从最初兴起识别所有在线用户（他们喜欢称之为“年龄”验证，但最终总是变成身份验证）开始，我们就指出这是一场等待发生的巨大隐私噩梦。本周曝光的大规模数据泄露事件显示，一家验证公司扫描的1.53亿张驾照信息被黑客获取，且数据仍在不断添加。

来自“年龄验证是隐私泄露的另一种说法”部门

从最近痴迷于识别每个人在线身份（他们喜欢称之为“年龄”验证，但最终总是变成身份验证）的一开始，我们就指出这是一个等待发生的巨大隐私噩梦。或者也许它不是在等待。也许它已经在发生了。

本周披露了一起大规模数据泄露事件，这应该彻底埋葬“任何年龄或身份验证都可能是安全的”这一想法。1.53亿张驾照扫描件因这次泄露而轻易可得，而且数量还在不断增加。就在泄露被披露的那天（网站被关闭之前），它又向可用数据库中添加了40万条记录。

没有安全的年龄验证。没有不让人处于风险之中的年龄验证。

去年，Eric Goldman撰写了权威文章，说明所有这些技术——无论他们怎么说——都是巨大的隐私风险，但人们仍然生活在否认中。尽管过去几年我们已经有过无数验证提供商及其客户发生大规模数据泄露的例子。

最新消息来自Brian Krebs，他报道了一起大规模扫描身份证件泄露事件——超过1.53亿张来自美国和加拿大民众的驾照，现在正在暗网上出售：

“本周在暗网上启动的一项新的身份盗窃服务，正在出售超过1.53亿张来自美国和加拿大民众的驾照数字扫描件。根据对驾照可在该服务上购买的个人的采访，它似乎正在窃取一家总部位于路易斯安那州的广泛使用的身份验证公司收集的图像。KrebsOnSecurity还了解到，联邦调查局（FBI）新奥尔良办事处今天已对图像来源展开正式调查。”

Krebs将泄露追溯到一家ID验证公司，该公司似乎被许多公司使用，包括租车公司Hertz。似乎也不仅限于他们，因为他与数据库中的一些人进行了核对，通过查看他们被添加的日期与他们的日历，发现了其他人在药房等地方分享其ID的例子。

这家公司原来是位于路易斯安那州的IDScan.net，它与数千家药房以及Hertz、FedEx和Target都有合同。虽然Krebs关注的是有多少泄露的ID与实体企业有关，但值得注意的是，IDScan.net也在为许多科技公司进行年龄验证，它有一个跟踪各州年龄验证法律和公司实施情况的页面，甚至曾积极评价像KOSA（《儿童在线安全法案》）这样的法律，该法案将有效要求年龄验证。

所以，是的，我们有一家在年龄验证领域扮演重要角色的公司，鼓吹年龄和身份验证法律，而它似乎长期持续泄露其扫描的每一张身份证件。

哎呀。

当然，像所有年龄和身份验证提供商一样，IDScan多年来一直在吹嘘它如何安全地保存所有这些数据，即使每条记录似乎都在实时泄露。这是他们的“信任中心”页面，在黑客攻击被披露数天后仍然在线：

（图片：IDScan.net信任中心网页，显示安全审查横幅、搜索栏、信任与合规认证部分，以及来自受信任合作伙伴组织的标志网格。）

就是这家公司，在一年多的时间里实时泄露了1.5亿张驾照，同时解释“我们如何保护数据、维护系统可靠性，并赢得客户及其用户的信任”。也许是时候更新那个页面了。

但这也应该是对所有推动年龄验证法律的人的一个巨大警告。你可以有一个该领域的“受信任”公司，吹嘘它拥有的所有认证。它“符合”GDPR、CCPA和所有其他法律。它“透明”地公开其“隐私实践”以及“敏感身份数据如何得到负责任的处理”……然而，一年多来，它一直在泄露所有这些敏感记录。

而且公司内部似乎没有人注意到。

正如Krebs明确指出的，这次泄露包括数千万条记录和身份证扫描件，这些数据被入侵系统的黑客实时窃取：

“Nexus背后的人声称，这些驾照图像来自对‘一家主要身份验证公司’的活跃入侵，该公司的客户包括多家财富500强企业。”

（图片：标题为“类别”的表格，列出了各种类型的身份证件及其相关记录数量。有超过1.53亿张驾照。）

Nexus身份盗窃服务列出的记录总数。驾照记录数量在短短24小时内增加了近40万条。

“我们持续从我们的私人数据库中窃取新数据已超过一年，”该服务在其Exploit上的介绍帖子中热情洋溢地说。“记录在购买前可预览，相关信息已编辑。如果可用，会显示客户照片。”

