292
От биометрических мифов к биометрической реальности?
Биометрическая аутентификация за последние 2-3 года действительно достаточно часто притягивает внимание как специализированных изданий, так и средств массовой информации, ориентированных на максимально широкий круг читателей. И она достаточно быстро обросла мифами, которые часто не имеют под собой каких-либо оснований.
Миф № 1. Биометрическая аутентификация как альтернатива другим аутентификационным технологиям
В первом разделе статьи Михаил Левашов утверждает, что биометрический фактор не может быть использован для целей аутентификации в силу следующих обстоятельств:
- биометрический фактор не является секретом;
- в связи с неизменностью биометрических признаков он не может быть изменен в отличие от других факторов.
Вместе с тем, как известно, для целей аутентификации субъекта имеется всего три фактора:
- фактор знания (что-то, что знаю я и только я);
- фактор владения (что-то, что есть у меня и только у меня);
- биометрический фактор (то, что присуще мне от рождения).
В силу разной природы факторов к ним предъявляются разные требования: для фактора знания необходимо, чтобы он был известен только клиенту; для фактора владения необходимо, чтобы данный фактор не поддавался копированию и находился под единоличным контролем клиента. Что же касается биометрического фактора, то для используемых в целях аутентификации биометрических признаков должны выполняться следующие требования: уникальность, стабильность, измеримость.
Признаки должны быть доступными для захвата сенсором и допускать извлечение идентифицирующих данных, которые являются уникальными. Многие широко используемые морфологические признаки (лицо, отпечатки пальцев, рисунок вен) уникальны (с учетом ограничений по близнецам в случае лицевой биометрии) и меняются сравнительно медленно (за исключением случаев травм).
Использование биометрических признаков не требует применения разделяемых секретов. Биометрическая аутентификация базируется на сложности предъявления биометрического образца устройству захвата (сенсору) без присутствия самого субъекта – носителя образца (атака на предъявление биометрического образца).
Надежность систем биометрической аутентификации реализуется только при достаточно продуманной и хорошо работающей системе обнаружения атак на биометрическое предъявление. Например, попытка предъявить поддельный отпечаток пальца профессиональному сканеру отпечатков, безусловно, провалится – современный сканер не только проверит температуру предъявляемого отпечатка, но и проконтролирует наличие пульса. Есть достаточно много механизмов, позволяющих определить факт предъявления артефакта вместо подлинного источника биометрических признаков – как для лицевой биометрии, так и для определения подделок в голосовой биометрии.
Исходя из вышеизложенного, предъявление требований к периодической смене биометрических данных является ошибкой, следующей из неверного подхода к биометрической аутентификации и способствующей созданию мифа о невозможности применения биометрии для целей аутентификации.
Миф № 2. Безопасность биометрии при проведении (подтверждении) финансовых транзакций
Во втором разделе своей статьи М. Левашов подвергает сомнению безопасность подтверждения финансовых транзакций при использовании биометрической аутентификации. Действительно ли это небезопасно?
Конечно, для финансовых транзакций, несущих существенные риски, биометрический фактор не применяется в качестве единственного, а используется в сочетании как минимум с одним из двух других факторов – знанием и владением. Однако применение для аутентификации биометрического фактора как единственного при проведении ряда видов финансовых операций вполне уместно в силу удобства. Именно удобством можно объяснить быстроту распространения технологии Apple Pay и аналогичных платежных инструментов. Применение однофакторной биометрической аутентификации для оплаты чашки кофе в кофейне вполне допустимо, ибо сумма транзакции невелика, а возможность предъявления артефакта блокируется наличием обслуживающего персонала.
Применение в дополнение к биометрии фактора владения является наиболее безопасным решением, поскольку компрометацию этого фактора, в отличие от фактора знания, достаточно просто обнаружить. Например, если клиент обнаружил отсутствие карты, он должен уведомить банк о пропаже, что приведет к блокировке карты. При этом чтобы воспользоваться украденной картой с биометрическим сенсором, необходимо получить отпечаток пальца владельца, что вряд ли проще, чем подсмотреть ПИН-код.
Автор отмечает, что имеется целый ряд технологий, которые позволяют обмануть систему биометрической аутентификации. Да, усилия многих организаций и частных лиц направлены на создание артефактов, которые можно было бы предъявить без фактического владельца биометрических признаков. Но не меньшее количество организаций озабочено тем, чтобы научиться распознавать эти подделки, и в целом можно говорить о динамическом равновесии между нападающими и обороняющимися. И если у нападающих возникает некоторое преимущество, то это, как правило, временное явление.
Так, сегодня атаки на биометрическое предъявление могут проводиться с использованием целого спектра возможностей: распечатанные фотоизображения, силиконовые маски, DeepFake-видеоизображения, атаки Hill Climbing и Adversarial Attack (учитывают глубинные особенности работы сверточных нейронных сетей). При этом атаки с предъявлением фото-видеоизображений вместо субъекта – владельца биометрических данных успешно обнаруживаются с помощью технологий так называемого Liveness Detection. Это относится также и к механизмам генерации DeepFake-видеоизображений. Атаки Hill Climbing и Adversarial Attack носят в определенной мере теоретический характер для злоумышленника, находящегося вне периметра биометрической системы, поскольку помимо хорошего знания алгоритма работы системы распознавания мошеннику требуется еще и постоянный доступ к результатам работы системы лицевой / голосовой биометрии.
