Biometriset tekniikat. Abstraktit biometriset tietoturvamenetelmät tietojärjestelmissä
2 vuotta sitten
Heti kun iPhone 5S tuli ulos, muita älypuhelimia valmistavat alkoivat välittömästi toteuttaa tietosuojaa aktiivisesti sormenjälkitunnistimen avulla. Nykyään asiantuntijoilla ei kuitenkaan ole epäilystäkään siitä, että tämä suojausmenetelmä, joka näyttää erittäin luotettavalta, on todella vaarallinen tällaisten laitteiden käyttäjille.
Palvelu lähettää sitten koodin tai salasanan sisältävän tekstiviestin käyttäjän matkapuhelimeen, jonka jälkeen käyttäjän on syötettävä tiedot kirjautumisnäytölle vahvistuksen viimeistelemiseksi. Voidaan olettaa, että vain toinen henkilö, joka tietää käyttäjätunnuksen ja salasanan ja joka omistaa laillisen käyttäjän mobiililaitteen, voi suorittaa tämän toisen varmennusvaiheen. Tämä puolestaan auttaa estämään raakoja hyökkäyksiä kirjautumispalvelimeen.
Vaikka tietoturvaasiantuntijat ovat rohkaisseet käyttäjiä ja kehittäjiä käyttämään tätä menetelmää, se on silti erittäin alttiina hyökkäyksille. Viimeaikaisissa, paljon mediahuomiota saaneissa tapahtumissa tätä tekniikkaa on käytetty hyökkäyksissä tunnettuja verkkopalveluita vastaan, mukaan lukien sveitsiläisten pankkien tarjoamat verkkopankit, joilla tiedetään olevan paremmat suojat verkossa.
Kuinka turvallista tietoturva on sormenjälkeä käytettäessä? Tästä ongelmasta keskusteltiin Las Vegasissa Black Hat -turvajärjestelmiä kehittävien asiantuntijoiden konferenssissa.
FireEyen asiantuntijat saivat yleisön kirjaimellisesti shokkitilaan. Ja tämä ei ole liioittelua. He kertoivat, että on olemassa Android-älypuhelimia, joissa sormenjäljet on tallennettu salaamatta niitä millään tavalla.
Suurin ongelma tässä ja monissa muissa kaksivaiheisissa todennusmenetelmissä on, että ne kaikki edellyttävät silti salasanan ja käyttäjätunnuksen syöttämistä kirjautumisprosessin aikana. Kaikki Internet-palvelut, jotka edelleen turvautuvat arkaluontoisiin tunnistetietoihin, kuten salasanoihin, ovat kaksivaiheisen todennuksen ensimmäisenä tekijänä, kohdistavat jatkossakin näkövammaisille käyttäjille ja palvelimille.
Koska tämä kannustin hankkia arvokkaita tunnistetietoja, hyökkääjät käyttävät jo useita tapoja heikentää tämäntyyppistä kaksivaiheista todennusta. Yksinkertaisin uhka on haittaohjelma. Nämä hyökkäykset käyttävät haittaohjelmia huijatakseen käyttäjiä menemään väärennetylle verkkosivustolle, joka on ulkonäöltään lähes identtinen sen todellisen verkkosivuston kanssa, jolla käyttäjä todella halusi käydä. Käyttäjä syöttää tietämättään käyttäjätunnuksen ja salasanan väärälle sivustolle.
Esimerkiksi tutkijat pystyivät toteamaan, että HTC One Maxissa sormenjälkiä löydettiin vain tiedostojärjestelmän yleisestä osiosta. Ne sijaitsevat siellä kuin tavallinen suojaamaton grafiikkatiedosto. Samsung- ja Huawei-laitteissa tällaiset tiedot ovat myös haavoittuvia.
Miten hyökkääjät voivat toimia
Mikään ei estä hakkereita käyttämästä väärennettyjä lukitusnäyttöjä henkilöllisyytensä todentamiseen suosituimmissa maksujärjestelmissä. Tämän seurauksena he voivat siepata rahansiirrot ja varastaa rahaa.
Nyt se muodostaa yhteyden todelliseen verkkosivustoon ja lähettää pääsytietoja. Todellinen verkkosivu lähettää käyttäjälle tekstiviestin, jossa on vaadittu vahvistuskoodi tai salasana, jonka jälkeen käyttäjä syöttää nämä tiedot ymmärtämättä väärennetyn verkkosivun kirjautumisnäyttöön.
