Что такое биометрический логин
Почему биометрическая авторизация нам не грозит
По долгу службы я занимаю согласованием технического задания по разработке мобильного приложения с заказчиком. Часто задается вопрос — а можем ли мы авторизоваться в приложении по биометрическим показателям, таким как лицо или отпечаток пальца? Есть несколько различных аргументов, но все они неутешительны. В статье я хочу все же до конца объяснить, почему биометрические характеристики при авторизации в информационных системах не работают, и почему работают на персональных устройствах.
Объем данных
Не смотря на то, что мы живем в век BigData, на сегодняшний день мы не можем обеспечить авторизацию по биометрическим показателям через бэкенд сервис. Первая причина банальна — объем данных. Дело в том, что стандартная связка логин-пароль занимает порядка 30-60 символов, и для передачи по сети это ничтожный объем. В то же время, для передачи качественного скана пальца нам придется отправлять фактически изображение приличного размера. Если провести аналогию с черно-белыми картинками, изображение 1024*1024 пикселя с глубиной скажем, в 8 бит, будет занимать на порядки больше места, чем стандартная связка логин-пароль. А при авторизации по скану лица, объем вырастает еще в порядки.
Но даже не передача такого количества информации является здесь ключевой проблемой. Дело в том, что для авторизации нам понадобится выгрузить в память бэкенда все отпечатки всех пользователей, что, скажем, при наличии 1000 пользователей теоретически еще возможно, но при миллионе пользователей — совсем не тривиальная задача для любого матерого бэкенда.
Аргументом в защиту обычно следует хэширование данных, при котором любую сущность данных можно описать при помощи строки фиксированной длины. И тут мы сталкиваемся со следующей проблемой, которая окончательно добьет любую самую производительную систему.
Нечеткое сравнение
Все дело в том, что при авторизации по паролю мы должны в точности этот пароль воспроизвести. Данные при этом будут передаваться и храниться в виде хеша этого пароля (пояснение — это такая строка, которую можно получить из пароля, но технически очень сложно сделать обратное — это обеспечивает защищенность конфиденциальных данных). В связи с тем, что одно из ключевых правил хеша — затруднительность дешифровки, даже очень похожие пароли будут выдавать совершенно разные хеши. Например, вот несколько хешей для очень похожей комбинации символов(алгоритм SHA512):
password — b109f3bbbc244eb82441917ed06d618b9008dd09b3befd1b5e07394c706a8bb980b1d7785e5976ec049b46df5f1326af5a2ea6d103fd07c95385ffab0cacbc86
passwor — cc28edf8bd1e768a03fd79cb48230dd13e082da4ff260526ad7a00b28f5f82a8624a05997040bb6ae501cbfeb7e089778de36f1fd4e56efb9356b02b675a9db8
Password — e6c83b282aeb2e022844595721cc00bbda47cb24537c1779f9bb84f04039e1676e6ba8573e588da1052510e3aa0a32a9e55879ae22b0c2d62136fc0a3e85f8bb
Рassword — 4846ee019bb2f83122c6aeaf92e61e9b5dcab8f4be0ffcaaa024cc1f992b7543b0dc1cc32bb68d29fca86753667b3a0cf7c712255907b1b8aeba2085dca74d6b
В последних двух парах в слове Password латинская буква P заменена на русскую Р. Как мы видим, строки получаются абсолютно разные, и при вводе пароля мы не сможем сравнить даже практически не различающиеся символосочетания.
Биометрические сканеры не позволяют считывать данные со 100% точностью. Прикладывая палец, смещение на доли миллиметров, изменения силы нажатия, травмы и другие побочные действия всегда слегка изменят получившийся рисунок, и сканы одного и того же пальца или лица всегда будут немного (или значительно) различаться.
Мы научились распознавать ключевые элементы и производить сравнение по наличию и размещению этих ключевых элементов.
Apple обещает распознавание до 30 000 ключевых точек по технологии face ID. Однако это совсем не значит, что все эти точки должны однозначно совпадать.
Как же работает биометрическая авторизация?
Дело в том, что для авторизации по отпечатку пальца или лицу используется нечеткий поиск.
