ביומטריה עתיד האימות?

היום קורא מאמר שפרסם Mat Honan ב קווית שכותרתו "הרוג את הסיסמה: מדוע מחרוזת דמויות לא יכולה להגן עלינו יותר" (שתורגם לשפתנו הוא: "להרוג את הסיסמה: מדוע מחרוזת דמויות לא יכולה להגן עלינו יותר?"), נזכרתי בשיחה לפני כמה ימים עם כמה מחברי הקהילה הזו בה הזכירו כמה מעט נפוצה השימוש בקוראי טביעות אצבע הוא כמנגנון אימות, במיוחד במכשירים הניידים הנפוצים ביותר והיתרונות שהשימוש בהם יספק.

המאמר הנדון מציג דוגמאות עדכניות לאופן בו נפרצו חשבונותיהם של משתמשים מסוימים (כולל מחבר המאמר), והדגישו את חוסר היכולת האמיתית של סיסמאות ומנגנוני אימות ואימות עכשוויים להגן על המידע והפרטיות שלנו. והוא טוען את הסיבות להצהרה זו, כולן תקפות מאוד וניתן לסכם אותן בארבע קבוצות גדולות:

1.- הגדלת יכולת העיבוד המאפשרת פריצת סיסמאות באמצעות מילים כוח אכזריות וסיסמאות הקיימות ברשת. קדימה, עם היכולת של המעבדים הנוכחיים ו- GPUs, המשתמשים בתוכניות פריצה זמינות בכוח אכזרי, עם מילונים שנוכל להשיג בקלות ברשת, זה רק עניין של זמן עד שמישהו יצליח למצוא את הסיסמה של קובץ מוצפן , גם כאשר הוא כביכול "בטוח" מכיוון שהוא מכיל אותיות, מספרים ותווים אחרים, עם ההחמרה שיכולות אלה ימשיכו לגדול בעתיד.

2.- שימוש חוזר בסיסמאות על ידי אותו משתמש. מה עשינו אי פעם? אנו משתמשים באותו חשבון דוא"ל כדי לאמת את עצמנו בשירותים שונים, אפילו, אנו משתמשים באותו שם משתמש וסיסמה כאשר אנו נרשמים במקומות שונים ברשת, בנוסף ל"שרשור "חשבונותינו באותה כתובת דוא"ל" גיבוי ", ובכך שאם מישהו מקבל גישה לאחד החשבונות שלנו, הוא כמעט מקבל גישה לכולם.

3.- שימוש בפישינג ותוכנות זדוניות לגניבת סיסמאות. הנה, מה שהכי משפיע על ההיגיון הבריא של המשתמש, מכיוון שאם בדרך כלל לוחצים על הקישורים כמה דואר אתם מקבלים או כמה עמודים אתם מבקרים, אתם נחשפים למסור את המידע בעצמכם שישמש אחר כך נגדכם.

4.- שימוש ב"הנדסה חברתית ". יש כאן שני היבטים נפוצים. מצד אחד, יותר ויותר אנו שמים את חיינו ברשת: פייסבוק, לינקדין, בלוגים אישיים וכו '. להגיש לכולם פרטים מפורטים על חיינו (היכן אנו לומדים, מי החברים שלנו, שם חיית המחמד שלנו וכו 'וכו'), שהם ברוב המקרים התשובות לשאלות האימות של כמעט כל השירותים ב שאנחנו רושמים. מצד שני, היכולת של האקרים להשתמש בכלים הנדסיים חברתיים כדי לקיים אינטראקציה עם שירותי לקוחות, מאפשרת להם להשיג בקלות יחסית, תוך ניצול המידע שיש לנו עלינו, כדי לשכנע את השירותים האלה שהם המשתמשים אמיתיים ולקבל להחזיק בחשבונות שלנו.

ובכן, עם התפתחותה של חברת המידע, אין עובדה שאי אפשר להכחיש כי נוכחותנו באינטרנט תמשיך לגדול, בעוד שאנחנו תלויים במידה רבה יותר בשימוש בשירותים מקוונים לחיי היומיום שלנו, מה שהוסיף הכוונה להפוך טלפונים ניידים לארנקים אלקטרוניים בתשלום, באמצעות טכנולוגיית NFC (Near Field Communication), הם המרכיבים לסערה מושלמת מבחינת אבטחה, אי אפשר להימנע משימוש בסיסמאות בלבד ומנגנוני אימות כמו אלה הקיימים.

כמו בכל הנושאים שבהם מעורבת אבטחה, יש צורך להתפשר בין חוזק מנגנון האימות לעומת קלות השימוש והפרטיות של השירות הנדון. למרבה הצער, עד כה קלות השימוש גברה על חוזק מנגנוני האימות.

נראה שיש צירוף מקרים בדעה שהפתרון לבעיה זו נעוץ בשילוב של סיסמאות, ניתוח דפוסי שימוש ושימוש במכשירים ביומטריים כדי להבטיח תהליך אימות שמקל על המשתמשים, עם יותר מנגנוני אימות. בטוח מהנוכחים.

