Biometri Fremtiden for autentisering?

Leser i dag en artikkel publisert av Mat Honan i Wired kvalifisert "Drep passordet: hvorfor en streng med tegn ikke kan beskytte oss lenger" (som oversatt til vårt språk er: "Drep passordet: Hvorfor kan ikke en streng med tegn beskytte oss lenger?"), jeg husket en samtale for noen dager siden med noen av medlemmene i dette samfunnet der det ble nevnt hvor lite utbredt bruken av fingeravtrykkslesere er som en autentiseringsmekanisme, spesielt på de mest brukte mobile enhetene og fordelene bruken av dem vil gi.

Artikkelen det er snakk om presenterer nylige eksempler på hvordan kontoene til noen brukere (inkludert forfatteren av artikkelen) har blitt hacket, og fremhever den virkelige manglende evnen til passord og nåværende autentiserings- og verifikasjonsmekanismer for å beskytte vår informasjon og personvern, og han argumenterer for årsakene til denne uttalelsen, alle sammen veldig gyldige, og det kan oppsummeres i fire store grupper:

1.- Økt prosesseringskapasitet som gjør det mulig å hacke passord ved bruk av brute force og passordordbøker som er tilgjengelige i nettverket. Kom igjen, med kapasiteten til nåværende CPUer og GPUer, ved hjelp av allment tilgjengelige hackingprogrammer med brute force, med ordbøker som vi enkelt kan få i nettverket, er det bare et spørsmål om tid før noen klarer å finne passordet til en kryptert fil , selv når det visstnok er "trygt" fordi det inneholder bokstaver, tall og andre tegn, med den forverring at disse kapasitetene vil fortsette å øke i fremtiden.

2.- Gjenbruk av passord av samme bruker. Hva har vi noen gang gjort? Vi bruker den samme e-postkontoen for å autentisere oss i forskjellige tjenester, til og med, vi bruker det samme brukernavnet og passordet når vi registrerer oss på forskjellige steder i nettverket, i tillegg til å "kjede" kontoer med samme "backup" e-postadresse, og dermed at hvis noen får tilgang til en av kontoene våre, får de praktisk talt tilgang til dem alle.

3.- Bruk av pishing og skadelig programvare for å stjele passord. Her, hva som mest påvirker sunn fornuft for brukeren, for hvis du vanligvis klikker på lenkene for hvor mye e-post du mottar eller hvor mange sider du besøker, blir du utsatt for å levere informasjonen selv som senere vil bli brukt mot deg.

4.- Bruk av "sosial ingeniørfag". Det er to aspekter som er mye brukt her. På den ene siden plasserer vi mer og mer livet vårt på nettet: Facebook, Linkedin, personlige blogger osv. gjøre tilgjengelig for alle, detaljerte detaljer om livet vårt (hvor vi studerer, hvem er vennene våre, navnet på kjæledyret vårt osv. osv.), som i de fleste tilfeller er svarene på bekreftelsesspørsmålene til nesten alle tjenestene i som vi registrerer. På den annen side lar hackere muligheten til å bruke sosialtekniske verktøy for å samhandle med kundetjenester, gjøre det mulig å oppnå relativt enkelt ved å dra nytte av informasjonen de har om oss, for å overbevise disse tjenestene om at de er brukerens sanne og får holde på kontoene våre.

Vel, med utviklingen av informasjonssamfunnet, er det et unektelig faktum at vår tilstedeværelse på Internett vil fortsette å vokse, mens vi i større grad vil være avhengige av bruken av online-tjenester i vårt daglige liv, noe som bidro til intensjonen å gjøre mobiltelefoner til elektroniske lommebøker for betaling, ved bruk av NFC (Near Field Communication) -teknologi, er ingrediensene for en perfekt storm når det gjelder sikkerhet, umulig å unngå med den eneste bruken av passord og verifiseringsmekanismer som de nåværende .

Som i alle forhold der sikkerhet er involvert, er det nødvendig å etablere et kompromiss mellom styrken til autentiseringsmekanismen versus brukervennligheten og personvernet til den aktuelle tjenesten. Dessverre har brukervennlighet så langt gått over styrken til autentiseringsmekanismene.

Det ser ut til å være en tilfeldighet i den oppfatning at løsningen på dette problemet ligger i en kombinasjon av passord, analyse av bruksmønstre og bruk av biometriske enheter for å garantere en autentiseringsprosess som gjør livet lettere for brukerne, med flere verifiseringsmekanismer. de nåværende.

