2 июля 2024, 09:41
Количество просмотров 1752

Оценка рисков при использовании биометрических технологий. Либо везде, либо нигде?

Сегодня российские законодатели предлагают гражданам выбрать только из двух вариантов – либо использовать биометрию везде и всегда, либо никогда. Однако понятно, что такой выбор неактуален и неудобен. Было бы гораздо правильнее, в том числе и для развития биометрических технологий, чтобы граждане могли выбрать способ использования ими биометрии, – считает Василий Мамаев, зам. директора Некоммерческого партнерства «Русское биометрическое общество», зам. председателя ТК 098 «Биометрия и биомониторинг».
Оценка рисков при использовании биометрических технологий. Либо везде, либо нигде?

«То, что ты параноик, еще не означает,

что за тобой не следят».

Курт Кобейн

 Вопрос к биометрии – стоит ли ее (биометрии) бояться? (Кстати, а не слишком ли мы часто – почти параноидально – возвращаемся к этому вопросу?) Но стоит ли бояться – это только первая половина вопроса, вторая заключается в том, стоит ли ею пользоваться.

На сегодняшний день можно выделить следующие актуальные направления использования биометрии:

· оплата проезда в метрополитене;

· покупки в магазине;

· обслуживание в банкоматах;

· дистанционное открытие банковских счетов;

· дистанционные нотариальные услуги;

· проверка личности студента при сдаче экзамена;

· учет в гостиницах, при турпоездках, доступ в фитнес-залы и прочее;

· проход через турникеты систем контроля и управления доступом (СКУД), в том числе в аэропорты и другие объекты транспорта и промышленности.

 

В целом применение биометрии оказывается достаточно разнообразным, постепенно она внедряется в нашу жизнь, и об ошибках, которые могут при этом возникать, надо знать заранее.

Прежде всего следует сказать, что надежность распознавания личности человека, даже в идеальных условиях, отнюдь не бесконечна. Системы распознавания в настоящее время активно совершенствуются, но вряд ли смогут достичь абсолютного (100%) уровня, поскольку похожих друг на друга людей много.

Карты с цифровым кодом можно сделать уникальными, а вот людей, пожалуй, нет.

 

Для того чтобы оценить ошибки биометрических технологий, рассмотрим в качестве примера проход по изображению лица в метрополитен. Возможные варианты:

· Вы зарегистрированы и прошли (все замечательно).

· Вы зарегистрированы, и вас не пропустили – это ошибка первого рода (плохо, но терпимо).

· Вы зарегистрированы и прошли, но вас посчитали за другого человека, с него сняли деньги – ошибка второго рода (ну а вы-то здесь при чем?).

· Вы вообще сегодня дома сидели, а за вас кто-то похожий на метро катается. Тоже ошибка второго рода (вот это уже совсем плохо).

 

Сразу отмечу – ошибок второго рода мало, проявляются они редко, но иногда могут случаться.

Последний рассмотренный вариант, когда вашу биометрию сознательно использует другой человек, – это уже в чистом виде криминал (в биометрии такой вид преступления называется «атака на биометрическое предъявление»). Возможности таких атак в последнее время многократно возросли. На ресурсе некоммерческого партнерства «Русское биометрическое общество» – «Территория биометрии» представлено большое количество примеров противоправного использования дипфейков для обмана и вымогательства денег. Например: «С использованием изображения, очень похожего на настоящего Сергея Собянина, у пенсионера выманили 1,5 млн рублей».

 

Стоит отметить, что не везде такие дипфейки (или атаки другого рода) кто-то будет использовать, например, при проходе в метрополитен, это вряд ли возможно и целесообразно.

Конечно, разработчики биометрических систем постоянно совершенствуют системы защиты от поделок, но и злоумышленники постоянно придумывают новые методы атак.

Законодатели, со своей стороны, предоставили гражданам право отказаться от использования биометрии в соответствии с Федеральными законами от 27.07.2006 № 152-ФЗ «О персональных данных» и от 29.12.2022 № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных…». Но при этом никто этим гражданам не объяснил, где ее применять безопасно, а где нет.

 

Итак, вернемся к списку рисков (см. таб. 1).

tabl1.jpg

Таблица 1. Оценка рисков использования биометрии

Как можно убедиться, случайные ошибки для первой группы не приводят к серьезным потерям – речь идет о стоимости проезда в метрополитене или небольшой покупки в продуктовом магазине.