“事实上，在过去24小时内，Nexus中列出的可用驾照记录数量增加了近40万条，这表明新窃取的驾照数据正在被定期收集并上传到该服务。”

而且，暴露的记录不仅仅是随机公众。Krebs发现现任国防部长的驾照也在那里出售：

（图片：NEXUS身份证件数据库网页显示一份锁定的明尼苏达州驾照记录，属于Peter Heg**，包含Hegseth的肖像照片和编辑过的个人详细信息，底部有“购买记录”按钮。）

真划算！只需100美元就能买到国防部长驾照的扫描件。

无论如何，每次我们强调一次泄露，人们都会淡化它，并坚持认为强制年龄验证是完全安全的，没什么好担心的。然而，这里有一家全国最大的身份验证公司之一，其管道如此敞开，以至于黑客在一年多的时间里实时获取了它扫描的每一张政府身份证件，而公司内部却无人察觉。

Krebs与Cybera的安全研究员Larry Baldwin进行了交谈，他谈到了这类数据可能造成的实际损害：

“Baldwin表示，Nexus身份盗窃服务带来了多重严重的安全和隐私威胁，并指出州政府颁发的驾照通常被用作开设新信贷额度时的身份证明。Baldwin说，该服务还可能危险地暴露许多不希望被找到的人，但他们无法有意义地改变自己的外貌（或者至少不足以欺骗当今基于AI的图像匹配工具）。”

“他说，这类人包括逃离家庭暴力的受害者，甚至包括那些作为联邦证人保护计划一部分而被赋予全新生活和身份的人，该计划通常保留给在敲诈勒索和共谋调查中同意与联邦当局合作的刑事被告。”

“Baldwin说：‘就在我们似乎通过驾照验证系统在改进身份验证控制方面取得一些进展时，这件事发生了，而这些改进所依赖的东西本身就被破坏了。’”

在这一点上，任何仍然支持年龄验证要求的人，尤其是声称这是为了“儿童安全”的人，都应该为像这样因数据泄露而面临不必要风险的数百万人负责。

你无法安全地进行年龄或身份验证。它总是会创建某种记录，而这组记录总是会成为目标。这就是这里发生的事情。这也是任何此类系统都会发生的事情。

社区讨论气氛以讽刺和悲观为主，多数人质疑身份验证行业的根本安全性，少数人认为技术方案（如零知识证明）可以解决，但普遍对政府和企业的追责不抱希望。

身份验证行业的设计本身就是有缺陷的

• 评论者指出，当前的身份验证模式要求用户向第三方公司暴露敏感证件，一旦泄露就无法挽回，属于“设计上就坏了”。（高赞）
• 有用户讽刺政府要求企业保护数据，但自己却对泄露事件不负责，只会让公民自担风险。（较多人） > 政府用这家公司的服务，现在至少应该换掉所有被暴露的身份证件，并让旧证件失效——但这是讽刺，他们只会要求私营企业这么做。（@spwa7）

技术上有更好的替代方案，但未被采用

• 多位评论者认为，基于公钥基础设施（PKI）的证书链或零知识证明（ZKP）才是安全方案：用户为每个服务生成独立证书，泄露后仅吊销该证书，且可证明年龄而不暴露身份。（较多人）
• 有人直接反驳“没有安全的年龄验证”这一说法，指出零知识证明可以做到。（少数人） > 唯一安全的方案是信任链，比如用PKI为每个服务生成独立证书，泄露后只吊销一个，甚至可以用零知识证明来验证年龄而不暴露身份。（@xvilka）

对政府和企业的追责不抱希望

• 评论者讽刺地指出，政府要求私营企业保护数据，但自己作为客户却不会承担责任，受害者只能自认倒霉。（高赞）
• 有用户提到加州DMV靠出售公民数据每年赚数千万美元，因此自己只提供邮政信箱地址。（较多人） > 加州DMV每年靠出售你提交的数据赚数千万美元，所以我只给他们一个邮政信箱。（@lrvick）

有价值的补充

• 有评论推荐Brian Krebs的深度报道，认为比当前文章更值得阅读。
• 有人指出HN标题是“花园小径句”，容易误读为“黑客扫描了每一家身份验证公司”，原意是“黑客能实时看到这家验证公司扫描过的每一份证件”。