如果您居住在与加拿大或墨西哥接壤的州，您可能很快就有机会携带一件非常高科技的物品：远程可读的驾驶执照。这些卡片旨在识别接近美国边境的美国公民，国土安全部正在推广它们，作为节省时间和简化边境口岸通关的方式。但是，如果您像重视便利性一样重视您的安全和隐私，您可能需要在注册之前三思而后行。
新的驾驶执照配备了射频识别 (RFID) 标签，可以从最远 30 英尺外读取，即使隔着钱包、口袋或手提包也无妨。每个标签都包含一个微型芯片，其中编码了唯一的识别号码。当持卡人接近边境站时，读取设备广播的无线电能量被连接到芯片的天线接收，使其发出 ID 号码。在持照人到达边境代理处时，该号码已被输入国土安全部数据库，旅行者的照片和其他详细信息显示在代理的屏幕上。
虽然这种“增强型”驾驶执照在提供它们的州仍然是自愿的，但隐私和安全专家担心，注册这些卡片的人没有意识到风险：任何拥有现成的读取设备的人——不择手段的营销人员、政府特工、跟踪者、窃贼以及仅仅是爱管闲事的人——也可以访问许可证上的数据，以远程跟踪人们，而无需他们的知情或同意。更重要的是，一旦标签的 ID 号码与个人的身份相关联——例如，当持有许可证的人进行信用卡交易时——无线电标签就成为该个人的代理。驾驶执照只是消费者可能正在佩戴或随身携带的越来越多的“标签”物品的最新补充，例如交通和通行证、办公室门禁卡、学校证件、“非接触式”信用卡、服装、手机甚至杂货。
支持科学新闻报道
如果您喜欢这篇文章，请考虑通过以下方式支持我们屡获殊荣的新闻报道 订阅。通过购买订阅，您正在帮助确保有关塑造我们当今世界的发现和想法的具有影响力的故事的未来。
RFID 标签被比作广播其信息的条形码，这种比较是恰当的，因为这些微型设备主要用于识别零件和库存，包括牲畜，当它们在供应链中移动时。仓库工人不必扫描每个单独物品的通用产品代码 (UPC)，而是可以通过扫描连接的 RFID 标签中编码的唯一序列号来注册整个托盘（例如，纸巾）的内容。该号码在中央数据库中与托盘内容的详细列表相关联。但是人不是纸制品。在过去十年中，将芯片嵌入个人消费品以及现在的官方身份证明文件的趋势，正是因为 RFID 是一种强大的跟踪技术，因此产生了一系列新的隐私和安全问题。标签本身几乎没有内置安全性，现有法律对人们在日益标签化的生活中被秘密跟踪和侧写提供的保护很少。
超越条形码
第一个无线电标签在第二次世界大战期间识别军用飞机是友军还是敌军，但直到 1980 年代后期，类似的标签才成为电子收费系统的基础，例如东海岸的 E-ZPass。1999 年，公司开始考虑这些标签在跟踪数百万个单独物体方面的潜力。在那一年，宝洁和吉列（此后合并成为世界上最大的消费品制造公司）与麻省理工学院的工程师组成了一个名为 Auto-ID 中心的联盟，以开发 RFID 标签，这些标签将足够小、高效且廉价，最终取代日常消费品上的 UPC 条形码。
到 2003 年，该小组已经开发出该技术的可用版本，并吸引了 100 多家公司和政府机构的投资。这些标签的推广者承诺，这些微型芯片将彻底改变库存管理和防伪技术[参见 Roy Want 的“RFID：自动化一切的关键”；《大众科学》，2004 年 1 月]。
为了启动政府对该技术的采用，联邦总务管理局 (GSA)（一个为其他政府机构管理采购的联邦机构）在 2004 年发布了一份备忘录，敦促所有联邦机构的负责人“考虑可以采取的行动来推进 [RFID] 行业。” 突然之间，几乎每个机构，从社会保障管理局到食品和药物管理局，都开始宣布 RFID 试验。
在同一时期，世界各地也在开展类似的倡议。2003 年，国际民用航空组织 (ICAO)（一个制定全球护照标准的联合国机构）认可在护照中使用 RFID 标签。国际民航组织现在呼吁在所有可扫描的“电子护照”中使用它们。如今，包括美国在内的数十个国家/地区发行了封面中嵌入 RFID 标签的电子护照。
自首次亮相以来，新护照在隐私和安全方面都备受争议。在 2006 年的一份报告中，一位国际民航组织官员承诺，加密措施将提供“一定程度的保护 [，] 应该让最焦虑的护照持有人放心，他的个人数据不会在他不知情的情况下被读取。”
安全专家很快证明了事实并非如此。2007 年，英国安全顾问亚当·劳里破解了英国护照上的加密代码，并在护照仍密封在邮寄信封中时“盗取”或远程读取了其个人信息。大约在同一时间，德国安全顾问卢卡斯·格林瓦尔德从德国护照的嵌入式芯片中复制了数据，并将其编码到另一个 RFID 标签中，以创建可以愚弄电子护照阅读器的伪造文件。布拉格查尔斯大学的调查人员在捷克电子护照中发现了类似的漏洞，他们写道，“遇到一种实际上鼓励而不是消除 [安全] 攻击的实现方式有点令人惊讶。”
