Biometrie Viitorul autentificării?

Citind astăzi un articol publicat de Mat Honan în Prin cablu intitulat „Omoară parola: de ce un șir de caractere nu ne poate proteja mai mult” (care s-a tradus în limba noastră este: „Uciderea parolei: de ce nu ne mai poate proteja un șir de caractere?”), mi-am amintit de o conversație de câteva zile în urmă cu unii dintre membrii acestei comunități în care El a menționat cât de puțin răspândită este utilizarea mecanismelor de citire a amprentelor digitale ca mecanism de autentificare, în special în cele mai utilizate dispozitive mobile și avantajele pe care le-ar oferi utilizarea lor.

Articolul în cauză prezintă exemple recente despre modul în care conturile unor utilizatori (inclusiv autorul articolului) au fost piratate, subliniind incapacitatea reală a parolelor și mecanismele actuale de autentificare și verificare pentru a ne proteja informațiile și confidențialitatea și argumentează motivele acestei afirmații, toate foarte valabile și care ar putea fi rezumate în patru grupuri mari:

1.- Creșterea capacității de procesare, care permite piratarea parolelor prin utilizarea dicționarelor de forță brută și parole disponibile în rețea. Haide, cu capacitatea CPU-urilor și GPU-urilor actuale, folosind programe de hacking disponibile pe scară largă prin forță brută, cu dicționare pe care le putem obține cu ușurință în rețea, este doar o chestiune de timp până când cineva reușește să găsească parola unui fișier criptat , chiar și atunci când se presupune că este „sigur” deoarece conține litere, cifre și alte caractere, cu agravarea faptului că aceste capacități vor continua să crească în viitor.

2.- Reutilizarea parolelor de către același utilizator. Ce am făcut vreodată? Folosim același cont de e-mail pentru a ne autentifica în diferite servicii, chiar și, folosim același nume de utilizator și parolă atunci când ne înregistrăm în diferite locuri din rețea, în plus față de „înlănțuirea” conturilor noastre cu aceeași adresă de e-mail „de rezervă”, astfel că, dacă cineva câștigă acces la unul dintre conturile noastre, are practic acces la toate.

3.- Utilizarea pishing și malware pentru a fura parole. Aici, ceea ce influențează cel mai mult bunul simț al utilizatorului, deoarece dacă de obicei faceți clic pe linkurile cu cât primiți mesaje sau câte pagini vizitați, sunteți expus să livrați singuri informațiile care vor fi folosite ulterior împotriva dvs.

4.- Utilizarea „ingineriei sociale”. Există două aspecte utilizate pe scară largă aici. Pe de o parte, ne plasăm din ce în ce mai mult viața pe net: Facebook, Linkedin, bloguri personale etc. punem la dispoziția tuturor, detalii detaliate despre viața noastră (unde studiem, cine sunt prietenii noștri, numele animalului nostru de companie etc. etc.), care sunt în majoritatea cazurilor răspunsurile la întrebările de verificare din aproape toate serviciile în care ne înregistrăm. Pe de altă parte, capacitatea hackerilor de a utiliza instrumente de inginerie socială pentru a interacționa cu serviciile pentru clienți, le permite să realizeze cu relativă ușurință, profitând de informațiile pe care le au despre noi, pentru a convinge aceste servicii că sunt utilizatorul adevărat și obțineți conturile noastre.

Ei bine, odată cu dezvoltarea societății informaționale, este un fapt incontestabil că prezența noastră pe internet va continua să crească, în timp ce vom depinde într-o măsură mai mare de utilizarea serviciilor online pentru viața noastră de zi cu zi, ceea ce s-a adăugat la intenția de a transforma telefoanele mobile în portofele electronice pentru plată, prin utilizarea tehnologiei NFC (Near Field Communication), sunt ingredientele pentru o furtună perfectă din punct de vedere al securității, imposibil de evitat cu singura utilizare a parolelor și mecanisme de verificare precum cele actuale.

Ca și în toate aspectele în care este implicată securitatea, este necesar să se stabilească un compromis între puterea mecanismului de autentificare și ușurința de utilizare și confidențialitatea serviciului în cauză. Din păcate, până acum, ușurința de utilizare a prevalat asupra puterii mecanismelor de autentificare.

Se pare că există o coincidență în opinia că soluția la această problemă constă într-o combinație de parole, analiza modelelor de utilizare și utilizarea dispozitivelor biometrice pentru a garanta un proces de autentificare care face viața mai ușoară pentru utilizatori, cu mai multe mecanisme de verificare. sigur decât cele actuale.