Это такой поиск, при котором мы ищем не полностью совпадающие элементы (как это возможно при хешировании паролей), а сущности, наиболее похожие друг на друга. Скажем, для авторизации по отпечатку пальца, точность в повторении рисунка в 90 процентов — очень хороший показатель, и практически он означает, что перед нами и есть истинный владелец отпечатка. Тем не менее, его отпечаток на 10 процентов состоит из абсолютно других данных, в связи с чем мы получаем абсолютно другой хэш и теряем возможность безопасного хранения данных. Более того, данные придется хранить целиком — хэш функция, выдающая близкие значения для похожих символьных сочетаний не отвечает правилам безопасности и не может считаться сейчас хорошей хэш функцией.
Но даже если мы сможем каким-то образом описать данные с помощью «нечеткого» хэша, у нас возникает другая, еще более нетривиальная проблема.
Схожесть биометрических показателей
Всем попадись на жизненном пути люди, поразительно похожие на ваших знакомых. Существуют народности, в которых вообще типажей очень мало и вероятность совпадения еще более усугубляется. Для отпечатков пальца вероятность 100% совпадения — 1 к 64 000 000 000 (данные могут быть не точными, но вероятность действительно крайне мала). Но при нечетком поиске ситауция выглядит совсем иначе.
Представьте ситуацию — вас покусали пчелы! Совершенно точно, что ваше опухшее лицо с большей вероятностью будет похоже на кого-то другого, чем на вас самих.
Если мы рассматриваем авторизацию среди сотен миллионов пользователей, система нечеткого поиска запросто может подобрать человека, больше похожего на вас на фотографии, чем вы сами.
Но даже если мы сумеем распознавать лицо с абсолютной точностью, даже если мы сможем сравнивать отпечатки со 100% совпадением, есть еще одна, наиболее существенная проблема, решить которую мы совершенно точно не можем.
Компрометация данных
Наличие наших уникальных биометрических характеристик, позволяющих 100% идентифицировать пользователя — это как большой плюс, так и главный минус. Такой подход означает, что вы не можете поменять биометрические характеристики как пароль — они заложены в вас с рождения. Существует куча различных медицинских практик изменения этих характеристик, но мы совершенно точно не будем заниматься экспериментами со здоровьем при каждой утечке данных.
Более того, наши биометрические данные всегда доступны стороннему наблюдателю — мы постоянно оставляем отпечатки пальцев, фотографии лица, частички наших днк в волосах и ногтях. Мы делаем это ежеминутно, даже не задумываясь об этом.
Представьте ситуацию — распознавание лица на мобильном устройстве 15 лет назад. В эпоху камеры в 0.3 мегапикселя получить качественную фотографию лица было очень проблематично для мобильных устройств. Сегодня же, любой дешевый смартфон повысил качество фотографии в сотни раз. Это значит, что с помощью современной техники подделать изображение лица на порядок проще, чем несколько лет назад. Бесконечная гонка за улучшением внешних сканеров только усугубляет проблему, и мы будем вынуждены обновлять данные авторизации с выходом новых способов подделки.
Если ваши данные «утекут» в руки злоумышленников — вы не сможете мгновенно заменить эти данные, и даже если так, уведомить все системы о компрометации очень затруднительно. Гораздо проще использовать различные пароли для авторизации в разных системах, не так ли?
Подытожу, вот несколько ключевых трудностей в авторизации биометрическими методами
— большой объем данных
— нечеткое сравнение
— схожеть показателей у разных людей
— высокая вероятность компрометации
Тем не менее, использование биометрических данных в персональных девайсах оправдано. Ни одна из вышеописаных проблем не проявляется в маленьких выборках участников, поэтому за безопасность можно быть относительно спокойным. Более того, крупные игроки используют дополнительную подстраховку в виде пароля. Huawei при использовании биометрической разблокировки просит ввести пароль каждые три дня. Банковские приложения используют биометрическую аутентификацию при уже выполненной авторизации в интернет банк, таким образом лишь добавляя дополнительную защиту к использованию приложения. Биометрическая авторизация при выполнении финансовых операций не используется (если вам известно обратное, дайте знать, крайне интересно узнать позицию компанию, принявших на вооружение такую практику).
Для чего российские банки собирают биометрию, стоит ли ее сдавать и как это сделать
Летом 2018 года крупные российские банки начали собирать биометрические данные — записи голоса и изображения лиц — своих клиентов для удаленной идентификации. Предполагается, что с помощью них людям будет проще воспользоваться услугами банками — вкладами, кредитами и другими — не выходя из дома. Но люди сомневаются в сохранности своих данных, а банки — медленно развивают услуги, связанные с ними.
