Quali dati non vanno mai scritti su un badge?
Tutto quello che non stamperesti sul suo fronte. Un badge si indossa in pubblico tutto il giorno, lo legge chiunque si avvicini con un telefono, e lascia la sede dentro una tasca. Il chip non è uno scomparto privato.
L'ipotesi da abbandonare
La gente tratta il chip come uno scomparto nascosto perché il suo contenuto non si vede. Non è nascosto, è senza etichetta.
Chiunque abbia un telefono può leggere un badge da qualche centimetro, che in un padiglione affollato, in un ascensore o in una coda è una distanza normale fra due persone.
La lettura non lascia traccia e non richiede alcuna interazione, quindi chi lo indossa non ha modo di sapere che sia avvenuta.
Il modello mentale giusto è che il chip sia una seconda faccia stampata, leggibile da chiunque sia abbastanza vicino, senza chiedere.
Che cosa non ci va mai
I dati di contatto personali in chiaro: numero di cellulare, posta personale, indirizzo di casa.
Qualsiasi cosa sulla persona che non sia già sulla faccia stampata: la delicatezza di un ruolo, informazioni alimentari o mediche, esigenze di accessibilità.
Qualsiasi cosa che funzioni come una credenziale altrove: un numero di dipendente usato per l'accesso a un edificio, un riferimento di conto, un riferimento di prenotazione che identifica una camera d'albergo.
E qualsiasi cosa su altre persone, come i dati di un collega messi insieme su un badge aziendale.
Usa invece un identificatore
Scrivi un identificatore opaco che non significhi nulla fuori dal sistema del tuo evento. Chi legge il badge impara un numero.
Tutto quello che riguarda la persona vive allora nel sistema, dietro il controllo di accesso che applichi, e si può correggere, limitare e cancellare.
Rendi l'identificatore opaco invece che sequenziale. Un numero che si incrementa dice a chi legge quanti partecipanti ci siano e lascia indovinare i badge vicini.
E di' ai partecipanti che cosa contenga il badge e che cosa venga registrato quando viene letto. È insieme una buona pratica e la cosa per cui esiste un'informativa.
Sopravvive all'evento
I badge tornano a casa nelle borse e restano nei cassetti per anni. Un badge che contiene dati personali è una piccola fuga di dati con una vita indefinita, fuori dal tuo controllo e fuori dalla mente di chi lo indossava.
Un identificatore è inerte una volta invalidato, che è l'argomento pratico più forte a favore di quel progetto.
Se i badge sono stati scritti con contenuto personale e non sono bloccati, cancellali quando li raccogli. Se sono stati bloccati, non si possono cancellare, che è un motivo in più per non bloccare i badge di un evento.
E invalida ogni identificatore alla chiusura dell'evento a prescindere, dato che un badge che risolve ancora è ancora una credenziale.
Domande frequenti
Qualcuno può leggere il mio badge senza che io lo sappia?
Sì, da qualche centimetro, senza lasciare traccia. È l'ipotesi attorno a cui progettare invece di un attacco improbabile.
Un nome sul chip è un problema?
Meno dei dati di contatto, ed è già sulla faccia stampata. La prova è se lo stamperesti lì.
Perché l'identificatore deve essere opaco?
Un numero sequenziale rivela la scala dell'evento e lascia indovinare altri badge. Un valore opaco non rivela nulla.
E i badge tenuti dopo l'evento?
Conservano indefinitamente quello che ci è stato scritto. Un identificatore diventa privo di senso una volta invalidato, e i dati personali no.