Биометрическая аутентификация становится популярнее с каждым годом. Подобные технологии активно интегрируются в различные сферы во всем мире и прочно вошли в жизнь практически каждого человека. Биометрия используется в большинстве современных мобильных устройств. С 2010 года в России выдаются биометрические заграничные паспорта. С большой долей вероятности и обычный общегражданский паспорт или его аналог в ближайшее время тоже станет биометрическим
В крупных компаниях все чаще используется биометрическая аутентификация в корпоративной сети при организации доступа. Появились модели банкоматов, доступ к которым осуществляется после биометрической проверки. Самые большие проекты по биометрической идентификации осуществляются на государственном уровне. Крупнейшая в мире система биометрической идентификации реализована в Индии. На начало 2018 г. в ней было зарегистрировано более 1 млрд человек. В настоящее время в нашей стране также реализуется государственный проект по удаленной биометрической аутентификации граждан по лицу и голосу для получения банковских услуг без посещения банка и ряда других сервисов.
В настоящее время наиболее распространенными являются следующие виды биометрической идентификации/аутентификации:
- по отпечатку пальца;
- по лицу, как по двухмерному, так и по трехмерному изображению;
- по голосу;
- по радужной оболочке глаза;
- по геометрии ладони или рисунку вен на ладони.
Биометрическая идентификация (БИ) от аутентификации (БА) отличается тем, что при идентификации пользователь определяется путем сравнения его биометрических данных со всеми, имеющимися в системе, до момента нахождения совпадения. При биометрической аутентификации пользователь говорит системе, кто он такой (например, вводит уникальный логин), система по этому логину считывает его эталонные биометрические данные из базы данных и затем производит их сверку с теми, которые предоставляет пользователь.
Несмотря на то что на данный момент наиболее распространенной в мире является биометрическая аутентификация по отпечатку пальца, другие технологии активно развиваются и появляются новые. Наиболее перспективными на данный момент видятся технологии биометрической аутентификации по рисунку вен на ладони и на основе радужной оболочки глаза.
Плюсы и минусы
Давайте попробуем рассмотреть плюсы и минусы биометрической аутентификации на простом бытовом примере – аутентификации по пальцу в сотовом телефоне.
Что привлекает?
Скорость: приложил палец и готово.
Идентификатор (палец) всегда при тебе, его не надо запоминать и нельзя забыть, как это часто бывает с паролем, или потерять, как это случается с отчуждаемым носителем. Если характеризовать в целом, то можно сказать, что основной плюс – это удобство.
А какие минусы?
Если пальцы грязные, если рука забинтована, идентификация невозможна. Многие из вас, я думаю, сталкивались с ситуацией, что смартфон отказывается принимать легальный идентификатор: вы прикладываете палец, а вас не пускает. Сейчас это не проблема, лишний раз введешь ПИН-код. Но если биометрическая аутентификация будет единственным способом аутентификации, такая ситуация может доставить серьезные неприятности или, как минимум, заставит понервничать. Реализуемую с помощью БА степень защиты трудно оценить. С учетом того, что биометрическая аутентификация выполняет на данный момент в мобильных устройствах роль упрощенного (удобного) доступа и на большинстве девайсов при перезагрузке требуется ввести ПИН-код, степень реализуемой защиты не очень высокая.
Чем же так привлекательна биометрия?
Ответ, казалось бы, прост: она является неотъемлемой составляющей человека, не меняется со временем и однозначно его идентифицирует.
На самом деле это не совсем так. Для различных технологий биометрической аутентификации эти утверждения имеют разную степень достоверности. Для БИ по отпечатку пальца или по радужной оболочке глаза все три утверждения достаточно справедливы. Для аутентификации по голосу или лицу – это уже не так. Эти параметры существенно меняются на протяжении жизни человека ввиду физиологических изменений. Что касается аутентификации по лицу, то здесь человек сам в состоянии довольно кардинально изменить свой образ за достаточно короткое время. Когда я этим летом в отпуске сбрил усы, младшая дочка расплакалась, когда увидела меня в первый раз: папа какой-то "незнакомый". Для современных систем биометрической идентификации по лицу сбритые усы не проблема. Но если человек не носил ни усов, ни бороды, а потом отрастил себе пышные усы и бороду в стиле Льва Толстого, то система БИ по лицу вряд ли вас распознает. У человека могут заболеть зубы и на лице вырастет флюс. После серьезной драки его может родная мать не узнать, не то что система биометрической идентификации. Я думаю, вы сами сможете найти еще десяток жизненных ситуаций, которые приводят к существенному изменению лица человека.
