Læknablaðið - 15.10.2001, Blaðsíða 48

FRÆÐIGREINAR / PERSÓNUGREINING í GAGNAGRUNNI
einstakling ópersónugreinanlegar. Því er haldið fram
að einstaklingur sé ópersónugreinanlegur vegna þess
að ekki er til lykill sem ljúki upp upplýsingum um
hver þessi einstaklingur er. Þá er því jafnframt haldið
fram með skilgreiningunum að ekki sé hægt að per-
sónugreina einstakling í grunninum með tilvísun í
neina þá þætti sem sérkenna hann í líkamlegu, lífeðl-
isfrœðilegu, andlegu, efnalegu, menningarlegu eða
félagslegu tilliti.
Þetta stenst ekki. Það eru að minnsta kosti þrjár
leiðir sem nota má til að smíða lykla að grunninum: i)
að smíða lykil með uppflettitöflu, ii) að smíða lykil
með samanburði á munstrum ættartrjáa og iii ) að
smíða lykil af samhengi upplýsinga.
2. Lykill smíðaður með uppflettitöflu
Að halda því fram að dulkóðun í eina átt merki að
ekki sé hægt að rekja sig til baka með greiningarlykli
gildir einungis í þröngum tæknilegum skilningi. Ef
nafnið Pétur Pálsson (eða kennitala hans 010476-
4878) er sett í gegnum dulkóðun til dæmis með
hakkafalli (hash function) í eina átt (14,15) kæmi til
dæmis út fastanúmerið 012578f77e5820f2c5bdfcd48
ec273ce. Og ef nafnið Pálína Pétursdóttir (eða
020587-5988) er sett í gegnum sömu einstefnu dul-
kóðun kæmi út fastanúmerið 5cel8blcaca938a8b88
161344537723f. Ef við hefðum einungis í höndum
fastanúmerin eða táknin 012578f77e5820f2c5bdfcd
48ec273ce eða 5cel8blcaca938a8b88161344537723f
væri afar erfitt að ráða beint af táknunum að annað
þeirra táknaði Pétur Pálsson og hitt Pálínu Péturs-
dóttir. Ef þetta væri allt og sumt væru einstaklingar
ópersónugreinanlegir, þar sem ekki er unnt að fara
beint til baka frá fastanúmeri að einstaklingi. Ein-
staklingar eru þó ópersónugreinanlegir einungis í
þessum þrönga skilningi, að fara beint til baka.
í rekstri gagnagrunnsins verður hins vegar til lykill
sem gerir þetta að engu. Gagnagrunnurinn er langsum
(longitudinal) og langtímasöfnun og -samtenging
upplýsinga um sérhvern einstakling (16). Gagna-
grunnurinn verður uppfærður reglulega og þegar
nýjar upplýsingar verða til um einhvern einstakling
(til dæmis vegna heimsóknar til læknis) verða þær
upplýsingar að rata á réttan stað í gagnagrunninum og
tengjast við aðrar upplýsingar um þennan sama ein-
stakling. Sama gildir um uppfærslu ættfræði- og erfða-
fræðigagnagrunna. Eitthvað eða einhver hlýtur því að
„vita“ hver einstaklingurinn er og hvar hann er í
grunninum eða grunnunum þremur sem tengja má
saman. Þetta eitthvað eða einhver er aðferðin sem not-
uð er við dulkóðunina. Þar sem um er að ræða endur-
tekna uppfærslu grunnsins verður aðferðin ætíð að
vera sú sama, hún verður að vera stöðug í tíma. Að-
ferðin er því lykill þar sem ætíð er fyrirhafnarlítið
hægt að búa til uppflettitöflu sem tengir nöfn eða
kennitölur einstaklinga við dulkóðað fastanúmer og
öfugt.
2.1. Dulkóðun, einkvæm vörpun nafna
Dulkóðun er ekkert annað en einkvæm vörpun
nafna eða kennitalna yfir á annað form. Með ein-
stefnudulkóðuninni fær einstaklingurinn nýtt og til-
búið skráningar- eða persónuauðkenni í stað kenni-
tölu, svokallað fastanúmer. í ýmsum gögnum um
gagnagrunninn (15,17) er rætt um hakkafall sem að-
ferð fyrir slíka vörpun í eina átt. Hakkafall H er að-
ferð til að umbreyta inntaki, m, í úttaksstreng tákna
sem hefur fasta lengd, það er að breyta því í hakka-
gildið li eða í táknum H(m) —* /;.
í dulkóðunarfræðum eru gerðar þær meginkröfur
til hakkafalls að i) inntakið megi hafa hvaða lengd
sem er, ii) úttakið hafi fasta lengd, iii) auðvelt sé að
reikna H(x) fyrir eilthvert gefið inntak x, iv) H(x) sé
í eina átt og v) H(x) sé laust við árekstra (14).
Hakkafall H er sagt vera í eina átt ef erfitt er að
finna andhverfu fallsins. Það að „erfitt er að finna
andhverfu fallsins" merkir að ef gefið er eitthvert
hakkagildi h þá er það reikningslega séð illgerlegt
(afar erfitt eða reiknifrekt) að finna eitthvert inntak x
þannig að H(x) —► /;. Ef gefið er eitthvert inntak x og
það er reikningslega séð illgerlegt að finna eitthvert
annað inntak y, sem ekki er jafnt og x, þannig að
H(x) = H(y) (að sama hakkið komi út) þá er hakka-
fallið /7 sagt vera laust við árekstra.
Notkun aðferða í þessa veru er í stuttu máli það
sem virðist búa að baki því sem gagnagrunnslögin
kalla dulkóðun íeina átt sem ekki er hægt að rekja til
baka með greiningarlykli (15). Endurtekin dulkóðun
í eina átt mundi taka fastanúmer sem fæst úr fyrri
dulkóðun sem inntak fyrir þá næstu. Taka má MD5
(Message Digest) (14) sem dæmi um algrím sem nota
mætti fyrir slíka einstefnu dulkóðun. MD5 tekur til
dæmis inntak af hvaða lengd sem er og „meltir skila-
boðin" og býr til 128 bita „fingrafar". Slík föll eru
gjarnan notuð fyrir rafræna undirskrift skjala. Ég
nota það hér til að útbúa sýnidæmi um gerð uppfletti-
töflu.
2.2. Uppflettitafla
Jafnvel þótt ekki sé hægt að leysa beint H(x) —* /;
verður fallið eða föllin sem gagnagrunnurinn gerir
ráð fyrir samt sem áður að vera stöðug í tíma því ella
væri ekki unnt að uppfæra gagnagrunninn. Þess
vegna getur hver sá sem hefur aðgang að fallinu (eða
föllunum) ætíð búið til töflu sem inniheldur hlið við
hlið inntakið og úttakið úr fallinu:
Uppflettitafla fyrir nöfn eða kennitölur og dul-
kóðuð nöfn eða kennitölur er tafla (tafla I) sem
geymir hlið við hlið safn nafna (eða kennitalna) og
dulkóðaðra fastanúmera. Fletta má upp í töflunni til
að finna dulkóðað fastanúmer fyrir gefið nafn og
öfugt. Slík uppflettitafla er greiningarlykill (18).
Hvemig smíða má uppflettitöflu fyrir alla þjóðina var
reyndar lýst í greinargerð með frumvarpinu (15):
með því að keyra þjóðskrána í gegnum dulkóðunar-
812 Læknablaðið 2001/87