Дистанционные нотариальные услуги
В соответствии со статьей 44.3 «Основ законодательства Российской Федерации о нотариате» нотариус может совершать удаленно (без личной явки к нотариусу лица, обратившегося за совершением нотариальных действий) следующие нотариальные действия:

· принятие в депозит безналичных денег;

· обеспечение доказательств;

· совершение исполнительной надписи (!) – взыскание денежных сумм или истребование имущества от должника[1];

· принятие на хранение электронного документа;

· получение выписки из реестра уведомлений о залоге движимого имущества;

· свидетельствование верности перевода;

· передача электронных документов другим физическим или юридическим лицам;

· депонирование нотариусом движимых вещей, безналичных денежных средств или бездокументарных ценных бумаг (!);

· выдача выписки из реестра уведомлений о залоге движимого имущества;

· удостоверение равнозначности электронного документа, изготовленного нотариусом в ином формате, электронному документу, представленному нотариусу;

· выдача выписки из реестра распоряжений об отмене доверенностей.

В данном перечне знаком (!) отмечены возможные опасные, на наш взгляд, направления действий, которые могут быть совершены при использовании удаленной биометрической идентификации и потенциально могут привести к финансовым и материальным потерям.

Далее последовательность действий при дистанционном нотариальном обслуживании выглядит следующим образом: заявитель или его представитель направляет в Федеральную нотариальную палату через единую информационную систему нотариата, в том числе с использованием единого портала государственных и муниципальных услуг, заявление о совершении нотариального действия удаленно с приложением установленных законодательством Российской Федерации документов в электронной форме.

Указанное заявление подписывается усиленной квалифицированной электронной подписью (ЭП) заявителя или его представителя, которая проверяется нотариусом в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи».

Таким образом, хотя биометрия здесь выступает уже вторым защитным фактором – после подтверждения заявления ЭП, – вариантов использования подделок (атак) исключить нельзя.

Обслуживание в банкоматах (на примере Сбербанка)
Предварительно потребуется регистрация с использованием карты от Сбербанка на банкомате с биометрией. Также потребуется придумать и зарегистрировать 5-значный код безопасности. При обслуживании в банкомате необходимо активировать кнопку «Войти по биометрии», посмотреть в камеру, ввести код безопасности и следовать инструкциям на экране банкомата. Здесь биометрия также используется как второй фактор, но ее основное преимущество, заключавшееся в возможности получать доступ к сервисам банкомата без необходимости запоминать коды, уже не действует.

Давайте сравним варианты обслуживания в банкомате с биометрией и с банковской карточкой. При использовании банковской карты или телефона с NFC происходит обмен шифрованной информации с банкоматом и вводится ПИН-код. При использовании биометрии вы предъявляете лицо и/или голос, которые могут быть подделаны. Таким образом, можно считать, что надежность при использовании биометрии при обслуживании в банкомате явно ниже, чем при использовании банковской карты.

Нормативный акт Банка России СТО БР БФБО-1.8-2024, устанавливающий состав и содержание мер для обеспечения доверия к результатам идентификации и аутентификации клиентов – получателей услуг при дистанционном предоставлении поставщиками финансовых продуктов и услуг в целях реализации требований Банка России на технологическом участке идентификации, аутентификации и авторизации клиентов при осуществлении банковской деятельности, определяет, что «исходя из российской и международной практики использование биометрических характеристик человека в качестве единственного фактора аутентификации при проведении финансовых операций не допускается. Настоящий стандарт допускает использование биометрических характеристик человека в качестве единственного фактора аутентификации только в случаях проведения финансовых операций, в которых для данного аутентификатора законодательно ограничены суммы проведения операции» (стр. 20, примечание 13).

Заселение в отель по биометрии
Правительство Российской Федерации в Постановлении от 20.03.2024 № 341 предложило внести изменения в Правила предоставления гостиничных услуг. Изменения, в частности, предполагают, что российские граждане могут при желании зарегистрироваться в отелях, санаториях, домах отдыха и других средствах размещения с помощью биометрии, без предъявления паспорта.

Такой сервис был бы весьма удобен. Он мог бы позволить максимально упростить процедуру заселения, снизить нагрузку на сотрудников гостиниц, а также решить проблему очередей на стойках регистрации, что особенно актуально в период проведения массовых мероприятий.

На сегодняшний день ведется работа с гостиничными сетями по внедрению сервиса. Запуск услуги в пилотном режиме запланирован на второе полугодие 2024 года.

Каким образом данный сервис будет защищен от использования подделок, пока неясно, но существуют способы обмануть биометрическую систему, выдав себя за другого человека, и таких примеров в интернете достаточно.

