Nivå 3 · Forskning
Når dataene ligger hos hver person og ikke i én database, oppstår nye spørsmål. To av dem er så viktige at vi har gjort dem til masteroppgaver ved Institutt for informatikk, Universitetet i Oslo. Svarene er nyttige uavhengig av om HAVEN lykkes.
To spørsmål
Tema A
Hvordan bevise at hver person er med bare én gang i en fritt valgt gruppe, minst like sikkert som ved et stortingsvalg, uten å avsløre hvem man er? Og hva betyr det å ha troverdige demokratiske verktøy som en del av infrastrukturen?
Tema B
Hvordan lære noe om en gruppe, og simulere konsekvensene av insentiver og verdistrømmer, uten å avsløre enkeltpersoner? Hvilke målinger kan bo i infrastrukturen?
Tema A · Unik representasjon
I dag teller avstemningscellen i HAVEN én stemme per identitetsnøkkel. Siden én person kan ha flere identiteter, kan Kari stemme tre ganger uten at cellen ser det. Og stemmen er ikke hemmelig: cellen ser hvilken nøkkel som stemte hva.
Problemet i dag
Et mønster fra litteraturen (ingen kode i HAVEN)
| Tilnærming | Hvor unikheten kommer fra | Svakhet å undersøke |
|---|---|---|
| Forankret utstedelse og anonyme attester | En utsteder sjekker eID og gir ett anonymt bevis per person | Når ikke dem uten ID. Utstederen blir et tillitspunkt. |
| Gruppemedlemskap med nullkunnskapsbevis | «Jeg er i mengden», pluss ett merke per avstemning | Bare så god som innmeldingen i mengden |
| Sosial garanti | Medlemmer går god for hverandre i et nettverk | Sannsynlighetsbasert, sårbar for grupper som samarbeider |
| Fysisk seremoni | Folk møtes samtidig og får ett bevis hver | Skalerer dårlig, krever at man kan møte opp |
HAVEN gir
Domenebundne nøkler, avtaler med vilkår som sjekkes ved hvert kall, verifiserbare attester (ikke anonyme), invitasjoner og nærhetsbevis.
Må bygges
Gruppe, anker, merke per avstemning og en angrepsmodell, og en presis forståelse av hva «like sikkert som et stortingsvalg» krever: hemmelig stemme, motstand mot tvang og etterprøvbarhet.
Tema B · Personvernsikker simulering
I HAVEN finnes ingen sentral database å spørre. Kunnskap om en gruppe må bygges av mange enkeltsvar, gitt gjennom avtaler. De første stegene finnes; resten må bygges.
Å spørre en gruppe
| Tilnærming | Idé | Avveining |
|---|---|---|
| Lokalt differensielt personvern | Entiteten legger på støy før den svarer | Passer «spør hver celle», koster presisjon |
| Sikker aggregering | Den som spør, ser bare summen | Summen kan selv lekke, og frafall må håndteres |
| k-anonymitet | Hver rad deler kjennetegn med minst k−1 andre | Svak mot bakgrunnskunnskap og like sensitive verdier |
| Syntetiske data og agenter | Agenter bygges fra samtykkede aggregater | Ikke privat uten differensielt personvern, og gyldighet er vanskelig å vise |
| Anonyme registre med sperring | Bevis for «med» eller «ikke med» uten å si hvem | Sperring krever koblbarhet, ikke nødvendigvis identitet |
Et personvernbudsjett kunne bli et vilkår i avtalen, men det må regnes samlet for alle som spør. Det finnes ikke i dag.
Spenninger å ta stilling til
Tema A
Et sterkere anker stenger flere ute. Etterprøvbart uten kvittering er vanskelig. Den som fører «manntallet», har makt.
Tema B
Uten en sentral database ser ingen helheten. Statistikk krever da kryptografi, og revisjon blir vanskeligere.
Tvers over begge: mitt samtykke mot data om gruppen, tilbaketrekking mot historiske øyeblikksbilder, og realisme mot syntetiske data.
Hypoteser vi holder adskilt
Kjernen er kontroll over egne data. Spørsmålene under er forskning, ikke dokumenterte effekter.
For studenter og forskere
Oppgavene er utlyst ved Institutt for informatikk, UiO, med Petter Nielsen som veileder. Forskningen kan gjøres med HAVEN eller uavhengig av det. Begge temaene bygger kjernen selv; HAVEN gir byggesteinene.
