Чому біометрія досі не замінила паролі?

Більшість з нас захищає своє цифрове життя за допомогою паролів – сподіваємось, різних, надійних паролів для кожного сервісу, яким ми користуємось. Але притаманні паролям слабкості стають все більш очевидними: на цьому тижні Evernote скинув 50 мільйонів паролів після зломів, і це лише остання з серії гучних помилок, пов’язаних з паролями, від Twitter, Sony, Dropbox, Facebook та інших.

Хіба безпека не є проблемою, яку може вирішити біометрія? Біометричні технології дозволяють отримати доступ на основі унікальних і незмінних характеристик про нас самих – в ідеалі це те, що не можна вкрасти або підробити. Хоча це часто є сюжетом шпигунських фільмів, великий бізнес, уряди і навіть окремі наукові установи вже багато років використовують біометричну автентифікацію, таку як відбитки пальців, розпізнавання голосу і навіть сканування обличчя, для автентифікації користувачів.

Так чому ж решта з нас не використовують ці інструменти для захисту своїх пристроїв, додатків і даних? Це ж не може бути так складно … чи не так?

• Підступне оновлення iOS змусило мене знову захопитися iPhone 14 Pro
• Як iPhone 14 Plus став одним з найбільших технологічних провалів 2022 року
• Що таке оперативна пам’ять? Ось все, що вам потрібно знати

Міф про відбитки пальців

Протягом століть (можливо, навіть тисячоліть) відбитки пальців використовувалися для підтвердження особи, а сканери відбитків пальців були опцією в основних бізнес-комп’ютерах близько десяти років. Як правило, користувачі проводять пальцем по вузькому одновимірному сканеру, і система порівнює дані з авторизованим користувачем. Процес сканування і зіставлення є складним, але з розвитком технології точність підвищилася, а витрати знизилися.

Але зчитувачі відбитків пальців мають і недоліки. Найбільш очевидними є травми, такі як опіки і порізи – уявіть собі, що вас заблокували на тиждень від телефону або комп’ютера, тому що прихватка зісковзнула. Плями, чорнило, сонцезахисний крем, волога, бруд, масла і навіть лосьйон можуть заважати зчитуванню відбитків пальців, а деякі відбитки просто неможливо легко відсканувати. Я особисто є гарним прикладом – частина моїх кінчиків пальців гладенькі (або потріскані) від гри на інструментах, але багато людей, які працюють руками, часто мають тонкі гребені (або взагалі не мають) на пальцях. Підготовлені співробітники правоохоронних органів могли б зняти з мене відбитки, якби мене забрали в окружну поліцію, але мені не пощастило з пристроями для зчитування відбитків пальців у блокнотах, і я не можу уявити, як використовувати їх на телефоні – на вулиці під дощем, оскільки я живу в Сіетлі.

Досі був лише один масовий смартфон зі зчитувачем відбитків пальців – Motorola Atrix, який здебільшого пішов в нікуди разом з технологією Webtop від Motorola. Але все може змінитися: наприклад, нещодавнє придбання компанією Apple компанії Authentec минулого року посилило припущення, що майбутні iPhone та пристрої на базі iOS матимуть функцію розпізнавання відбитків пальців, а компанія Ultra-Scan, яка давно займається технологіями зчитування відбитків пальців, заявляє, що їхній ультразвуковий зчитувач у 100 разів точніший, ніж будь-що інше на ринку.

“Я вважаю, що перехід на використання відбитків пальців в побутовій електроніці відбудеться дуже швидко”, – написав Венс Бьорн, технічний директор компанії Digital Persona, що займається управлінням доступом. “Паролі широко вважаються найслабшою ланкою безпеки, і вони стають ще менш зручними, оскільки споживачам доводиться вводити їх на смартфонах і сенсорних екранах. Використання відбитка пальця для аутентифікації вирішує обидві проблеми – безпеки та зручності”.