כבר כמה נותני שירותים ברשת החלו להשתמש בדפוסי שימוש כהשלמה לסיסמאות, ולכן, למשל, כאשר אנו ניגשים לחשבון הג'ימייל שלנו מ- IP שאינו זה שאנחנו עושים בדרך כלל, הוא שולח אותנו למסך אימות כדי לוודא בשיטה אחרת (שיחת טלפון או הודעת טקסט), שאנחנו המשתמשים החוקיים בחשבון. בהיבט זה, נראה שיש הסכמה כי זה רק עניין של זמן שרוב נותני השירות ברשת יאמצו גרסאות דומות.

מה שעדיין חסר הוא שהשימוש במנגנונים או במכשירים ביומטריים כחלק מהאימות לא החל להיות מיושם, ישנן צורות שונות, מהפשוטות ביותר כמו זיהוי תבניות קוליות או זיהוי פנים (ניתנות להפעלה מלאה על ידי תוכנה) ואשר עבורן נייד למכשירים כבר יש את החומרה הדרושה (מיקרופונים ומצלמות), אפילו המורכבים ביותר כמו קוראי טביעות אצבע או סורקי קשתית העין.

למרות שכבר ננקטו כמה צעדים בעניין זה, כמו זיהוי פנים לפתיחת הנייד במכשירי אנדרואיד מסוימים או הרכישה האחרונה של חברת אפל של חברת AuthenTec, שהתמחתה בנושאים אלה, השימוש בה אינו עולה על אנקדוטל ומה הוא מדאיג יותר הוא שעדיין לא החל לדון בשילוב של צורות אימות אלה עם השירותים ברשת.

לדעתי, זיהוי פנים או קול, למרות שהם הכי קלים ליישום ואינם דורשים חומרה נוספת, הם השיטות הכי פחות מאובטחות, בעוד שסורקי קשתית העין אינם ניתנים לשילוב במכשירים ניידים, אשר האפשרות הטובה ביותר היא קוראי טביעות אצבע, אשר בשל הממדים המופחתים וריבוי ה"מפתחות "יהיה הפיתרון המושלם; תן לי להסביר: אם אנו צרודים בגלל שפעת או שעברנו תאונה או שיש לנו פציעת פנים, זיהוי קול או פנים יהיה מסובך, ואילו עם קורא טביעות אצבע נוכל להגדיר את השימוש בכמה אצבעות, אז תאונה באחת לא הייתה מונעת מאיתנו גישה לנתונים ולשירותים שלנו.

נכון לעכשיו יש כבר כמה מחשבים ניידים המשלבים קוראי טביעות אצבע בתצורתם, מבלי לשים לב לעליית מחירים משמעותית בדגמים אלה, המאפשרים להסיק כי עלותם אינה משמעותית, למרות העובדה שהשימוש בהם לא הוארך. מצד שני, למרבה הצער כרגע יש מעט מאוד מכשירים ניידים שיש בהם קוראי טביעות אצבע ונראה שהשילוב שלהם בהם אינו מגמה.

ישנן דעות המצביעות על כך שאנו מתמודדים עם המצב הקלאסי של עוף וביצה: הקוראים אינם משולבים במכשירים מכיוון ששירותי הרשת אינם משתמשים בהם כמנגנון אימות, אך בתורם, שירותי הרשת אינם משתמשים בהם כאימות מנגנון עקב מספר קטן של מכשירים שמשולבים בהם כסטנדרט. נראה שזה הקשר הגורדי שאף אחד לא מעז לחתוך כרגע.

מעבר למגבלה הזו בה אנו נמצאים, אני חושב שיש מצב שיש לפתור ליישומו והוא קביעת הסטנדרטים הנחוצים לשימוש בטביעות אצבע באימות, כלומר קורא טביעות האצבע סורק תמונה ומ זה, יש ליצור סוג של חתימה אלקטרונית, שהיא זו שתישלח לשירות כ"סיסמה "לאימות, ולכן האלגוריתם להפקת חתימה זו חייב להבטיח שקוראים שונים ייצרו חתימות שוות של אותה טביעת רגל, בלי לפגוע בביטחון וזה לא נראה משהו פשוט.

כן, אני יודע שבשלב זה יש כאלה שיביאו את מה שראו בסרט שבו על ידי הרמת טביעת אצבע שנותרה על כוס הם מצליחים להשתמש בה כדי לגשת להתקנה, אבל זה, מעבר למרהיב שמגיע על המסך, כן לא אני חושב שזה הופך להיות אופנה שעלינו לטפל בה בעתיד; אלא אם כן אחד מאיתנו הוא סוכן 007 או שיש לו קודי גישה לפורט נוקס.

כפי שאומר מחבר המאמר שמוליד את הפוסט הזה, הצעד הראשון בפתרון בעיה הוא ההכרה בקיומה כדי שאז תוכל להתחיל להציע פתרונות ובדיוק על מה מדובר. אני ממליץ לכל מי שיכול לקרוא את המאמר שאליו אני מתייחס, מכיוון שהוא מאוד מדגים, וגם מהנה לקריאה (שלצערנו מי שלא יודע אנגלית לא יוכל ליהנות ממנו), עם התמריץ הנוסף להכיל כמה פנינים כיצד האקרים הוליכו שולל שירותים "מכובדים" כדי לקבל גישה.

האם אתה מסכים עם דעתי או שאתה מאלה שעדיין מאמינים שסיסמאות מספיקות לנו?