Deja unii furnizori de servicii din rețea au început să folosească modele de utilizare ca o completare a parolelor, de aceea, de exemplu, atunci când accesăm contul nostru Gmail de pe un alt IP decât cel pe care îl facem de obicei, acesta ne trimite la un ecran de verificare pentru a verifica printr-o altă metodă (apel telefonic sau mesaj text), că suntem utilizatorul legal al contului. În ceea ce privește acest aspect, pare să existe un consens că este doar o chestiune de timp ca majoritatea furnizorilor de servicii din rețea să adopte variante similare.

Ceea ce lipsește încă este că utilizarea mecanismelor sau dispozitivelor biometrice ca parte a autentificării nu a început să fie implementată, există diverse forme, de la cele mai simple, cum ar fi recunoașterea tiparului de voce sau recunoașterea facială (complet executabilă de software) și pentru care dispozitivele mobile au deja hardware-ul necesar (microfoane și camere), chiar și cele mai complexe, cum ar fi cititoarele de amprente sau scanerele de iris.

Deși se iau deja câțiva pași în acest sens, precum recunoașterea facială pentru deblocarea telefonului mobil în unele telefoane Android sau achiziția recentă de către Apple a companiei AuthenTec, specializată în aceste probleme, utilizarea sa nu depășește anecdotica și Ceea ce este mai îngrijorător este că integrarea acestor forme de autentificare cu serviciile din rețea nu a început încă să fie discutată.

În opinia mea, recunoașterea facială sau vocală, deși sunt cele mai ușor de implementat și nu necesită hardware suplimentar, sunt cele mai puțin sigure metode, în timp ce scanerele de iris sunt total imposibil de integrat în dispozitivele mobile, care Cea mai bună opțiune sunt cititoarele de amprente, care datorită dimensiunilor reduse și multiplicității de „taste” ar fi soluția perfectă; Permiteți-mi să vă explic: dacă suntem răgușiți din cauza gripei sau am suferit un accident sau avem un traumatism facial, recunoașterea vocală sau facială ar fi complicată, în timp ce cu un cititor de amprente, putem configura utilizarea mai multor degete, Un accident într-unul nu ne-ar împiedica să accesăm datele și serviciile noastre.

În prezent, există deja câteva notebook-uri care integrează cititoarele de amprente în configurația lor, fără a observa o creștere substanțială a prețului în aceste modele, ceea ce ne permite să deducem că costul lor nu este semnificativ, în ciuda faptului că utilizarea lor nu a fost extins. Pe de altă parte, din păcate, în acest moment există foarte puține dispozitive mobile care au cititoare de amprente și integrarea lor în ele nu pare a fi o tendință.

Unele opinii sugerează că ne confruntăm cu situația clasică a puiului și a ouălor: cititorii nu sunt integrați în dispozitive, deoarece serviciile de rețea nu le folosesc ca mecanism de autentificare, dar la rândul lor, serviciile de rețea nu le folosesc ca mecanism. autentificare datorită numărului redus de dispozitive care le au integrate ca standard. Acesta pare a fi nodul gordian pe care nimeni nu îndrăznește să-l taie în acest moment.

Dincolo de acest impas în care ne aflăm, cred că există o situație de rezolvat pentru implementarea acestuia și că este stabilirea standardelor necesare pentru utilizarea amprentelor digitale în autentificare, adică cititorul de amprente scanează o imagine și din acesta, trebuie să fie generat un fel de semnătură electronică, care este cea care ar fi trimisă serviciului ca „parolă” pentru autentificare, deci algoritmul pentru generarea acelei semnături trebuie să garanteze că cititorii diferiți generează semnături egale ale unui aceeași amprentă, fără a aduce atingere securității și care nu pare a fi ceva simplu.

Da, știu că, în acest moment, unii vor aduce în discuție ceea ce au văzut într-un film în care, ridicând o amprentă lăsată pe un pahar, reușesc să o folosească pentru a accesa o instalație, dar acest lucru, dincolo de spectaculosul care rezultă pe ecran, nu este Cred că va deveni o modă de care ar trebui să avem grijă în viitor; Cu excepția cazului în care unul dintre noi este agent 007 sau are codurile de acces la Fort Knox.

După cum spune autorul articolului care dă naștere acestui post, primul pas în rezolvarea unei probleme este recunoașterea existenței sale și apoi posibilitatea de a începe să propună soluții și tocmai despre asta este vorba. Recomand tuturor celor care pot citi articolul la care mă refer, pentru că este foarte ilustrativ, dar și plăcut de citit (ceea ce, din păcate, cei care nu știu engleza nu se vor putea bucura), cu stimulentul suplimentar de a conține câteva perle hackerii au păcălit serviciile „de renume” pentru a avea acces.

Ești de acord cu părerea mea sau ești unul dintre cei care încă mai cred că parolele sunt suficiente pentru noi?