Biometrija Autentifikācijas nākotne?

Šodien lasot rakstu, kuru publicēja Mat Honans Vadu ar nosaukumu "Nogalini paroli: kāpēc rakstzīmju virkne mūs vairs nevar aizsargāt" (kas tulkojumā mūsu valodā ir šāds: "Paroles nogalināšana: kāpēc rakstzīmju virkne mūs vairs nevar aizsargāt?"), es atcerējos pirms dažām dienām sarunu ar dažiem šīs kopienas locekļiem, kurā tika minēts, cik maz izplatīta pirkstu nospiedumu lasītāju izmantošana ir autentifikācijas mehānisms, it īpaši visplašāk izmantotajās mobilajās ierīcēs un to izmantošanas priekšrocības.

Attiecīgajā rakstā ir jaunākie piemēri par to, kā ir uzlauzti dažu lietotāju (tostarp raksta autora) konti, uzsverot paroļu un pašreizējo autentifikācijas un pārbaudes mehānismu patieso nespēju aizsargāt mūsu informāciju un privātumu, un viņš pamato iemeslus. šo apgalvojumu, kas visi ir ļoti derīgi un kurus varētu apkopot četrās lielās grupās:

1.- Apstrādes jaudas palielināšanās, kas ļauj uzlauzt paroli, izmantojot tīklā pieejamās brutālās spēka un paroļu vārdnīcas. Nāc, ar pašreizējo CPU un GPU ietilpību, izmantojot brutālu spēku plaši pieejamās hakeru programmas, ar vārdnīcām, kuras mēs viegli varam nokļūt tīklā, ir tikai laika jautājums, kad kādam izdosies atrast šifrēta faila paroli , pat ja tas it kā ir "drošs", jo tajā ir burti, cipari un citas rakstzīmes, saasinoties, ka šīs iespējas nākotnē turpinās pieaugt.

2.- Paroļu atkārtota izmantošana, ko veic viens un tas pats lietotājs. Ko mēs kādreiz esam darījuši? Mēs izmantojam vienu un to pašu e-pasta kontu, lai autentificētos dažādos pakalpojumos, pat reģistrējoties dažādās tīkla vietās, mēs izmantojam vienu un to pašu lietotājvārdu un paroli, turklāt kontus "saistot" ar vienu un to pašu "rezerves" e-pasta adresi. ka, ja kāds piekļūst kādam no mūsu kontiem, viņš praktiski piekļūst visiem.

3.- Pikšķerēšanas un ļaunprātīgas programmatūras izmantošana paroļu nozagšanai. Šeit ir tas, kas visvairāk ietekmē lietotāja veselo saprātu, jo, ja jūs parasti noklikšķināt uz saitēm par to, cik daudz pasta saņemat vai cik lapas apmeklējat, jūs pats esat pakļauts informācijas sniegšanai, kas vēlāk tiks izmantota pret jums.

4.- “Sociālās inženierijas” izmantošana. Šeit ir divi plaši izmantoti aspekti. No vienas puses, mēs arvien vairāk ievietojam savu dzīvi tīklā: Facebook, Linkedin, personālie emuāri utt. darīt pieejamu ikvienam detalizētu informāciju par mūsu dzīvi (kur mēs mācāmies, kas ir mūsu draugi, mūsu pet vārdu utt., utt.), kas vairumā gadījumu ir atbildes uz gandrīz visu dienestu verifikācijas jautājumiem. kuru mēs reģistrējam. No otras puses, hakeru spēja izmantot sociālās inženierijas rīkus, lai mijiedarbotos ar klientu apkalpošanu, ļauj viņiem salīdzinoši viegli panākt, izmantojot informāciju, kas viņiem ir par mums, pārliecināt šos pakalpojumus, ka viņi ir patiesie lietotāji un saņem turiet mūsu kontus.

Nu, attīstoties informācijas sabiedrībai, nenoliedzami fakts, ka mūsu klātbūtne internetā turpinās pieaugt, savukārt mēs lielākā mērā būsim atkarīgi no tiešsaistes pakalpojumu izmantošanas ikdienas dzīvē, kas papildināja nodomu mobilo tālruņu konvertēšana par elektroniskiem makiem par samaksu, izmantojot NFC (Near Field Communication) tehnoloģiju, ir pilnīgas vētras sastāvdaļa drošības ziņā, no kuras nav iespējams izvairīties, izmantojot tikai paroles un pārbaudes mehānismus, piemēram, pašreizējos. .

Tāpat kā visos jautājumos, kuros ir iesaistīta drošība, ir jāpanāk kompromiss starp autentifikācijas mehānisma izturību pret attiecīgā pakalpojuma lietošanas ērtumu un privātumu. Diemžēl līdz šim izmantošanas ērtums ir dominējis, kaitējot autentifikācijas mehānismu stiprumam.

Šķiet, ka ir sakritība viedoklī, ka šīs problēmas risinājums ir paroļu, lietošanas modeļu analīzes un biometrisko ierīču kombinācija, lai garantētu autentifikācijas procesu, kas atvieglo lietotāju dzīvi, ar vairākiem pārbaudes mehānismiem. pašreizējie.