Системы контроля и управления доступом
Непосредственной опасности для граждан случайно или в результате совершения злонамеренных действий потерять финансы при ошибках или атаках СКУД не просматривается. Здесь для предприятия или транспортной компании (например, в аэропорту) в первую очередь должны учитываться риски совершения злоумышленниками противоправных действий в виде кражи коммерческих, государственных секретов, порчи оборудования или совершения террористических актов. В этом случае (например, на объектах атомной промышленности, в аэропортах) служба безопасности должна четко понимать, что с использованием атак на биометрическое предъявление биометрические СКУД могут быть преодолены злоумышленниками. Видимо, в этом случае использовать только биометрические СКУД (как единственный фактор) для доступа к критическим объектам недопустимо. Решать эти вопросы должна служба безопасности, организовав проход с использованием многоуровневой проверки, в том числе и с использованием биометрических технологий как одного из факторов контроля.

Социальные аспекты биометрических технологий
|Особенные (параноидальные?!) опасения у граждан вызывает вопрос о слежке со стороны государства за гражданином в случае наличия разрешения использовать изображение его лица. В этом случае граждане опасаются, что наличие большого количества камер видеонаблюдения позволит неким людям осуществлять слежку и контролировать личную жизнь гражданина. Возникает вопрос, а зачем им (этим неким людям) это надо? Да и технически на сегодняшний день осуществлять слежение за каждым гражданином не представляется возможным. Вместе с тем существует множество положительных примеров, когда видеонаблюдение позволило правоохранительным органам обнаружить преступников или потерявшихся людей. Однако уже сейчас можно прогнозировать, что ускоренное развитие систем искусственного интеллекта (ИИ) уже в недалеком будущем (а вот это уже не паранойя) может позволить ИИ осуществлять анализ всесторонних потребностей людей с целью предложения услуг или товаров. Такой анализ, видимо, будет проводиться с использованием данных, полученных от «Умных вещей», «Умного дома», сведений в интернете, а не только от использования биометрических технологий.

Во время подготовки данной статьи произошло несколько событий, которые позволили автору еще раз убедиться в том, что недоверие к биометрии (или ее боязнь) действительно существуют в обществе и поддерживаются людьми, занимающими высокие должности. Во-первых – это дискуссия по биометрии на ПМЭФ, где член СПЧ, эксперт в сфере IT-технологий Игорь Ашманов отреагировал из зала на выступления спикеров следующим образом: «Я слышу совершенно непристойную рекламу (биометрии.В.М.) и больше ничего!». Он отметил, что биометрическая система добровольна только на словах, а отказ от нее роли не играет – камеры считывают все лица и сохраняют с персональными данными. Поэтому во избежание мошенничества их число нужно сокращать.

Во-вторых, можно отметить ряд появившихся публикаций по вопросу надежности работы биометрии в метрополитене, на других видах транспорта, а также вопросы компрометации социального профиля человека, в том числе и с использованием дипфейков. На дискуссии ПМЭФ по биометрии эти вопросы также поднимались. Видимо, опасения людей насчет надежности использования биометрических технологий справедливо переносятся на опасения потерять свой цифровой профиль. Правда, это уже другая тема.

Выводы
В данной статье мы попытались раскрыть собственное видение некоторых опасностей при использовании биометрии. Очевидно, что часть направлений использования биометрии, например, таких как проход в метрополитене, покупки в магазине с ограниченной суммой, регистрация при проведении учебных мероприятий, учет в гостиницах, при туристических поездках, проведении массовых мероприятий, не имеют существенных рисков и вполне могут быть использованы. Другая часть – финансовые, банковские и нотариальные мероприятия – отличаются повышенными рисками, и целесообразность использования гражданами биометрии, особенно в однофакторном сценарии, по этим направлениям остается под вопросом.

Как уже было отмечено, законодатели предложили гражданам выбрать только из двух вариантов – либо использовать биометрию везде и всегда, либо никогда. Однако понятно, что такой выбор нелогичен и неудобен. Было бы гораздо правильнее, в том числе и для развития биометрических технологий, чтобы граждане могли выбрать способ использования ими биометрии, например, только в метро или в туристических поездках.

Выбор этот должен быть обоснован пониманием рисков использования биометрических технологий, а риски для каждого биометрического направления должны оцениваться путем проведения полноценных эксплуатационных (технологических, сценарных и оперативных) испытаний биометрических технологий и изделий, о которых пользователь должен иметь четкое и объективное представление.

Социальные же аспекты использования биометрии должны стать предметом пристального внимания законодателей с целью совершенствования защиты личной жизни граждан.

[1] Исполнительная надпись — специальная отметка нотариуса на договоре, которая дает право кредитору принудительно взыскать деньги или имущество с должника, который уклонялся от возврата долга без обращения в суд. Получив исполнительную надпись, кредитор может сразу же идти к судебным приставам и не тратить лишнее время и деньги на судебные разбирательства.

 

Рубрика:
{}Биометрия

PLUSworld в соцсетях:
telegram
vk
dzen
youtube