В этой статье я расскажу о том, для чего банкам в нашей стране нужны биометрические данные и о том, как происходит сам процесс их сбора. Для этого я сам решил «засветить» свое лицо в одном из отделений Почта Банка — этот банк одним из первых начал собирать биометрию своих клиентов. В будущем я расскажу, как и где можно воспользоваться собранными данными для оформления финансового продукта.
Что такое биометрические данные?
У каждого человека есть набор уникальных физиологических характеристик, по которым можно установить его личность. К ним относятся отпечатки пальца, изображение лица, радужная оболочка глаза, структура ДНК и некоторые другие. Такие характеристики называются биометрическими данными. За счет их уникальности такие данные часто используются для идентификации граждан.
Разные биометрические данные отличаются особенностями своего применения и своей надежностью. Это ограничивает их использование в разных сферах деятельности:
Различные биометрические данные уже давно применяются для подтверждения операций и доступа к услугам в разных странах мира — в том числе в финансовой сфере. К примеру, распознавание клиентов по голосу применяет несколько крупных банков – британский Barclays, сингапурский DBS, азиатско-тихоокеанское подразделение Citigroup и некоторые другие. В Индии активно работает система идентификации Aadhaar, в которой хранятся отпечатки пальцев и снимки радужной оболочки глаз более чем 99% населения страны. В 2018 году платежные системы Visa и MasterCard тестируют банковские карты со считывателями отпечатков пальцев. Сейчас об активном применении биометрии задумываются и в России.
Для чего российские банки собирают биометрию?
Работа над системой хранения и использования данных началась еще в 2017 году. С 1 июля 2018 года была запущена Единая биометрическая система — база, в которой хранятся биометрические данные граждан. Тогда же начали прием биометрии несколько крупных банков — Сбербанк, Альфа-Банк, ВТБ, Почта Банк, Райффайзен и другие. Разработчиком и оператором системы выступает Ростелеком — он обрабатывает данные и обеспечивает их безопасное хранение.
Сейчас в биометрическую систему можно сдать запись голоса и изображение лица. По этим данным можно идентифицировать человека как в отделении, так и удаленно — например, по телефону или через мобильное приложение. Возможно, в будущем в системе будут храниться и другие параметры — отпечатки пальцев или снимки радужки глаза.
К октябрю 2018 года к ЕБС подключено более 400 крупных банков по всей стране. Немного позднее доступ к биометрическим данным получили коллекторы — с помощью них проще определить личность должника, и ситуаций, когда взыскатели начинают требовать долг от постороннего человека, должно стать меньше. Система привязана к ЕСИА – Единой системе идентификации и аутентификации для доступа к госуслугам. В дальнейшем она станет доступна и другим организациям и службам — например, полиции или учреждениям здравоохранения.
Как происходит сдача биометрии?
Узнать, где в вашем городе можно сдать свои голос и лицо, можно с помощью карты на сайте Центробанка. Здесь можно найти список отделений банков с адресами и временем работы. Список постоянно расширяется, в нем появляются новые отделения и банки.
Если вы не являетесь клиентом банка, то для вас бесплатно откроют счет. Оформлять какие-либо другие продукты банка — например, кредиты или карты — не нужно. Если у вас нет аккаунта на Госуслугах, то его также бесплатно зарегистрируют в отделении.
В процессе сбора мне немного не повезло. Сначала по какой-то причине программа для сбора неправильно записала голос. Потом была проблема с фотографией — система по непонятной причине не хотела распознавать мое лицо. Сотрудник сказал мне, что это нормально — процесс записи сильно зависит от обстановки в отделении, данных человека, стабильности рабочего компьютера и многих других параметров. Поэтому советую обращаться за сдачей заранее, так как на нее может уйти много времени — до полутора часов.
Через несколько минут после сдачи мне пришло SMS о том, что моя биометрия успешно внесена в ЕБС. Больше ничего регистрировать не нужно — в системе уже создали учетную запись, привязанную к моим паспортным данным.
Если система по какой-то причине отклонила вашу биометрию, то вы можете сдать ее заново — сразу же или через некоторое время.
Как использовать биометрию при оформлении банковских продуктов?