Тот факт, что биометрическая аутентификация носит вероятностный характер, тоже не может существенно влиять на возможность использования биометрических технологий в финансовом секторе – стойкость вполне сопоставима с стойкостью ПИН длиной 4 – 6 знаков. За последние 3-4 года параметр FAR (False Accept Rate) был улучшен на порядки: для лучших алгоритмов, по результатам независимого тестирования, проведенного NIST в июле 2020 года, величина FAR = 0.000001 при вероятности ошибки второго рода FRR (False Reject Rate) = 0,0025.
Но еще раз подчеркнем – если не использовать систему обнаружения атак на биометрическое предъявление, то это лишает биометрию присущих ей преимуществ.
Очевидно, что тезис о повышенных рисках при использовании биометрических технологий – это тоже в определенной степени миф.
Миф № 3. Созданная в Ростелекоме единая биометрическая система (ЕБС) полностью закрывает все вопросы безопасности дистанционных банковских сервисов
Автор статьи, безусловно прав, утверждая, что Единая биометрическая система не может полностью закрыть все угрозы информационной безопасности в части дистанционных банковских сервисов. И трудно не согласится с ним, когда речь идет о возможности регистрации злоумышленника в ЕБС с использованием поддельных документов. при этом Михаил Левашов считает, что требование предварительной регистрации в ЕСИА может быть препятствием для мошеннических действий, но для злоумышленника регистрация в ЕСИА большого труда не составит – базы данных, в которых фигурируют паспорта и СНИЛС граждан РФ, можно найти в интернете. В процессе регистрации биометрических данных гражданина самым слабым звеном является человеческий фактор – отличить поддельный паспорт от подлинного сотруднику банка визуально весьма сложно. Система распознавания документов и сравнения фотографий на документе с предоставившим документ гражданином могла бы существенно усложнить задачу мошенника. И такая система могла бы исключить из процесса регистрации клиента самое слабое звено – человека.
Относительно ответственности за финансовые потери при использовании ЕБС – это в определенной мере решенный вопрос. Ростелеком лишь предоставляет банку, запросившему проверку потенциального клиента, информацию о степени совпадения полученного от клиента изображения / голоса с хранящимися в базе данных шаблонами. Решение о предоставлении услуг банк принимает самостоятельно, с использованием всех имеющихся у него данных о клиенте. Таким образом, банк принимает на себя риски при проведении операций с использованием аутентификации клиента в контуре ЕБС.
Тем не менее, вызывает вопросы утверждение автора о рисках, связанных с длительным хранением биометрических слепков. Биометрические слепки – очевидно, имеются в виду биометрические шаблоны – результат обработки биометрического признака нейронной сетью, они хранятся в ЕБС в зашифрованном виде. Ответ на вопрос о том, какой риск возникает при компрометации (полной или частичной) базы биометрических шаблонов, неочевиден. Восстановить из биометрического шаблона (при условии, что его удалось расшифровать) фотографию клиента достаточно проблематично, так как объем шаблона менее одного килобайта. Сам по себе похищенный шаблон практической ценности не имеет, так как его использование в противоправных целях возможно только при нахождении злоумышленника в периметре ЕБС, вовне шаблон использовать нельзя. Как зависят риски от длительности хранения, абсолютно неясно.
Идея сделать биометрические шаблоны возобновляемыми была разработана более 10 лет назад. Еще в 2011 году был принят стандарт ISO/IEC 24745-2011 “Biometric Template Protection”, в котором подробно рассмотрены механизмы диверсификации биометрических шаблонов с целью исключить возможность использования скомпрометированного шаблона вне породившей его системы. Там же предлагаются и механизмы контроля за использованием шаблона со стороны клиента за счет использования данных, известных только клиенту. Но широкого распространения при реализации биометрических систем предложенная технология не получила.
Поэтому, соглашаясь с приведенным выше утверждением автора о невозможности полностью решить проблемы защиты систем дистанционного обслуживания за счет ЕБС, трудно согласиться с его выводом о рисках, возникающих при длительном хранении биометрических шаблонов в базе данных.
Выводы
Существенное увеличение точности лицевой биометрии позволяет утверждать, что она достигла достаточной степени зрелости для использования в финансовой сфере. Тот факт, что механизмы атак на биометрическое предъявление постоянно совершенствуются, несомненно, должен учитываться теми организациями, которые используют или планируют использовать биометрию в качестве аутентификационного фактора, а системы проверки витальности должны стать неотъемлемой компонентой биометрических решений.
Профессиональное обсуждение проблем биометрической идентификации и верификации на страницах журнала можно только приветствовать, поскольку борьба с заблуждениями и мифами относительно новых решений возможна при их регулярном обсуждении экспертным сообществом. И важно не забывать, что основной аргумент во всех спорах – это результаты практического применения биометрических технологий в бизнес-деятельности с их последующим анализом.