То же самое относится и к голосу. Мало того, что он меняется на протяжении жизни, так еще он подвержен серьезным изменениям при различных, прежде всего простудных, заболеваниях, не говоря уже о том, что человек может временно потерять голос, т.е. фактически утратить средство идентификации. Я думаю, такое случалось в жизни практически любого человека. А как проходить аутентификацию немым людям и людям с серьезными проблемами речи?
Степень однозначности идентификации тоже понятие относительное. Все зависит от уровня строгости идентификации/ аутентификации, настроенного в системе. Когда мы внедряли в нашей организации биометрическую аутентификацию по отпечатку пальца, то столкнулись с тем, что практически любой человек, поэксперементировав в течение 10–15 мин с прикладыванием различных пальцев в различных положениях, может аутентифицироваться под учетной записью другого пользователя. Как же так, спросите вы, ведь отпечаток пальца у человека уникален? Дело в том, что системы биометрической аутентификации не сравнивают непосредственно два отпечатка пальца. Первоначально при регистрации в системе человек прикладывает палец, проводится его сканирование и, грубо говоря, по определенным точкам папиллярного узора формируется некая математическая модель (свертка). При последующей аутентификации происходит сканирование рисунка пальца и повторное вычисление математической свертки. Именно она и сравнивается с эталонной. Очевидно, что каждый раз человек прикладывает палец немного по-другому, область сканирования разная, поэтому в системе задается строгость совпадения отпечатков.
Возможные ошибки и как их устранить
Здесь мы вплотную подошли к обсуждению присущих системам биометрической аутентификации ошибок первого и второго рода. Ошибки первого рода – когда система не пропускает легального пользователя; ошибки второго рода – когда система ошибается и принимает одного человека за другого. При настройке любой системы биометрической аутентификации необходимо выбирать золотую середину, чтобы система не пропускала "чужих", но и чтобы "своим" не приходилось исполнять танцы с бубнами, чтобы идентифицироваться.
Хорошо, когда система не ошибается в обычной ситуации, но ведь кто-то может попытаться ее обмануть. Помните, как показывают в крутых боевиках: отрубить у владельца палец и идентифицироваться по нему. На самом деле существуют более гуманные методы обхода. Можно сделать пленку с нанесенным отпечатком пальца. В системе аутентификации по лицу можно предоставить фотографию (видеозапись) вместо лица. Для защиты от такого вида обмана в современных системах биометрической аутентификации предусмотрены проверки на то, что аутентификацию проходит живой человек (проверка на "лайфность"). Для отпечатка пальца – это проверка на то, что прикладываемый палец теплый и влажный. Для лица – что объект рельефный, а не плоский (необходима дополнительная камера) или что объект теплый (необходима инфракрасная камера). Также одним из способов проверки может являться отслеживание мимики лица, которая постоянно меняется у любого живого человека.
Защита средств идентификации
Мы все знаем, что пароль нельзя никому передавать и следует хранить в тайне, обязательным является периодическая смена паролей. Спрятать лицо или голос не получится, человека нельзя запереть в сейф, чтобы никто не мог скопировать его биометрические данные.
С учетом современного развития Интернета и социальных сетей, телефонии и мессенджеров получить фотографию человека и образец голоса не представляет никакой сложности. И регулярно менять лицо и голос не получится. Наоборот, биометрическая идентификация тем и привлекательна, что идентификатор не меняется или слабо меняется в течение жизни человека. Это одна из серьезных проблем систем биометрической идентификации. Какой бы способ биометрической идентификации ни был выбран, всегда надо исходить из того, что идентификатор может быть получен и использован злоумышленниками. Определенной защитой является проверка на "лайфность" предъявляемого идентификатора. Но более перспективным видится одновременное использование статических и динамических методов биометрической идентификации.
Еще раз назовем недостатки:
- Доступность биометрических идентификаторов для копирования и проведения атаки в большинстве систем биометрической идентификации.
- Необходимость наличия определенных окружающих условий для проведения биометрической идентификации.
- Могут возникать ситуации, когда биометрические идентификаторы повреждены или недоступны для считывания.
- Наличие ошибок первого и второго рода.
- Для многих систем биометрической идентификации биометрические сканеры достаточно дорогие.
- Необходимо обеспечивать требования регуляторов по защите биометрических персональных данных.
Перспективы
На данный момент наиболее универсальным устройством для считывания биометрических данных является мобильный телефон. Вероятно, в этих устройствах будут реализовываться новые технологии биометрической идентификации. Мобильные телефоны превратятся в многофакторные биометрические сканеры. С учетом того, что, как утверждают эксперты, мы вступаем в век носимой электроники, а медицинская телеметрия движется вперед семимильными шагами, вполне вероятно, что в недалеком будущем появятся новые технологии биометрической идентификации, лишенные тех недостатков, которые присущи существующим.
По материалам IS