Biometrie De toekomst van authenticatie?

Ik lees vandaag een artikel gepubliceerd door Mat Honan in Bedraad bevoegd "Dood het wachtwoord: waarom een ​​reeks karakters ons niet meer kan beschermen" (wat in onze taal vertaald is: "Het wachtwoord doden: waarom kan een reeks tekens ons niet meer beschermen?"), herinnerde ik me een gesprek van een paar dagen geleden met enkele leden van deze gemeenschap waarin werd vermeld hoe weinig wijdverspreid het gebruik van vingerafdruklezers is een authenticatiemechanisme, vooral bij de meest gebruikte mobiele apparaten en de voordelen die het gebruik ervan zou opleveren.

Het artikel in kwestie bevat recente voorbeelden van hoe de accounts van sommige gebruikers (inclusief de auteur van het artikel) zijn gehackt, waarbij het echte onvermogen van wachtwoorden en de huidige authenticatie- en verificatiemechanismen om onze informatie en privacy te beschermen, worden benadrukt. en hij beargumenteert de redenen voor deze bewering, allemaal zeer geldig en die kunnen worden samengevat in vier grote groepen:

1. - Verhoging van de verwerkingscapaciteit die het hacken van wachtwoorden mogelijk maakt door het gebruik van brute kracht en wachtwoordwoordenboeken die beschikbaar zijn op het netwerk. Kom op, met de capaciteit van de huidige CPU's en GPU's, met behulp van algemeen beschikbare hackprogramma's met brute kracht, met woordenboeken die we gemakkelijk op het netwerk kunnen krijgen, is het slechts een kwestie van tijd voordat iemand erin slaagt het wachtwoord van een gecodeerd bestand te vinden , zelfs als het zogenaamd "veilig" is omdat het letters, cijfers en andere tekens bevat, met de ergernis dat deze capaciteiten in de toekomst zullen blijven toenemen.

2.- Hergebruik van wachtwoorden door dezelfde gebruiker. Wat hebben we ooit gedaan? We gebruiken hetzelfde e-mailaccount om ons te authenticeren bij verschillende services, zelfs als we dezelfde gebruikersnaam en hetzelfde wachtwoord gebruiken wanneer we ons op verschillende plaatsen op het netwerk registreren, naast het 'koppelen' van onze accounts met hetzelfde 'back-up'-e-mailadres, waardoor dat als iemand toegang krijgt tot een van onze accounts, hij praktisch alle toegang krijgt.

3.- Gebruik van pishing en malware om wachtwoorden te stelen. Wat hier het meest invloed heeft op het gezonde verstand van de gebruiker, want als u gewoonlijk op de links klikt van hoeveel e-mail u ontvangt of hoeveel pagina's u bezoekt, wordt u blootgesteld om zelf de informatie te verstrekken die later tegen u zal worden gebruikt.

4.- Gebruik van “social engineering”. Er zijn hier twee veelgebruikte aspecten. Enerzijds plaatsen we steeds meer ons leven op het net: Facebook, Linkedin, persoonlijke blogs, enz. voor iedereen gedetailleerde details van ons leven beschikbaar stellen (waar we studeren, wie zijn onze vrienden, de naam van ons huisdier, enz., enz.), die in de meeste gevallen de antwoorden zijn op de verificatievragen van bijna alle diensten in die we registreren. Aan de andere kant stelt het vermogen van hackers om social engineering-tools te gebruiken om te communiceren met klantendiensten, hen in staat om relatief gemakkelijk iets te bereiken, gebruikmakend van de informatie die ze over ons hebben, om deze diensten ervan te overtuigen dat zij de gebruiker echt zijn en krijgen houden van onze rekeningen.

Welnu, met de ontwikkeling van de informatiemaatschappij is het een onmiskenbaar feit dat onze aanwezigheid op internet zal blijven groeien, terwijl we in grotere mate afhankelijk zullen zijn van het gebruik van onlinediensten voor ons dagelijks leven, wat bijdroeg aan de intentie om mobiele telefoons om te zetten in elektronische portemonnees voor betaling, door het gebruik van NFC (Near Field Communication) -technologie, zijn de ingrediënten voor een perfecte storm op het gebied van veiligheid, onmogelijk te vermijden met het enige gebruik van wachtwoorden en verificatiemechanismen zoals de huidige.

Zoals bij alle zaken waarbij beveiliging een rol speelt, is het noodzakelijk om een ​​compromis tot stand te brengen tussen de kracht van het authenticatiemechanisme versus het gebruiksgemak en de privacy van de betreffende dienst. Helaas heeft het gebruiksgemak tot dusverre de overhand gehad ten koste van de kracht van de authenticatiemechanismen.

Het lijkt toeval dat de oplossing voor dit probleem ligt in een combinatie van wachtwoorden, analyse van gebruikspatronen en het gebruik van biometrische apparaten om een ​​authenticatieproces te garanderen dat het leven gemakkelijker maakt voor gebruikers, met meer verificatiemechanismen. zeker dan de huidige.