Теперь, после сдачи своих данных в ЕБС, я смогу воспользоваться ими для удаленного доступа к банковским услугам. Сделать это можно будет в интернет-банке или мобильном приложении банка-участника системы. Во втором случае также нужно будет установить дополнительное приложение для доступа к ней.
Чтобы воспользоваться биометрией для оформления банковского продукта – например, вклада или кредита – нужно будет указать свой логин и пароль в ЕСИА, произнести кодовое слово и показать в камеру свое лицо. Система сопоставит данные с имеющимися образцами, после чего сообщит о результатах. Если они совпадут, то банк продолжит оформление продукта. Всю необходимую информацию он подгрузит из ЕСИА.
Несмотря на то, что ЕБС запущена уже давно, использование биометрии поддерживают не все банки. Возможно, причина в том, что в базе пока очень мало данных – люди не доверяют такому способу подтверждения личности и не хотят «светить» голосами и лицами. Мы будем следить за развитием биометрической системы и рассказывать о банках, которые начали ее применять для оформления своих продуктов.
Безопасно ли сдавать биометрию?
Сразу после первых новостей о начале сбора банками биометрии появились люди, которые начали сомневаться в надежности хранения своих данных. С одной стороны, они боялись, что дырами в системе могут воспользоваться мошенники – в том числе, подставные люди в банках – чтобы оформлять на посторонние лица кредиты. Другие опасаются того, что система не сможет правильно распознать человека из-за изменений в голосе (например, при простуде) или во внешности (например, после пластической операции или травмы).
К примеру, индийская биометрическая система Aadhaar, которую я упомянул ранее, оказалась очень ненадежной. Несколько раз злоумышленники «сливали» в открытый доступ информацию из нее. К 2018 году в свободном доступе оказались данные более чем миллиарда граждан.
Конечно, уже сейчас можно достаточно точно смоделировать внешность любого человека и даже подделать его голос. Чтобы распознавать и отметать имитации, ЕБС вводит дополнительные методы подтверждения личности. Она обращает внимание на выражение лица, расположение камеры, интонацию и другие параметры, которые могут показать, что к системе обращается сам клиент, а не имитация. Иногда нужно будет ответить на контрольные вопросы или совершить дополнительные действия – например, дотронуться до мочки уха. Так дополнительно будет подтверждаться факт того, что с системой взаимодействует реальное лицо.
Тем не менее, #ВсеЗаймыОнлайн рекомендует: сочетайте биометрию с другими способами защиты данных и подтверждения операций — PIN-кодами, одноразовыми паролями, кодовыми фразами и другими. Возможно, банки и ЕСИА позволят сочетать разные способы подтверждения между собой. Так вы сможете избежать проблем при неправильном подтверждении личности и защитить вашу биометрию.
Вопросы и ответы
Пока ответа на этот вопрос нет, так как решений для оформления кредитов через ЕБС пока не разработано. Возможно, документы будут предоставляться онлайн (потребуется электронная подпись) или через отделение любого банка, имеющего доступ к биометрической базе.
Да, вы можете в любое время удалить свою запись из биометрической системы. Для этого достаточно отправить заявку через личный кабинет в Госуслугах.
Заключение
Биометрическая система, которую используют банки, сейчас нуждается в развитии и доработке. Нужно наладить процесс сбора данных — ускорить его и исключить возможные ошибки. Банкам и финансовым организациям нужно реализовать инструменты, которые позволят воспользоваться этой информацией. Потребуется время на то, чтобы люди привыкли к биометрии и стали больше доверять ей. Разработчики и участники ЕБС планируют решить большую часть этих проблем к концу 2019 года.
#ВсеЗаймыОнлайн продолжит следить за развитием российской биометрической системы. Мы расскажем вам обо всех изменениях и новых продуктах, связанных с ней. Я надеюсь, что биометрическая система при правильном развитии станет удобным и безопасным инструментом, и найдет применение не только в банковской, но и в других сферах.
Источники
А что думаете о сдаче биометрии вы? Успели ли вы уже «сдать» лицо и голос банкам? Делитесь своими мнениями о биометрической системе в комментариях.
CEO #ВЗО. С 2011 года плотно изучает тему финансов, в 2017 году получил высшее образование по направлению «Финансы и кредит» со степенью магистра. Руководит проектом, управляет главами отделов и отвечает за создание новых сервисов.