Чому біометрія досі не замінила паролі?

Більшість із нас захищає своє цифрове життя за допомогою паролів — сподіваємось, різних, надійних паролів для кожної служби, яку ми використовуємо. Але властиві недоліки паролів стають більш очевидними: цього тижня, Evernote скинув 50 мільйонів паролів після злому, і це лише остання з серії гучних помилок, пов’язаних із паролем, від Twitter, Sony, Dropbox, Facebook та інших.

Хіба безпека не є проблемою, яку може вирішити біометрія? Біометричні технології дозволяють отримати доступ на основі унікальних і незмінних характеристик про нас — в ідеалі те, що неможливо вкрасти чи підробити. Хоча це часто є матеріалом шпигунських фільмів, великі компанії, уряди та навіть частина наукових кіл використовують біометрична автентифікація, як-от відбитки пальців, розпізнавання голосу та навіть сканування обличчя для автентифікації користувачів протягом багатьох років.

Тож чому інші з нас не використовують ці інструменти для захисту своїх пристроїв, програм і даних? Це не може бути так складно... правда?

Міф про відбитки пальців

Протягом століть (можливо, навіть тисячоліття), відбитки пальців використовувалися для підтвердження особи, а сканери відбитків пальців були опцією на звичайних бізнес-комп’ютерах протягом приблизно десяти років. Зазвичай користувачі проводять пальцем по вузькому одновимірному сканеру, і система порівнює дані з авторизованим користувачем. Процес сканування та зіставлення складний, але з розвитком технології точність підвищилася, а витрати знизилися.

Але зчитувачі відбитків пальців мають недоліки. Найбільш очевидними є травми, як-от опіки та порізи — уявіть, що ви не маєте доступу до телефону чи комп’ютера на тиждень через те, що зісковзнула прихватка. Плями, чорнило, сонцезахисний крем, волога, бруд, олії та навіть лосьйон можуть заважати зчитувачам відбитків пальців, а деякі відбитки пальців просто неможливо відсканувати. Особисто я є хорошим прикладом — частини моїх пальців стають гладкими (або пухирями) від гри інструменти, але багато людей, які працюють своїми руками, часто мають тонкі виступи (або їх взагалі немає) на пальці. Навчений персонал правоохоронних органів міг би зняти з мене відбитки, якщо мене привезуть до округу, але мені пощастило з відбитками пальців кількість читачів у блокнотах жахлива, і я не можу уявити, як використовувати їх на телефоні — надворі під дощем, оскільки я живу в Сіетлі.

Поки що був лише один масовий смартфон зі зчитувачем відбитків пальців — Motorola Atrix, які здебільшого нікуди не пішли разом із Motorola Webtop технології. Але все може змінитися: наприклад, нещодавно Apple придбання Authentec Минулий рік підживив припущення про те, що майбутні пристрої iPhone та iOS запропонують розпізнавання відбитків пальців, а фірма, що займається розробкою відбитків пальців Ультрасканування каже, що вони мають ультразвуковий зчитувач, який у 100 разів точніший за будь-який інший на ринку.

«Я вважаю, що перехід до використання відбитків пальців у побутовій електроніці відбудеться дуже швидко», — написав Венс Бйорн, технічний директор фірми з управління доступом. Цифрова персона. «Паролі широко вважаються найслабшою ланкою безпеки, і вони стають ще менш зручними, оскільки споживачам доводиться вводити їх на смартфонах і через сенсорні екрани. Використання відбитка пальця для аутентифікації вирішує обидві проблеми — безпеки та зручності».

Ваш голос - ваш пароль

Голосова автентифікація, здається, добре підходить для смартфонів: вони вже розроблені для обробки людського голосу та включають такі технології, як фільтрація шуму та обробка сигналу. Подібно до пристроїв для зчитування відбитків пальців, технологія автентифікації голосу роками існує в об’єктах із високим рівнем безпеки, але не увірвалася в основну побутову електроніку.

Підходи до ідентифікації мовця відрізняються, але всі вони повинні впоратися з варіаціями мови, фоновим шумом і різницею в температурі та тиску повітря. Деякі системи порівнюють мовців із попередньо записаними фразами від авторизованого користувача, як-от PIN-код. Більш складні системи виконують складні обчислення для визначення акустичних характеристик динаміка голосовий тракт, і навіть порівнювати моделі мовлення та стиль, щоб визначити, чи є хтось (буквально) тим, за кого себе видає є.

Перший підхід є крихким і може блокувати користувачів, які мають застуду чи кашель. Вони також вразливі до записів. Реформований хакер Кевін Мітнік має говорив обманом змусити генерального директора фінансової компанії назвати цифри від нуля до дев’яти, записати ці цифри та використати їх для обходу голосової автентифікації банку за телефоном.

Більш складні підходи можуть потребувати інтенсивних обчислень. У ці дні важкі роботи часто виконуються на отримання end — це означає, що ваші біометричні дані передаються, часто без жодного захисту.

«Існуюча голосова технологія використовує еквівалент простих текстових паролів», — сказав він Манас Патак, дослідник автентифікації голосу із збереженням конфіденційності, який нещодавно захистив докторську дисертацію. в університеті Карнегі-Меллона. «Ви віддаєте системі частину своєї особистості».

Голосовий відбиток, що зберігається у віддаленій системі, можна вкрасти так само, як файл пароля. Крім того, одні тільки голосові дані можуть виявити нашу стать і національність — навіть вік і емоційний стан.