Sommige serviceproviders in het netwerk zijn al begonnen gebruikspatronen te gebruiken als aanvulling op wachtwoorden.Daarom worden we, bijvoorbeeld wanneer we toegang krijgen tot ons Gmail-account vanaf een ander IP-adres dan het IP-adres dat we gewoonlijk doen, naar een verificatiescherm gestuurd. om via een andere methode (telefoontje of sms) te verifiëren dat wij de wettelijke gebruiker van het account zijn. Over dit aspect lijkt er een consensus te bestaan ​​dat het slechts een kwestie van tijd is dat de meeste dienstverleners in het netwerk soortgelijke varianten gaan toepassen.

Wat nog ontbreekt, is dat het gebruik van biometrische mechanismen of apparaten als onderdeel van authenticatie nog niet is geïmplementeerd, er zijn verschillende vormen, van de eenvoudigste zoals spraakpatroonherkenning of gezichtsherkenning (volledig uitvoerbaar door software) en waarvoor mobiel apparaten beschikken al over de nodige hardware (microfoons en camera's), zelfs de meest complexe zoals vingerafdruklezers of irisscanners.

Hoewel er in dit verband al enkele stappen worden ondernomen, zoals gezichtsherkenning om de mobiele telefoon op sommige Android-telefoons te ontgrendelen of de recente aankoop door Apple van het bedrijf AuthenTec, gespecialiseerd in deze kwesties, gaat het gebruik ervan niet verder dan het anekdotische en wat zorgwekkender is dat de integratie van deze vormen van authenticatie met de diensten in het netwerk nog niet ter discussie is gesteld.

Naar mijn mening zijn gezichts- of spraakherkenning, hoewel ze het gemakkelijkst te implementeren zijn en geen extra hardware nodig hebben, de minst veilige methoden, terwijl irisscanners totaal onmogelijk te integreren zijn in mobiele apparaten, wat ons de beste optie voor vingerafdrukken laat. lezers, die vanwege hun beperkte afmetingen en veelvoud aan "sleutels" de perfecte oplossing zouden zijn; Laat me het uitleggen: als we hees zijn door de griep of als we een ongeluk hebben gehad of we hebben een gezichtsblessure, zou stem- of gezichtsherkenning ingewikkeld zijn, terwijl we met een vingerafdruklezer het gebruik van meerdere vingers kunnen configureren, dus een Een ongeval in één zou ons niet beletten toegang te krijgen tot onze gegevens en diensten.

Momenteel zijn er al enkele notebooks die vingerafdruklezers in hun configuratie integreren, zonder dat ze een aanzienlijke prijsstijging in deze modellen opmerken, wat ons in staat stelt te concluderen dat hun kosten niet significant zijn, ondanks het feit dat hun gebruik niet is uitgebreid. Aan de andere kant zijn er op dit moment helaas maar heel weinig mobiele apparaten met vingerafdruklezers en hun integratie lijkt geen trend te zijn.

Sommige meningen suggereren dat we te maken hebben met de klassieke kip-en-ei-situatie: lezers zijn niet geïntegreerd in apparaten omdat netwerkdiensten ze niet gebruiken als authenticatiemechanisme, maar netwerkservices gebruiken ze op hun beurt niet als authenticatiemechanisme vanwege de kleine aantal apparaten waarin ze standaard zijn geïntegreerd. Dit lijkt de Gordiaanse knoop te zijn die niemand op dit moment durft door te snijden.

Afgezien van deze impass waarin we ons bevinden, denk ik dat er een situatie is die moet worden opgelost voor de implementatie ervan en dat is het vaststellen van de noodzakelijke normen voor het gebruik van vingerafdrukken bij authenticatie, dat wil zeggen dat de vingerafdruklezer een afbeelding scant en van er moet een soort elektronische handtekening worden gegenereerd, die naar de dienst zou worden gestuurd als een 'wachtwoord' voor authenticatie, dus het algoritme voor het genereren van die handtekening moet garanderen dat verschillende lezers gelijke handtekeningen genereren met dezelfde footprint, zonder afbreuk te doen aan de beveiliging en dat lijkt niet iets eenvoudigs.

Ja, ik weet dat sommigen op dit punt naar voren zullen brengen wat ze hebben gezien in een film, waar ze door een vingerafdruk op een glas te steken erin slagen om toegang te krijgen tot een installatie, maar dit is, afgezien van het spectaculaire dat op het scherm resulteert, niet ik denk dat het een mode zal worden waar we in de toekomst voor moeten zorgen; Tenzij een van ons een 007-agent is of de toegangscodes heeft tot Fort Knox.

Zoals de auteur van het artikel dat aanleiding geeft tot deze post zegt, is de eerste stap bij het oplossen van een probleem de erkenning van het bestaan ​​ervan om vervolgens oplossingen te kunnen gaan voorstellen en dat is precies waar het om gaat. Ik raad iedereen aan die het artikel waarnaar ik verwijs kan lezen, omdat het erg illustratief is en ook prettig om te lezen (waar degenen die geen Engels kennen helaas niet van kunnen genieten), met als extra stimulans om er enkele te bevatten parels van hoe hackers 'gerenommeerde' diensten hebben misleid om toegang te krijgen.

Bent u het eens met mijn mening of bent u een van degenen die nog steeds van mening zijn dat wachtwoorden voor ons voldoende zijn?