Hyökkääjä ohjaa käyttäjän oikealle sivustolle, jossa kaikki näyttää edelleen täysin normaalilta, mutta hyökkääjällä on nyt käyttäjän käyttöoikeustiedot ja siksi hänellä on täysi käyttöoikeus käyttäjän tiliin. Toinen hyökkäystaktiikka on numeroiden kantaminen. Tässä hyökkääjä tekee käyttäjän matkapuhelinoperaattorin ovelampi ja pakottaa sen lähettämään käyttäjän puhelinnumeron uudelle tilille, jota hyökkääjä hallitsee.
Yhteenvetona kaiken sanotun asiantuntijat korostivat seuraavaa: useimmat Android-pohjaisia mobiililaitteita valmistavista jättävät huomiotta TrustZone-teknologian, joka on suunniteltu erityisesti suojaamaan biometrisiä tietoja.
Kuten tiedät, vuoteen 2019 mennessä noin 50 prosentissa kaikista myydyistä mobiililaitteista on sormenjälkitunnistin. Tässä tapauksessa hyökkääjillä on erinomainen tilaisuus varastaa kaikki tiedot massalla. Lisäksi he voivat etäältä lisätä sormenjälkensä estääkseen pääsyn laitteeseen.
Naamioitumalla suojausvarmenteeksi troijalaiset voivat siepata ja välittää saapuvia tekstiviestejä. Siten hyökkääjillä on toinen keino siepata vahvistuskoodeja ja käyttää niitä luvattoman pääsyn saamiseksi käyttäjätileihin.
Tällä menetelmällä on mahdollisia haavoittuvuuksia. Ehkä suurin haaste kaksivaiheisessa laitteistotokeneja käyttävässä todennuksen yhteydessä on kuitenkin se, että niitä ei voida käyttää verkkopalveluihin älypuhelimien tai tablettien kautta. Tämä on vakava käytettävyysongelma ja rajoittaa siten käytettävyyttä ja tehokkuutta.
Asiantuntijat huomauttavat, että leijonanosassa Android-älypuhelimista on sormenjälkitunnistimet, jotka ovat vähemmän suojattuja kuin iPhonen anturit. Applen älypuhelimet voivat salata sormenjälkikuvan. Ja vaikka hakkereilla olisi pääsy tietoihin, he eivät voi lukea niitä, jos kryptografista avainta ei ole.
Yleensä puhelin ei kuitenkaan välitä, onko se oikea sormi vai kumiklooni. Mielenkiintoista on, että hakkeri Jan Krissler tietää tavan tehdä jopa kopio Saksan puolustusministerin sormenjäljestä... hänen valokuvistaan, jotka on otettu kolmen metrin etäisyydeltä.
Kirjautumisen aikana käyttäjä antaa käyttäjätunnuksen, mutta ei salasanaa. Heille tämä voi olla aikaa vievä ja turhauttava prosessi, joka viivästyttää rekisteröintiä. Tämä voi myös vaikeuttaa käyttäjien hyväksyä tätä menetelmää tai välttää sitä kokonaan.
Käytettävyyden puute on ollut suurin este kaksivaiheisen todennuksen käyttöönotolle, vaikka turvallisuus on tärkeää käyttäjätilien suojaamiseksi. Useimmat palvelut kysyvät niitä myös silloin, kun niitä käytetään, vain, kun käyttäjä kirjautuu sisään uudelta laitteelta. Tämä tarkoittaa, että lisävahvistusvaihetta ei tarvita ja käyttäjätilit ovat edelleen haavoittuvia. Tämä tarkoittaa myös sitä, että nämä palvelut tarkkailevat käyttäjien käyttäytymistä ja käytettyjä laitteita, mikä todennäköisesti rikkoo myös joitakin käyttäjiä.
Analyytikot uskovat, että tulevaisuudessa meidän pitäisi odottaa hakkereiden "metsästävän" biometrisiä tietoja. On aika tehdä jotain heidän suojelemiseksi.
Sormenjälkien biometria tietoturva- ja tietoturvajärjestelmissä
Tällä hetkellä sormenjälkien tunnistusteknologiat ovat omaksuneet kaikki biometriikan parhaat ominaisuudet. Sormenjälki tunnistaa tietyn henkilön, ei merkkiä tai korttia. Toisin kuin salasanaa, sormenjälkeä ei voi unohtaa tai siirtää toiselle, tahtomatta tai tahattomasti. Nykyaikaiset skannerit ovat oppineet toteamaan, että sormenjälki kuuluu elävälle ihmiselle, eikä heitä voida huijata asettamalla sormenjälki paperille, gelatiinille tai lasille.
