Biometrie Budoucnost autentizace?

Dnes čtu článek publikovaný Matem Honanem v Kabelové kvalifikovaný „Zabijte heslo: Proč nás řetězec znaků už nemůže chránit“ (což do našeho jazyka přeloženo je: „Zabíjení hesla: Proč nás už řetězec znaků nemůže chránit?“), vzpomněl jsem si na rozhovor před několika dny s některými členy této komunity, ve kterém bylo zmíněno, jak málo rozšířené použití čteček otisků prstů slouží jako mechanismus autentizace, zejména v nejpoužívanějších mobilních zařízeních a výhodách, které by jejich použití poskytlo.

Dotyčný článek představuje nedávné příklady hackerů účtů některých uživatelů (včetně autora článku), zdůrazňuje skutečnou neschopnost hesel a současné mechanismy ověřování a ověřování k ochraně našich informací a soukromí a argumentuje důvody toto tvrzení, všechny velmi platné a které lze shrnout do čtyř velkých skupin:

1. - Zvýšení kapacity zpracování, která umožňuje hackování hesel pomocí slovníků hrubou silou a hesel dostupných v síti. No tak, s kapacitou současných CPU a GPU, pomocí široce dostupných hackerských programů hrubou silou, se slovníky, které se snadno dostaneme do sítě, je jen otázkou času, než se někomu podaří najít heslo šifrovaného souboru , i když je údajně „bezpečný“, protože obsahuje písmena, číslice a další znaky, se zhoršením toho, že se tyto kapacity v budoucnu budou nadále zvyšovat.

2.- Opětovné použití hesel stejným uživatelem. Co jsme kdy udělali? Stejný e-mailový účet používáme k autentizaci v různých službách, dokonce používáme stejné uživatelské jméno a heslo, když se registrujeme na různých místech v síti, kromě toho, že naše účty „řetězíme“ se stejnou „záložní“ e-mailovou adresou, čímž že pokud někdo získá přístup k jednomu z našich účtů, získá přístup prakticky ke všem.

3. - Používání phishingu a malwaru ke krádeži hesel. Tady, co nejvíce ovlivňuje zdravý rozum uživatele, protože pokud obvykle klikáte na odkazy na to, kolik e-mailů dostáváte nebo kolik stránek navštěvujete, jste vystaveni tomu, abyste sami poskytli informace, které budou později použity proti vám.

4.- Využití „sociálního inženýrství“. Existují zde dva široce používané aspekty. Na jedné straně stále více a více umisťujeme svůj život na síť: Facebook, Linkedin, osobní blogy atd. zpřístupnit každému podrobné podrobnosti o našich životech (kde studujeme, kdo jsou naši přátelé, jméno našeho mazlíčka atd. atd.), což jsou ve většině případů odpovědi na ověřovací otázky téměř všech služeb v které registrujeme. Na druhou stranu schopnost hackerů používat nástroje sociálního inženýrství k interakci se službami zákazníkům jim umožňuje dosáhnout relativně snadno, s využitím informací, které o nás mají, přesvědčit tyto služby o tom, že jsou skutečnými uživateli, a získat zadržení našich účtů.

S rozvojem informační společnosti je nepopiratelným faktem, že naše přítomnost na internetu bude i nadále růst, zatímco ve větší míře budeme záviset na využívání online služeb pro náš každodenní život, což přispělo k úmyslu proměnit mobilní telefony v elektronické peněženky za použití technologie NFC (Near Field Communication) jsou ingredience pro dokonalou bouři z hlediska bezpečnosti, které nelze zabránit pomocí jediného použití hesel a ověřovacích mechanismů, jako jsou ty současné .

Stejně jako ve všech záležitostech, které se týkají zabezpečení, je nutné vytvořit kompromis mezi silou mechanismu ověřování versus snadným použitím a ochranou soukromí dané služby. Bohužel zatím snadné použití zvítězilo nad silou autentizačních mechanismů.

Zdá se, že existuje shoda v názoru, že řešení tohoto problému spočívá v kombinaci hesel, analýze vzorců používání a používání biometrických zařízení k zajištění procesu autentizace, který uživatelům usnadní život, s více ověřovacími mechanismy. ty současné.

Někteří poskytovatelé služeb v síti již začali používat vzorce používání jako doplněk k heslům, a proto nás například při přístupu k našemu účtu Gmail z jiné IP adresy, než kterou obvykle děláme, pošle na ověřovací obrazovku jiným způsobem (telefonním hovorem nebo textovou zprávou) ověřit, že jsme legálním uživatelem účtu. V tomto ohledu se zdá, že existuje shoda, že je jen otázkou času, kdy většina poskytovatelů služeb v síti přijme podobné varianty.

