam ootama, kuni järgmine direktiiv ütleb, mida teha. Eesti eeID on hea näide sellest, kuidas valdkond saab ise pakkuda praktilisi lahendusi enne, kui regulatsioon seda nõuab. Minu peamine sõnum oli, et kui meie ise ei osale regulatsioonide kujundamises, teeb seda keegi teine meie eest. Registritena tunneme DNSi ökosüsteemi võimalusi ja piiranguid ning peaksime kasutama neid teadmisi mitte ainult seaduste täitmiseks, vaid ka mõistlike ja proportsionaalsete reeglite kujundamiseks.

Kolm kohtumist, üks ühine küsimus: keda ja mida saame internetis usaldada?

Ljubljana, Brüsseli ja Riia kohtumised näitasid mulle, kui erinevaid teid pidi jõuame internetis ikka sama küsimuseni: kuidas luua ja hoida usaldust? Ljubljanas rääkisime domeenide registreerijate isikutuvastusest, tehisintellektist ja domeenide kvaliteedist. Brüsselis tutvustasin eeID lahendust, mis aitab luua usaldust üle riigipiiride, ning Riias arutlesime regulatsioonide ja küberpettuste üle, mis panevad proovile isegi meie võime oma silmi ja kõrvu usaldada.

Minu jaoks jäi neid kolme kohtumist ühendama üks mõte: usaldus ei teki internetis iseenesest, vaid seda tuleb teadlikult luua tehnoloogia, koostöö, teadlikkuse ja mõistlike reeglite abil. DNSi ökosüsteemi võtmeosalistena on meil domeeninduses oluline roll ja vastutus aidata kujundada turvalisemat ning usaldusväärsemat internetti. Küsimus on, kas aitame ise kujundada interneti tulevikku või ootame, kuni keegi teine selle meie eest ära otsustab? Optimistina loodan ja tegutsen domeeninduses ikka selle nimel, et kujundaksime usaldusväärset internetti ühiselt.