Прячьте "пальчики": насколько уязвима биометрическая аутентификация
МОСКВА, 1 окт – РИА Новости. Антон Поляков. События последних дней показали, что и банки, и мошенники активно готовятся к внедрению биометрических средств аутентификации. Первые желают добавить удобств своим клиентам при оплате покупок, работе с банкоматами и общении с представителями банка, а вторые прицениваются к появляющимся биометрическим скиммерам. Насколько надежна аутентификация по биометрическим данным и как видят проблему в профессиональной среде – в материале РИА Новости.
Среди биометрических технологий, с которыми экспериментируют банки, значится аутентификация по голосу, чертам лица, радужной оболочке глаз, но наибольшее предпочтение отдается сканированию отпечатков пальцев. И именно этот вариант сейчас подвергается самой большой критике. Производители постоянно совершенствуют дактилоскопические сенсоры, что приводит к их удорожанию. При этом дешевые модели датчиков можно обмануть даже без использования специальных средств.
Так, одному из энтузиастов удалось обойти сканеры на смартфонах SamsungGalaxy S6 и Huawei Honor 7 путем распечатки на принтере специальными серебряными чернилами фотографии папиллярного узора. Вся операция заняла около пятнадцати минут.
А ведь сканеры на смартфонах предназначены не только для его разблокировки. Они также используются для подтверждения крупных платежей в магазинах с использованием сервисов Samsung Pay и других подобных.
Однако датчик-датчику рознь. На сегодняшний день можно выделить четыре типа дактилоскопических сенсоров: оптические, емкостные, линейные тепловые и радиочастотные. Самые простые и наименее защищенные – оптические. Чуть сложнее мошенникам с емкостными, которые устанавливаются, в том числе, на смартфоны. Но вышеописанная история с Galaxy 6 и Honor 7 показывает, что они также не могут обеспечить надежную защиту. Тепловые и радиочастотные датчики более надежны. Первые строят картину по температурам папиллярного узора и воздуха во впадинах между рисунком. Вторые проводят ультразвуковое сканирование. Оно регистрирует не только внешний узор, но и реагирует на структуру кожи. Вдобавок такие сканеры могут определять пульс, что дополнительно усиливает защиту от использования муляжей.
Также есть тип датчиков, сканирующих рисунок вен внутри пальца. Но они пока еще мало распространены.
Несмотря на развитие технологий, эксперты относятся к вопросам биометрической аутентификации с рядом оговорок. Константин Новиков, коммерческий директор компании "ЕкейРУС биометрические системы", утверждает, что в разных ситуациях должны использоваться разные типы датчиков: "Чем выше уровень необходимой безопасности, тем больше требований к биометрической системе в области технологий сканирования. Если речь идет об использовании мобильного телефона, то можно не обращать внимания на тип сенсора, поскольку телефон находится в руках владельца, и сканер защищает аппарат от использования близким кругом знакомых. В случае утери или кражи смартфон можно заблокировать".
"Если речь идет об объектах с биометрическим контролем и удаленным доступом, то применение простых сканеров допустимо только вкупе с видеонаблюдением и другими комплексами мер обеспечения безопасности" — комментирует Новиков.
В этом плане использование оптических датчиков в терминалах оплаты, которые на днях были установлены в одном из магазинов сети "Азбука вкуса" в партнерстве со "Сбербанком", может вызывать определенное недоверие. Однако эксперты спокойны: "хотя терминалы и оснащены оптическими сканерами, применение муляжей невозможно, поскольку процесс контролируется кассирами, и безопасность в данном случае зависит только от самой биометрической системы" — поясняет специалист.
Сам "Сбербанк" намерен активно развивать биометрическое направление и продолжает внедрять биометрические технологии в ритейле, а также планирует запустить систему идентификации клиентов по голосу.
Но главное в этой истории то, что отпечатки можно легко похитить. Для изготовления муляжа или перчатки с распечатанным на ней узором, мошенникам достаточно качественной фотографии ладони. Вдобавок остро стоит проблема скомпрометированных биометрических данных. Ведь в большинстве случаев человек будет вынужден отказаться от такого способа аутентификации. При этом в "Азбуке вкуса" отметили, что все случаи мошенничества с биометрией будут расследоваться по схемам, использующимся для рассмотрения дел по транзакциям без присутствия карты. Что означает перенос ответственности на владельца терминала или самого покупателя.
В итоге волноваться пока стоит только владельцам смартфонов в случае их похищения. С другой стороны, в экосистемах Google и Appleпредусмотрена удаленная блокировка аппаратов и удаление всех данных, что сглаживает проблему. А по части применения биометрии в банковской сфере мнения экспертов разделяются. И расставить все точки над i поможет лишь статистика.