Stále chybí, že používání biometrických mechanismů nebo zařízení jako součást autentizace se nezačalo implementovat, existují různé formy, od těch nejjednodušších, jako je rozpoznávání hlasových vzorů nebo rozpoznávání obličeje (plně spustitelné softwarem) a pro které mobilní zařízení již mají potřebný hardware (mikrofony a fotoaparáty), dokonce i ty nejsložitější, jako jsou čtečky otisků prstů nebo snímače duhovky.

Přestože v tomto ohledu již byly podniknuty určité kroky, například rozpoznávání obličeje pro odemčení mobilních telefonů v některých telefonech Android nebo nedávný nákup společnosti AuthenTec, která se specializuje na tyto problémy, společností Apple, jeho použití nepřekračuje rámec anekdotické a Co je znepokojivější je to, že o integraci těchto forem autentizace se službami v síti ještě nezačalo diskutovat.

Podle mého názoru je rozpoznávání obličeje nebo hlasu, i když jsou nejsnadněji implementovatelné a nevyžadují další hardware, nejméně bezpečnými metodami, zatímco skenery iris jsou zcela nemožné integrovat do mobilních zařízení, což nám ponechává nejlepší volbu pro otisky prstů čtenáři, což by vzhledem ke zmenšeným rozměrům a množství „klíčů“ bylo dokonalým řešením; Vysvětlím: pokud jsme chraptiví kvůli chřipce nebo jsme utrpěli nehodu nebo máme poranění obličeje, hlas nebo rozpoznávání obličeje by bylo komplikované, zatímco pomocí čtečky otisků prstů můžeme nakonfigurovat použití několika prstů, takže Nehoda v jednom by nám nebránila v přístupu k našim datům a službám.

V současné době již existují některé notebooky, které integrují čtečky otisků prstů do své konfigurace, aniž by si všimly podstatného zvýšení cen u těchto modelů, což nám umožňuje odvodit, že jejich náklady nejsou významné, a to navzdory skutečnosti, že jejich používání nebylo rozšířeno. Na druhou stranu, bohužel v současné době existuje jen velmi málo mobilních zařízení, která mají čtečky otisků prstů a jejich integrace se v nich nejeví jako trend.

Některé názory naznačují, že se potýkáme s klasickou situací kuřat a vajec: čtenáři nejsou do zařízení integrováni, protože síťové služby je nepoužívají jako mechanismus autentizace, ale naopak je síťové služby nepoužívají jako autentizaci mechanismu kvůli malý počet zařízení, která je mají standardně integrována. Zdá se, že to je gordický uzel, který si v tuto chvíli nikdo nedovolí uříznout.

Kromě této impasy, v níž se nacházíme, si myslím, že je třeba vyřešit situaci při jejím provádění, a to je zavedení nezbytných norem pro používání otisků prstů při ověřování, to znamená, že čtečka otisků prstů skenuje obrázek az musí být vygenerován druh elektronického podpisu, což je ten, který by byl odeslán do služby jako „heslo“ pro autentizaci, takže algoritmus pro generování tohoto podpisu musí zaručit, že různí čtenáři vygenerují stejné podpisy stejné stopy, bez újmy na bezpečnosti a to se nezdá být něco jednoduchého.

Ano, vím, že v tomto okamžiku někteří vyvedou to, co viděli ve filmu, kde zvednutím otisku prstu na sklenici se jim podaří použít jej pro přístup k instalaci, ale toto, kromě velkolepého výsledku na obrazovce, dělá ne Nemyslím si, že se to stane módou, o kterou bychom se měli v budoucnu starat; Pokud jeden z nás není agentem 007 nebo nemá přístupové kódy do Fort Knox.

Jak říká autor článku, který vede k tomuto příspěvku, prvním krokem při řešení problému je uznání jeho existence, aby bylo možné začít navrhovat řešení, a přesně o to jde. Doporučuji všem, kteří si mohou přečíst článek, na který odkazuji, protože je velmi ilustrativní a také příjemně čitelný (což bohužel ti, kteří neumí anglicky, si ho nebudou moci užít), s další motivací obsahovat některé perly toho, jak hackeři přiměli „renomované“ služby k získání přístupu.

Souhlasíte s mým názorem nebo jste jedním z těch, kteří stále věří, že nám hesla stačí?