Noen tjenesteleverandører på nettverket har allerede begynt å bruke bruksmønstre som et supplement til passord, det er derfor, for eksempel når vi får tilgang til Gmail-kontoen vår fra en annen IP enn den vi vanligvis gjør, sender den oss til et bekreftelsesskjermbilde for å bekrefte ved en annen metode (telefonsamtale eller tekstmelding) at vi er den lovlige brukeren av kontoen. På dette aspektet ser det ut til å være enighet om at det bare er et spørsmål om tid at de fleste tjenesteleverandører i nettverket tar i bruk lignende varianter.

Det som fremdeles mangler er at bruken av biometriske mekanismer eller enheter som en del av autentisering ikke har begynt å bli implementert, det er forskjellige former, fra det enkleste som stemmemønstergjenkjenning eller ansiktsgjenkjenning (fullt kjørbar av programvare) og for hvilken mobil Enheter har allerede den nødvendige maskinvaren (mikrofoner og kameraer), til og med den mest komplekse som fingeravtrykkslesere eller irisskannere.

Selv om det allerede er tatt noen skritt i denne forbindelse, for eksempel ansiktsgjenkjenning for å låse opp mobilen i noen Android-telefoner eller det nylige kjøpet av Apple av selskapet AuthenTec, spesialisert i disse problemene, går ikke bruken utover anekdotisk og hva er mer bekymringsfullt er at integrasjonen av disse autentiseringsformene med tjenestene i nettverket ennå ikke har begynt å bli diskutert.

Etter min mening er ansikts- eller stemmegjenkjenning, selv om de er de enkleste å implementere og ikke krever ekstra maskinvare, de minst sikre metodene, mens irisskannere er helt umulige å integrere i mobile enheter, som det beste alternativet er fingeravtrykkslesere, som på grunn av deres reduserte dimensjoner og mangfoldet av "nøkler" ville være den perfekte løsningen; La meg forklare: hvis vi er hes på grunn av influensa, eller hvis vi har hatt en ulykke, eller hvis vi har ansiktsskader, vil stemme eller ansiktsgjenkjenning være komplisert, mens vi med en fingeravtrykksleser kan konfigurere bruken av flere fingre, så en En ulykke i en ville ikke hindre oss i å få tilgang til våre data og tjenester.

Foreløpig er det allerede noen bærbare PC-er som integrerer fingeravtrykkslesere i konfigurasjonen, uten å legge merke til en betydelig prisøkning i disse modellene, noe som gjør at vi kan slutte at kostnadene ikke er betydelige, til tross for at bruken av dem ikke er utvidet. På den annen side er det dessverre for øyeblikket svært få mobile enheter som har fingeravtrykkslesere, og deres integrasjon i dem ser ikke ut til å være en trend.

Noen meninger tyder på at vi står overfor den klassiske kylling- og egg-situasjonen: leserne er ikke integrert i enhetene fordi nettverkstjenester ikke bruker dem som en autentiseringsmekanisme, men i sin tur bruker nettverkstjenester dem ikke som en mekanismeautentisering på grunn av lite antall enheter som har dem integrert som standard. Dette ser ut til å være den gordiske knuten som ingen tør å kutte for øyeblikket.

Utover dette passet vi befinner oss i, tror jeg at det er en situasjon som skal løses for implementeringen, og det er etablering av de nødvendige standardene for bruk av fingeravtrykk i autentisering, det vil si at fingeravtrykksleseren skanner et bilde og fra det, det må genereres en slags elektronisk signatur, som er den som vil bli sendt til tjenesten som et "passord" for autentisering, så algoritmen for å generere den signaturen må garantere at forskjellige lesere genererer like signaturer med samme fotavtrykk, uten skade på sikkerheten, og det ser ikke ut til å være noe enkelt.

Ja, jeg vet at noen på dette tidspunktet vil ta opp det de har sett i en film der de ved å heve et fingeravtrykk igjen på et glass klarer å bruke det til å få tilgang til en installasjon, men dette, utover det spektakulære som resulterer på skjermen, er ikke jeg tror det blir en mote som vi bør ta vare på i fremtiden; Med mindre en av oss er 007-agent eller har tilgangskoder til Fort Knox.

Som forfatteren av artikkelen som gir opphav til dette innlegget sier, er det første trinnet i å løse et problem erkjennelsen av dets eksistens for å da kunne begynne å foreslå løsninger, og det er nettopp det det handler om. Jeg anbefaler alle som kan lese artikkelen som jeg henviser til, fordi den er veldig illustrerende, samt hyggelig å lese (som dessverre de som ikke kan engelsk ikke vil kunne glede seg over), med det ekstra incitamentet til å inneholde noe perler om hvordan hackere har lurt “anerkjente” tjenester til å få tilgang.

Er du enig i min mening, eller er du en av dem som fremdeles mener at passord er nok for oss?