然而，这些已证实的安全性问题并未减缓 RFID 的采用。相反，这项技术正在世界各地用于国内身份证。马来西亚已发行约 2500 万张非接触式国民身份证。卡塔尔正在发行一种身份证，除了个人信息外，还存储持卡人的指纹。在行业观察家称之为世界上最大的 RFID 项目中，中国政府正在花费 60 亿美元推出基于 RFID 的国家
身份证，面向近十亿公民和居民。
然而，其他国家的基于 RFID 的身份证和国土安全部的新驾驶执照之间存在重要区别。大多数国家的非接触式国民身份证和电子护照都采用了符合行业标准 ISO 14443 的 RFID 标签，该标准专门为身份识别和支付卡开发，并内置了一定程度的安全性和隐私保护。相比之下，美国边境卡使用称为 EPCglobal Gen 2 的 RFID 标准，该技术旨在跟踪仓库中的产品，其目标不是安全而是最大的可读性。
ISO 14443 标准包括基本的加密，并要求标签靠近扫描仪才能读取（距离以英寸而不是英尺为单位），而 Gen 2 标签通常没有加密，只有最少的数据保护措施。要盗取加密的 ISO 14443 芯片中的数据，您必须破解加密代码，但盗取 Gen 2 标签不需要任何特殊技能；您只需要任何 Gen 2 阅读器。这种阅读器可以很容易地购买到，并且在世界各地的仓库中普遍使用。配备其中一种阅读器的黑客或罪犯可以通过钱包、隔着房间，甚至隔着墙壁盗取边境卡。
截至今年 4 月，超过 35,000 名华盛顿州驾驶员注册了增强型驾驶执照，其他边境州，包括亚利桑那州、密歇根州和佛蒙特州，也已同意参与该计划。纽约州将在劳动节后开始向其居民提供新的驾驶执照。
但是，这种卡片的安全性可能受到损害的可能性只是令人担忧的原因之一。即使更严格的数据保护措施将来可以防止未经授权访问 RFID 卡数据，许多隐私倡导者仍然担心，政府可能会滥用远程可读的身份证明文件，以便严格监控和控制其公民。
例如，中国的国民身份证编码了大多数人会认为令人震惊的个人信息量，包括健康和生育史、就业状况、宗教、种族，甚至每个持卡人的房东姓名和电话号码。更不祥的是，这些卡片是更大项目的一部分，该项目旨在用最先进的监控技术覆盖中国城市。为该计划提供 RFID 卡的私营公司中国公共安全技术公司的副总裁林迈克毫不犹豫地向《纽约时报》描述它们是“政府未来控制人口的一种方式”。即使其他政府不利用新身份证中固有的监视潜力，充分的证据表明，渴望数据的公司也会这样做。
过着被标记的生活
如果公司可能想使用 RFID 标签来监视个人的想法听起来牵强附会，那么值得考虑一下 IBM 在 2001 年提交并在 2006 年获得专利的专利。该专利准确地描述了即使无法访问或严格限制访问官方数据库，这些卡片也可以如何用于跟踪和侧写。它题为“在商店环境中使用 RFID 标记物品识别和跟踪人员”，令人不寒而栗地详细描述了 RFID 在监视方面的潜力，在一个联网的 RFID 阅读器（称为“人员跟踪单元”）将几乎无处不在的世界中，人们会去——在“购物中心、机场、火车站、汽车站、电梯、火车、飞机、洗手间、体育场馆、图书馆、剧院和[和]博物馆”——密切监控人们的动向。
根据该专利，以下是它在零售环境中的工作原理：位于 [所需跟踪位置] 的“RFID 标签扫描仪...扫描 [某人] 上的 RFID 标签.... 当该人在商店周围移动时，遍布整个商店的不同 RFID 标签扫描仪可以接收来自该人携带的 RFID 标签的无线电信号，并且根据这些检测跟踪该人的移动.... 人员跟踪单元可以记录该人访问过的不同位置，以及访问时间。”
IBM 解释说，RFID 标签中未存储个人数据的事实不会带来问题，因为“个人信息将在该人使用其信用卡、银行卡、购物卡等时获得。” 标签的唯一 RFID 号码与个人身份之间的链接只需建立一次，该卡此后即可充当该人的代理。虽然 IBM 设想通过消费品中的微型标签跟踪人员，但有了今天的 RFID 边境卡，无需等待此类个人产品标签变得普及。华盛顿州新的驾驶执照非常适合店内跟踪应用，因为它们已经可以被沃尔玛、Dillard's 和 American Apparel 等商店目前使用的 Gen 2 库存扫描仪读取。