Ваш голос – ваш пароль

Голосова автентифікація, здається, добре підходить для смартфонів: Вони вже спроектовані для обробки людського голосу і включають такі технології, як фільтрація шуму і обробка сигналів. Як і у випадку зі зчитувачами відбитків пальців, технологія голосової автентифікації вже багато років використовується на об’єктах з високим рівнем безпеки, але поки що не проникає в масову побутову електроніку.

Підходи до ідентифікації дикторів різняться, але всі вони повинні враховувати варіації мови, фоновий шум, а також різницю в температурі і тиску повітря. Деякі системи порівнюють дикторів із заздалегідь записаними фразами авторизованого користувача, наприклад, з PIN-кодом. Більш складні системи виконують складні розрахунки для визначення акустичних характеристик голосового тракту мовця і навіть порівнюють мовленнєві шаблони і стиль, щоб визначити, чи є людина (буквально) тим, за кого вона себе видає.

Перший підхід є крихким і може заблокувати користувачів, які застуджені або кашляють. Вони також вразливі до записів. Хакер-реформатор Кевін Мітнік (Kevin Mitnick) розповів про те, як він обманом змусив генерального директора фінансової фірми назвати цифри від нуля до дев’яти, записав ці цифри і використав їх для того, щоб обійти телефонну голосову автентифікацію в банку.

Більш складні підходи можуть вимагати значних обчислювальних витрат. У наш час важка робота часто виконується на стороні, що приймає, а це означає, що ваші біометричні дані передаються, часто без будь-якого захисту.

“Існуючі голосові технології використовують еквівалент відкритих текстових паролів”, – сказав Манас Патак, дослідник голосової автентифікації, що зберігає конфіденційність, який нещодавно захистив докторську дисертацію в Університеті Карнегі-Меллона. “Ви віддаєте частину своєї особистості системі”.

Голосовий зразок, що зберігається на віддаленій системі, може бути викрадений так само, як і файл з паролем. Більше того, лише голосові дані можуть розкрити нашу стать і національність – навіть наш вік і емоційний стан.

Останні розробки спрямовані на те, щоб обійти ці проблеми. Новий відкритий стандарт, що розробляється Альянсом FIDO, підтримуватиме різні методи автентифікації, але біометричні дані ніколи не залишатимуть пристрої користувачів. Патак та інші дослідники розробили складну систему, яка створює стабільне представлення голосу користувача (який говорить про що завгодно), розділяє його на схожі зразки, а потім криптографічно захищає їх перед виконанням будь-якого порівняння. Віддалені системи ніколи не бачать біометричних даних користувачів, і їх неможливо відтворити.

“Ми маємо близько 95 відсотків точності”, – сказав Патак. “Нам потрібно буде встановити її на більшій кількості телефонів з більш широким розгортанням і тестуванням. Це виходить за межі академічних досліджень, але вона готова до комерціалізації”.

Проте, важко скидати з рахунків шум і фактори навколишнього середовища. Шум дорожнього руху, розмови, телевізори, музика та інші звуки можуть знизити точність. Бувають випадки, коли розпізнавання голосу просто непрактично: уявіть, що хтось в автобусі або метро кричить на свій телефон, щоб розблокувати його.

Обличчя в обличчя

Розпізнавання обличчя і сканування райдужної оболонки ока є іншими поширеними формами біометричної автентифікації – і можуть мати сенс для побутової електроніки, оскільки майже всі наші телефони і планшети мають камери з високою роздільною здатністю.

Системи розпізнавання обличчя працюють, відзначаючи розмір, форму і відстань між орієнтирами на обличчі, такими як очі, щелепи, ніс і вилиці. Деякі системи також враховують такі елементи, як зморшки і родимки, а деякі високотехнологічні пристрої будують 3D-моделі – вони працюють навіть з зображеннями в профіль.