Yksi menetelmä poistaa kaikki puutteet ja käytettävyysongelmat
Kaikki mainitut ongelmat huomioon ottaen kehittäjät saattavat ihmetellä, onko olemassa todella turvallista kaksivaiheista todennusmenetelmää ja voidaanko mitään menetelmää käyttää ilman, että käyttäjälle aiheutuu lisätaakkaa. Sen huippuluokan salaus- ja kirjautumisprosessi yksinkertaistaa huomattavasti kaksivaiheista todennusta ja antaa käyttäjille mahdollisuuden vahvistaa henkilöllisyytensä ja kirjautua turvallisesti palveluihin sekunneissa.
Sovellus voi toimia sekä pilvessä että erillisenä todennuspalvelimena omassa arkkitehtuurissasi ja samalla korkealla tietoturvatasolla. Yksityisen avaimen fyysinen ja laillinen omistajuus varmistetaan ja vahvistetaan yhdellä useista etsintäominaisuuksista. Tällä tavalla yksityinen avain voi allekirjoittaa digitaalisen allekirjoituksen, jota kutsutaan autentikaatioksi. Todennuspalvelin luo tämän tehtävän ja lähettää sen mobiililaitteeseen. Kirjautuminen ja todennus ovat ehdottoman yksinkertaisia.
Sormenjälkien tunnistamista varten sivuston vierailija asettaa sormensa skannerin päälle. Sormivarmennus suoritetaan infrapunavalaistuksen ja tietojen tallennuksen avulla erityisellä CCD-kameralla. Sormenjälkeä verrataan sekunnin murto-osassa tunnustietokannan sormenjälkeen.
Kasvojen biometria turva- ja tietoturvajärjestelmissä
Kirjaudu verkkosivulle tai mobiilisovellukseen muutamassa sekunnissa. Käyttäjät rekisteröityvät tavalliseen tapaan käyttämällä verkkosivustoa tai sovellusta. Käyttäjän on syötettävä ei-luottamuksellinen käyttäjätunnus ja salasana. Siksi käyttäjätunnusta pidetän ei-arkaluonteisena tiedona, koska sitä ei ole syytä pitää salassa.
Käyttäjän henkilöllisyyden vahvistamiseen on neljä mahdollista vaihtoehtoa. Tämä luo tiedon ja biometristen tietojen yhdistelmän turvallisuuden lisäämiseksi. Käytä todentamiseen vain mobiililaitteen yksityistä avainta. Tällä tavalla vain käyttäjä, joka omistaa käyttäjän mobiililaitteen, pääsee tililleen. Pääsy-symbolin painaminen vahvistaa tunnistamisen lopullisesti.
Biometrinen kasvojentunnistus on toiseksi suurin biometrinen tekniikka yleisyyden ja suosion suhteen. Kasvojen biometrian tärkein etu on kontaktiton tapa saada tunnistetietoja sekä suuri valikoima näiden tietojen lähteitä (valokuvat, videovalvontatiedot).
Tunnistamisen aikana biometrinen järjestelmä "löytää" ja käsittelee kasvojen tunnusomaisimmat piirteet ja alueet: silmien välisen etäisyyden, huulten, nenän, kulmakarvojen ääriviivat jne. Tämän tiedon perusteella muodostetaan digitaalisia tunnistemalleja, joita sitten verrataan keskenään.
Kun yksityisen avaimen omistajuus on vahvistettu, sovellus näyttää neljä kuvaketta. Tämän jälkeen käyttäjä napsauttaa verkkosivuston tai sovelluksen kirjautumisnäytössä olevaa kuvaketta. Tämä on viimeinen henkilöllisyyden tarkistus. Tämä tarkoittaa, että missään ei ole mitään, jonka rikolliset voisivat varastaa ja käyttää käyttäjätileihin tai tietoihin pääsyyn.
Kehittäjille tarjotaan erilaisia laajennuksia. Tämä sopimus kokoaa yhteen hakkerit, tietoturva-asiantuntijat ja vastaa tärkeimmistä virustorjuntataloista. Tätä menetelmää käytetään yhä enemmän huippuluokan älypuhelimissa, ja se näyttää olevan yksi turvallisimmista tunnistusmenetelmistä kaikkien tietojemme turvaamiseksi. Nämä ammattilaiset voivat käyttää sormenjäljellä suojatun matkapuhelimen kaikkea sisältöä joillakin suurimpien valmistajien päätelaitteilla, kuten edellä mainituilla.
Biometria perustuu käden muotoon
Biometriseen tunnistamiseen käden muotoon kuuluu henkilön käden profiilin vertaaminen aiemmin saatuun näytteeseen. Tärkeimmät vertailutiedot ovat kämmenen koko sekä sormien pituus, leveys ja paksuus.