随着越来越多的人开始携带甚至佩戴 RFID 标签物品，跟踪基础设施将对营销人员越来越有利可图。目前，数千万张包含 RFID 标签的非接触式信用卡和 ATM 卡正在流通，还有数百万张员工门禁卡。在欧洲和日本广泛使用的基于 RFID 的公共交通卡也正在进入美国城市。IBM 的人员跟踪单元仍然只是一项专利，但英国一家名为 Alton Towers 的游乐园提供了 RFID 跟踪潜力的生动例证。在进入公园时，每位游客都会获得一个编码有唯一 ID 号码的 RFID 腕带。当人们享受游乐设施时，战略性地放置在整个公园的网络 RFID 阅读器会检测到每个腕带进入范围，并触发附近的摄像机。每个人的抓拍镜头都存储在一个标有腕带 ID 号码的文件中，然后在一天结束时在纪念 DVD 上提供给客户。
保护公众
如果 RFID 标签能够使游乐园每天捕捉数千人的详细个性化视频，那么想象一下一个坚定的政府可以做什么——更不用说营销人员或罪犯了。这就是为什么我在隐私社区的同事和我如此坚决地反对在政府颁发的身份证明文件或个人消费品中使用 RFID 的原因。早在 2003 年，我的组织 CASPIAN（消费者反对超市隐私侵犯和编号组织）——以及隐私权信息中心、电子隐私信息中心、电子前沿基金会、美国公民自由联盟以及其他 40 个领先的隐私和公民自由倡导者和组织——就认识到这种威胁，并发布了一份立场文件，谴责使用 RFID 跟踪人类是不恰当的。
为了回应这些担忧，美国数十个州已经提出了 RFID 消费者保护法案——所有这些法案都因 RFID 行业游说者的强烈反对而被否决或削弱。当新罕布什尔州参议院就一项将对 RFID 实施严格监管的法案进行投票时，最后一刻的全体会议修正案将其替换为一项为期两年的研究。（我被州长任命为结果委员会的成员。）同年，一项禁止在政府颁发的文件中使用 RFID 的加州法案在两院获得通过，但最终被州长阿诺德·施瓦辛格否决。
在联邦层面，尚未通过任何与 RFID 相关的高调消费者保护法案。相反，在 2005 年，参议院共和党高科技任务组赞扬 RFID 应用是“令人兴奋的新技术”，具有“对我们经济的巨大承诺”，并誓言保护 RFID 免受监管或立法。
在欧盟，监管机构至少正在审查情况。欧盟委员会（欧盟的执行机构）承认 RFID 可能存在严重的隐私问题，并在今年早些时候启动了公众评议期。截至 7 月，当本期杂志付梓时，源于公众意见的建议定于在今年夏天晚些时候发布，但对任何消费者隐私法规的期望都很低。在 2007 年 3 月的一次演讲中，欧盟信息社会和媒体专员薇薇安·雷丁宣布，欧盟委员会不会监管 RFID，而是允许企业进行自我监管。“我在这里告诉你们，关于 RFID，不会有监管，”她说。“我的观点是，我们应该少监管而不是过度监管，以便这个行业能够起飞。”
不幸的是，当涉及到保护公众免受 RFID 风险时，行业自我监管几乎没有效力。EPCglobal 是现在为 RFID 标签制定技术标准的行业机构，也为芯片在零售业中的使用制定了一套指南。该组织的建议除其他外，要求在产品包含 RFID 标签时通知消费者——例如，以可识别的 RFID 徽标的形式。然而，当 EPCglobal 的成员公司 Checkpoint Systems 设计了隐藏在鞋底的 RFID 标签时——明显违反了该组织自己的规定——时任 EPCglobal 总裁的迈克·梅兰达告诉我，由于指南是自愿的，他或他的组织对此无能为力。
华盛顿州许可部门向公民保证，他们的个人信息是安全的，因为增强型驾驶执照中的 RFID 标签“没有电源”，“不包含任何个人身份信息”——即使这些事实与该卡是否可以用于跟踪无关。对于某些人来说，这种官方安抚提供的虚假安全感可能是危险的。全国终结家庭暴力网络是一个公开反对在身份证明文件和消费品中使用 RFID 的组织，它提交了立法证词，描述了施虐者如何使用该技术来跟踪和监视他们的受害者。
与此同时，RFID 列车正在向前飞驰。华盛顿州许可机构的发言人吉吉·曾克最近证实，目前“街上有 10,000 张增强型许可证——人们实际上正在携带”。这是一个很大的滥用潜力，而且只会越来越大。该州最近勉强做出了回应，通过了一项法律，将“以欺诈、身份盗窃或任何其他非法目的”未经授权读取标签的行为定为 C 级重罪，处以五年监禁和 10,000 美元罚款。然而，该法律的任何地方都没有说明，禁止为营销等其他目的（或者可能是“为了控制人口”）进行扫描。我们忽视这些风险，后果自负。
注意：本文最初以标题“RFID 标签——轮到你了”发表。