Більшість з нас бачили технологію розпізнавання облич на Facebook і в таких додатках, як Apple’s iPhoto – і результати досить нерівномірні. Комерційні системи розпізнавання облич більш надійні, але вони борються з тими ж проблемами, які можуть зробити зусилля Facebook смішними: паскудними фотографіями. Погане освітлення, окуляри, посмішки, безглузді вирази обличчя, капелюхи і навіть зачіски можуть викликати проблеми. Навіть найкращі системи розпізнавання облич борються з зображеннями під кутом, а обличчя людей можуть радикально змінюватися з віком, вагою, станом здоров’я та травмами.

“Кілька років тому у нас була висококласна система розпізнавання облич, яка майже щоразу не впізнавала старшого інженера”, – сказав координатор з питань безпеки однієї з фірм у Бостоні, який не побажав бути названим. “Чому? Він виглядає як божевільний вчений, в товстих окулярах, з божевільною зачіскою і повною бородою. Але я сам зазнав невдачі з такою ж системою після операції на оці, коли носив пов’язку пару тижнів”.

Розпізнавання райдужної оболонки ока застосовує технології зіставлення зразків з текстурою (не кольором) райдужної оболонки ока користувача, як правило, з невеликою допомогою інфрачервоного світла. Візерунки райдужної оболонки ока, ймовірно, настільки ж унікальні, як і відбитки пальців – і вони, як правило, набагато стабільніші. Більше того, зіставлення візерунків райдужної оболонки ока не вимагає тонни обчислювальної потужності і (за хороших умов) має дуже низький рівень помилкових збігів.

Протягом багатьох років технологія розпізнавання за райдужною оболонкою ока була значною мірою захищена ключовими патентами компанії Iridian, але термін дії цих патентів закінчився кілька років тому, і в цій галузі спостерігається значний новий розвиток. Однак значна частина цих розробок була спрямована на програми ідентифікації, що фінансуються урядом, а не на споживчі програми.

Розпізнавання райдужної оболонки ока також має підводні камені. Користувачам, швидше за все, доведеться тримати пристрій близько до обличчя, при достатньому освітленні і практично без руху. Більшість окулярів доведеться зняти, а деякі ліки і медикаменти можуть деформувати малюнок райдужної оболонки, розширюючи або звужуючи зіниці – спробуйте пройти сканування райдужної оболонки після огляду очей.

Так само, як голосова автентифікація може бути вразливою до записів, сканери райдужної оболонки ока можуть бути обдурені якісними фотографіями або навіть контактними лінзами, надрукованими з фальшивою райдужною оболонкою. Як наслідок, зараз ця технологія здебільшого використовується в ситуаціях, що контролюються людиною, таких як імміграційний і паспортний контроль, а не автоматизованими системами.

Захищаємо себе

Без сумніву, паролі стають все більш слабким способом захисту нашого цифрового життя, а технології біометричної автентифікації можуть заблокувати все, використовуючи те, ким ми є, а не лише те, що ми знаємо. Проте жодна з цих технологій не є чарівною панацеєю для цифрової безпеки: Всі вони час від часу дають збої, і всі вони несуть в собі ризики і вразливості. Більше того, якщо біометрична інформація коли-небудь буде скомпрометована, шляху назад може не бути. Зрештою, ви можете змінити пароль, але навряд чи вдасться змінити великі пальці рук.

Тим не менш, біометричні технології, схоже, незабаром перейдуть у побутову електроніку, швидше за все, в багатофакторні системи, що пропонують додатковий рівень безпеки на додаток до паролів.

“Паролі ніколи не зникнуть – “те, що ви знаєте” залишиться критично важливим інструментом для забезпечення безпеки”, – зазначив Венс Бьорн з Digital Persona. “Але я бачу, що незабаром настане день, коли цей інструмент більше не буде вважатися достатнім для доступу до більшості послуг для споживачів або співробітників”.

Рекомендації редакції

• Найкращі пропозиції для нових клієнтів Verizon у грудні 2022 року
• Як легко створювати та ділитися фотоальбомами на iPhone
• Google Pixel 7: як зробити скріншот і записати свій екран
• Як перенести фотографії з iPhone на iPhone
• Щойно придбали новий iPhone? Ось 12 порад і підказок для його освоєння

Source: digitaltrends.com