Tunnistusprosessiin kuuluu kätesi asettaminen lukulaitteen paneelille (tässä tapauksessa erityiset puristimet auttavat korjaamaan sen asennon). Sen jälkeen kämmen valaisee infrapuna-CCD-kameralla. Ja televisiokameran näkymään putoavien sivupeilien ansiosta järjestelmä vastaanottaa tietoa käden paksuudesta ja mitoista. Saatua tietoa verrataan otokseen. Varmistusaika on yleensä alle 1 sekunti.
Useat tekijät tekevät järjestelmän heikoksi
Ajantasaisuus ja päivitys on edelleen yksi parhaista ennaltaehkäisevistä toimenpiteistä, vaikka joskus kaikki ei riipu hyvästä käyttäjän suorituskyvystä. Hakkerit eivät vain hyödynnä käyttöjärjestelmän haavoittuvuuksia, vaan myös "valmistajien kokemuksen puutetta sellaisten turvajärjestelmien toteuttamisesta, jotka eivät aina käytä parasta tekniikkaa". Kolmannet osapuolet voivat helposti löytää sekä kuvion että numeerisen lähdön ja salasanan, jos emme huolehdi niiden toteuttamisesta, mikä on samankaltaista kuin neuvo, että aseta kätesi syöttääksesi merkki pankkiautomaattiin.
Sivellintunnistusta käytetään harvoin, koska se on helposti alttiina väärennöksille nukkeja käyttämällä.
Biometrinen tunnistus iiriksen avulla
Silmän iiris on jokaisen ihmisen ainutlaatuinen biometrinen ominaisuus. Se muodostuu ensimmäisen puolentoista vuoden aikana ja pysyy käytännössä muuttumattomana kuolemaan asti. On mahdotonta löytää kahta täysin identtistä iiriskuviota, edes kaksosilta. Siksi se on erinomainen biometrinen tunniste.
Toisin kuin pankkiautomaatti, jollakin näistä menetelmistä suojatun älypuhelimen käyttäjän on syötettävä avaimensa joka päivä useaan otteeseen ja eri ympäristöissä. Tämä epämääräinen tunne jatkui, kunnes näimme kuinka joku pystyi avaamaan terminaalin lukituksen yksinkertaisella valokuvalla älypuhelimen omistajan kasvoista. Henkilö, jolla on samankaltaisia ominaisuuksia kuin sinulla, voi avata puhelimen lukituksen.
Matkapuhelimen lukituksen avaaminen ulkonäöllä
Silmäntunnistusta käyttävä lukituksen avausmenetelmä on näköpiirissä. Asiakirjapetosten ja identiteettivarkauksien, uusien uhkien, kuten terrorismin tai tietokonerikollisuuden, sekä ymmärrettävien kansainvälisten säännösten muutosten edessä otetaan vähitellen käyttöön uusia teknisiä ratkaisuja. Yksi näistä teknologioista, biometriikka, on nopeasti vakiinnuttanut asemansa sopivimpana välineenä ihmisten nopeaan ja luotettavaan tunnistamiseen ja todentamiseen ainutlaatuisten biologisten ominaisuuksien avulla.
Menetelmät henkilön tunnistamiseksi iiriksen perusteella rakentuvat samalle periaatteelle - "kuvataan" henkilön iiris kameralla ja poimitaan kuvasta taajuus tai mikä tahansa muu tieto iiriksen tekstuurista ja tallennetaan tämä tieto erityiseen muotoon. koodi.
Varmentaminen tapahtuu vertaamalla saatuja tietoja otokseen.
Tällä hetkellä monet sovellukset käyttävät tätä tekniikkaa. Se oli aiemmin varattu arkaluonteisiin sovelluksiin, kuten sotilaalliseen turvallisuuteen, mutta nyt se kehittyy nopeasti julkisissa sovelluksissa. 
Biometriikka on tiedettä, joka analysoi kunkin henkilön fyysisiä ominaisuuksia tai käyttäytymistä yksilöllisyyden todentamiseksi.
Kirjaimellisessa ja yksinkertaisimmassa merkityksessään biometriikka tarkoittaa "ihmiskehon mittaamista". Biometrisiä teknologioita on kaksi luokkaa. Ne voivat olla morfologisia tai biologisia. Morfologinen analyysi koostuu pääasiassa sormenjäljistä, käden muodosta, sormen muodosta, suonen rakenteesta, silmien ja kasvojen muodosta.