Daži tīkla pakalpojumu sniedzēji jau ir izmantojuši lietošanas modeļus kā paroļu papildinājumu, tāpēc, piemēram, kad mēs piekļūstam savam Gmail kontam no cita IP nekā parasti, tas mūs nosūta uz verifikācijas ekrānu ar citu metodi (tālruņa zvanu vai īsziņu) pārliecināties, ka mēs esam konta likumīgais lietotājs. Šajā aspektā, šķiet, ir vienprātība, ka tikai laika jautājums ir tas, ka lielākā daļa tīkla pakalpojumu sniedzēju izmanto līdzīgus variantus.

Vēl pietrūkst tas, ka biometrisko mehānismu vai ierīču izmantošana autentifikācijas ietvaros nav sākta, ir dažādas formas, sākot no vienkāršākajām, piemēram, balss modeļa atpazīšana vai sejas atpazīšana (pilnībā izpildāma ar programmatūru) un kurām mobilās ierīces ierīcēs jau ir nepieciešamā aparatūra (mikrofoni un kameras), pat vissarežģītākās, piemēram, pirkstu nospiedumu lasītāji vai varavīksnenes skeneri.

Lai gan šajā sakarā jau tiek veikti daži soļi, piemēram, sejas atpazīšana, lai atbloķētu mobilo tālruni dažos Android tālruņos, vai nesen Apple nopirktais uzņēmums AuthenTec, kas specializējies šajos jautājumos, tā izmantošana nepārsniedz anekdotisko un Kas vairāk satrauc tas, ka šo autentifikācijas formu integrācija ar tīkla pakalpojumiem vēl nav sākta.

Manuprāt, sejas vai balss atpazīšana, kaut arī tās ir visvieglāk īstenojama un neprasa papildu aparatūru, ir vismazāk drošas metodes, savukārt varavīksnenes skenerus ir pilnīgi neiespējami integrēt mobilajās ierīcēs, un tas mums atstāj labāko pirkstu nospiedumu variantu lasītāji, kas to samazināto izmēru un "atslēgu" daudzuma dēļ būtu ideāls risinājums; Ļaujiet man paskaidrot: ja mēs esam aizsmakuši gripas dēļ vai esam cietuši nelaimes gadījumā vai mums ir sejas traumas, balss vai sejas atpazīšana būtu sarežģīta, savukārt ar pirkstu nospiedumu lasītāju mēs varam konfigurēt vairāku pirkstu lietošanu, tāpēc Negadījums vienā neliedz mums piekļūt mūsu datiem un pakalpojumiem.

Pašlaik jau ir dažas piezīmjdatori, kas pirkstu nospiedumu lasītājus integrē to konfigurācijā, nemanot būtisku šo modeļu cenu pieaugumu, kas ļauj secināt, ka to izmaksas nav būtiskas, neskatoties uz to, ka to lietošana nav paplašināta. No otras puses, diemžēl šobrīd ir ļoti maz mobilo ierīču, kurām ir pirkstu nospiedumu lasītāji, un šķiet, ka to integrācija tajās nav tendence.

Daži viedokļi liecina, ka mēs sastopamies ar klasisko vistu un olu situāciju: lasītāji nav integrēti ierīcēs, jo tīkla pakalpojumi tos neizmanto kā autentifikācijas mehānismu, bet savukārt tīkla pakalpojumi tos neizmanto kā mehānismu autentifikāciju, jo neliels skaits ierīču, kurās tās ir integrētas kā standarts. Šķiet, ka tas ir Gordija mezgls, kuru šobrīd neviens neuzdrošinās sagriezt.

Papildus šim strupceļam, kurā atrodamies, es domāju, ka ir jāatrisina situācija tā īstenošanai, un tas ir nepieciešamo standartu noteikšana pirkstu nospiedumu izmantošanai autentifikācijā, tas ir, pirkstu nospiedumu lasītājs skenē attēlu un no tas ir jāveido sava veida elektroniskais paraksts, kas būtu jānosūta dienestam kā "parole" autentifikācijai, tāpēc šī paraksta ģenerēšanas algoritmam ir jāgarantē, ka dažādi lasītāji ģenerē vienādus parakstus ar tādu pašu nospiedumu, nekaitējot drošībai, un tas, šķiet, nav kaut kas vienkāršs.

Jā, es zinu, ka šajā brīdī daži parādīs redzēto filmā, kur, paceļot uz stikla atstātu pirksta nospiedumu, viņiem izdosies to izmantot, lai piekļūtu instalācijai, taču tas, ne tikai iespaidīgais, kas parādās ekrānā, ne es domāju, ka tā kļūs par modi, par kuru mums vajadzētu rūpēties nākotnē; Ja vien kāds no mums nav 007 aģents vai viņam ir Fort Knoks piekļuves kodi.

Kā saka raksta autors, kas rada šo ierakstu, pirmais solis problēmas risināšanā ir tās esamības atzīšana, lai pēc tam varētu sākt piedāvāt risinājumus, un tieši par to arī ir runa. Es iesaku visiem, kas var izlasīt rakstu, uz kuru atsaucos, jo tas ir ļoti ilustratīvs, kā arī patīkami lasāms (ko diemžēl nevarēs baudīt tie, kas nezina angļu valodu), ar papildu stimulu saturēt dažus pērles par to, kā hakeri ir pievilinājuši "cienījamus" pakalpojumus piekļuvei.

Vai jūs piekrītat manam viedoklim vai arī jūs esat viens no tiem, kas joprojām uzskata, ka mums pietiek ar parolēm?