Останні розробки спрямовані на вирішення цих проблем. Новий відкритий стандарт, який розробляється Альянс FIDO підтримуватиме кілька методів автентифікації, але біометричні дані ніколи не залишатимуть пристрої користувачів. Патак та інші дослідники розробили складну систему, яка створює стабільне представлення голосу користувача (говорячи про будь-що), ділить це на подібні зразки, а потім криптографічно захищає їх перед виконанням будь-яких порівняння. Віддалені системи ніколи не бачать біометричні дані користувачів, і їх неможливо відтворити.

«Ми маємо приблизно 95 відсотків точності», — сказав Патак. «Нам потрібно буде встановити його на більше телефонів із більш широким розгортанням і тестуванням. Це поза сферою академічних досліджень, але воно готове до комерціалізації».

Тим не менш, важко скидати з рахунків шум і фактори навколишнього середовища. Шум транспорту, розмова, телевізор, музика та інші звуки можуть знизити точність. Бувають випадки, коли розпізнавання голосу просто непрактично: уявіть, що хтось у автобусі чи метро кричить на свій телефон, щоб його розблокувати.

Обличчям до обличчя

Розпізнавання обличчя та сканування райдужної оболонки ока є іншими поширеними формами біометричної автентифікації, які можуть сенс для побутової електроніки, оскільки майже всі наші телефони та планшети мають високу роздільну здатність камери.

Системи розпізнавання обличчя працюють, відзначаючи розмір, форму та відстань між орієнтирами на обличчі, як-от очі, щелепа, ніс і вилиці. Деякі системи також враховують такі елементи, як зморшки та родимки, тоді як деякі високоякісні пристрої створюють 3D-моделі — вони працюють навіть із переглядами профілю.

Більшість із нас бачили технологію розпізнавання обличчя на Фейсбуці і в таких програмах, як iPhoto від Apple, і результати досить неоднакові. Комерційні системи розпізнавання облич більш надійні, але вони борються з тими ж речами, які можуть викликати сміш у зусиллях Facebook: погані фотографії. Погане освітлення, окуляри, посмішки, безглузді вирази обличчя, капелюхи та навіть стрижки можуть спричинити проблеми. Навіть найкращі системи розпізнавання обличчя погано працюють із зображеннями під кутом, а обличчя людей можуть радикально змінюватися залежно від віку, ваги, стану здоров’я та травм.

«Кілька років тому у нас була високоякісна система розпізнавання облич, яка майже кожного разу виводила з ладу старшого інженера», — сказав координатор служби безпеки бостонської фірми, який не захотів розголошувати свою особу. «Чому? Він схожий на божевільного вченого, у товстих окулярах, божевільному волоссі та пишній бороді. Але я сам не впорався з тією ж системою після операції на оці, коли носив пластир пару тижнів».

Розпізнавання райдужної оболонки ока застосовує технології зіставлення шаблонів до текстури (а не кольору) райдужної оболонки ока користувача, як правило, з невеликою допомогою інфрачервоного світла. Візерунки райдужної оболонки, ймовірно, такі ж унікальні, як і відбитки пальців, і, як правило, вони набагато стабільніші. Більше того, зіставлення візерунків райдужної оболонки не потребує величезної потужності процесора та (за хороших умов) має дуже низький рівень помилкових збігів.

Роками технологія розпізнавання райдужної оболонки ока була здебільшого заблокована ключовими патентами Іридіан, але термін дії цих патентів закінчився кілька років тому, і в цій галузі відбулися значні нові розробки. Однак більша частина цього була спрямована на програми ідентифікації, що фінансуються урядом, а не на програми для споживачів.

Розпізнавання райдужної оболонки також має підводні камені. Користувачам, ймовірно, доведеться тримати пристрій близько до обличчя з пристойним освітленням і майже без руху. Більшість окулярів доведеться зняти, а деякі ліки та ліки можуть деформувати малюнок райдужної оболонки, розширюючи або звужуючи зіниці — спробуйте пройти сканування райдужної оболонки після огляду очей.

Подібно до того, як автентифікація голосу може бути вразливою до записів, сканери райдужної оболонки можуть бути обдурені якісними фотографіями або навіть контактними лінзами з надрукованими фальшивими райдужними оболонками. Як наслідок, наразі технологія здебільшого використовується в ситуаціях, які контролюються людьми, як-от імміграційний та паспортний контроль, а не в автоматизованих системах.

Забезпечуємо себе

Немає сумніву, що паролі стають дедалі слабкішим засобом захисту нашого цифрового життя, а технології біометричної автентифікації можуть блокувати все за допомогою щось ми є а не просто щось ми знаємо. Однак жодна з цих технологій не є чарівною кулею для цифрової безпеки: усі вони іноді дають збій для деяких людей, і всі вони несуть ризики та вразливі місця. Крім того, якщо біометричну інформацію колись скомпрометовано, шляху назад може не бути. Зрештою, ви можете змінити свій пароль, але бажаємо вам успіхів у зміні ваших пальців.

Тим не менш, біометричні технології, схоже, незабаром перейдуть у споживчу електроніку, швидше за все, у багатофакторних системах, які пропонують рівень безпеки на додаток до паролів.

«Паролі ніколи не зникнуть — те, що ви знаєте, залишатиметься критичним інструментом безпеки», — зазначив Венс Бйорн із Digital Persona. «Але я справді бачу день, коли цей інструмент більше не буде розглядатися як достатній для більшості споживачів або співробітників доступу до послуг».

Зображення через Shutterstock/Сергій Нівенс, Shutterstock / NREY & Shutterstock/Майк Тейлор

Рекомендації редакції

• Чому я перестав носити смарт-годинник і чому я не озирався назад