Biometria Budúcnosť autentifikácie?

Dnes čítam článok publikovaný Matom Honanom v Káblové s názvom „Zabite heslo: Prečo nás reťazec znakov už nemôže ochrániť“ (čo je do nášho jazyka preložené: „Zabíjanie hesla: Prečo nás už nemôže chrániť reťazec znakov?“), spomenul som si na rozhovor pred niekoľkými dňami s niektorými členmi tejto komunity, v ktorom spomenul, ako málo rozšírené použitie čítačiek odtlačkov prstov je ako mechanizmus autentifikácie, najmä v najpoužívanejších mobilných zariadeniach a výhodách, ktoré by ich použitie poskytlo.

Predmetný článok predstavuje nedávne príklady hacknutia účtov niektorých používateľov (vrátane autora článku), zdôrazňuje skutočnú neschopnosť hesiel a súčasné mechanizmy overovania a overovania na ochranu našich informácií a súkromia a argumentuje dôvodmi toto tvrdenie, ktoré je veľmi platné, a ktoré by sa dalo zhrnúť do štyroch veľkých skupín:

1. - Zvýšenie kapacity spracovania, ktorá umožňuje hackovanie hesiel pomocou slovníkov hrubej sily a hesiel dostupných v sieti. No tak, s kapacitou súčasných CPU a GPU, pomocou bežne dostupných hackerských programov hrubou silou, so slovníkmi, ktoré sa ľahko dostaneme do siete, je len otázkou času, kedy sa niekomu podarí nájsť heslo šifrovaného súboru , aj keď je to údajne „bezpečné“, pretože obsahuje písmená, číslice a ďalšie znaky, s tým zhoršením, že tieto kapacity sa v budúcnosti budú naďalej zvyšovať.

2.- Opätovné použitie hesiel tým istým používateľom. Čo sme kedy urobili? Rovnaký e-mailový účet používame na overenie totožnosti v rôznych službách, dokonca používame rovnaké používateľské meno a heslo, keď sa registrujeme na rôznych miestach v sieti, okrem toho, že svoje účty „zreťazujeme“ rovnakou „záložnou“ e-mailovou adresou, čím že ak niekto získa prístup k jednému z našich účtov, získa prístup prakticky ku všetkým.

3. - Používanie neoprávneného získavania údajov a škodlivého softvéru na získanie hesla. Čo tu najviac ovplyvňuje zdravý rozum používateľa, pretože ak zvyčajne klikáte na odkazy na to, koľko pošty dostanete alebo koľko stránok navštívite, ste vystavení tomu, aby ste sami poskytli informácie, ktoré budú neskôr použité proti vám.

4.- Využitie „sociálneho inžinierstva“. Existujú dva široko používané aspekty. Na jednej strane čoraz viac umiestňujeme svoj život na sieť: Facebook, Linkedin, osobné blogy atď. sprístupniť každému podrobné podrobnosti o našom živote (kde študujeme, kto sú naši priatelia, meno nášho domáceho maznáčika atď.), ktoré sú vo väčšine prípadov odpoveďami na overovacie otázky takmer všetkých služieb v ktoré registrujeme. Na druhej strane schopnosť hackerov využívať nástroje sociálneho inžinierstva na interakciu so službami zákazníkom im umožňuje dosiahnuť relatívne ľahko a s využitím informácií, ktoré o nás majú, presvedčiť tieto služby, že sú skutočnými používateľmi, a získať pozdržanie našich účtov.

S rozvojom informačnej spoločnosti je nepopierateľným faktom, že naša prítomnosť na internete bude stále narastať, zatiaľ čo vo väčšej miere budeme závisieť od využívania služieb online pre náš každodenný život, čo sa pridalo k zámeru. premeniť mobilné telefóny na elektronické peňaženky za platbu pomocou technológie NFC (Near Field Communication) sú ingrediencie pre dokonalú búrku z hľadiska bezpečnosti, ktorej sa nedá vyhnúť pomocou jediného použitia hesiel a overovacích mechanizmov, ako sú tie súčasné .

Tak ako vo všetkých záležitostiach, ktorých sa týka bezpečnosť, je potrebné ustanoviť kompromis medzi silou autentifikačného mechanizmu v porovnaní s ľahkým používaním a súkromím príslušnej služby. Bohužiaľ zatiaľ jednoduché použitie zvíťazilo nad silou autentifikačných mechanizmov.

Zdá sa, že existuje náhoda v názore, že riešenie tohto problému spočíva v kombinácii hesiel, analýze vzorov používania a používania biometrických zariadení na zaručenie procesu autentifikácie, ktorý uľahčí život používateľom, s viacerými mechanizmami overovania. tie súčasné.

Niektorí poskytovatelia služieb v sieti už začali používať vzory používania ako doplnok k heslám, preto napríklad keď pristupujeme k nášmu účtu Gmail z inej adresy IP, ako je tá, ktorú bežne používame, pošle nás na obrazovku overenia iným spôsobom (telefonickým hovorom alebo textovou správou) overiť, či sme oprávneným používateľom účtu. Z tohto hľadiska sa zdá, že existuje konsenzus, že je len otázkou času, kedy väčšina poskytovateľov služieb v sieti prijme podobné varianty.

Stále chýba, že sa použitie biometrických mechanizmov alebo zariadení ako súčasť autentifikácie nezačalo implementovať, existujú rôzne formy, od tých najjednoduchších, ako je rozpoznávanie hlasových vzorov alebo rozpoznávanie tváre (plne spustiteľné softvérom) a pre ktoré sú mobilné zariadenia už majú potrebný hardvér (mikrofóny a fotoaparáty), dokonca aj ten najzložitejší, ako sú snímače odtlačkov prstov alebo snímače dúhovky.

Aj keď sa v tejto súvislosti už podnikajú určité kroky, napríklad rozpoznávanie tváre na odomykanie mobilných telefónov v niektorých telefónoch s Androidom alebo nedávny nákup spoločnosti AuthenTec, špecializovanej na tieto problémy, spoločnosťou Apple, jej použitie nepresahuje anekdotické a Čo je znepokojujúcejšie je, že o integrácii týchto foriem autentifikácie so službami v sieti sa ešte nezačalo diskutovať.

Podľa môjho názoru je rozpoznávanie tváre alebo hlasu, aj keď sa najľahšie implementujú a nevyžadujú ďalší hardvér, najmenej bezpečné metódy, zatiaľ čo skenery dúhovky sa nedajú úplne integrovať do mobilných zariadení. Najlepšou možnosťou sú snímače odtlačkov prstov, ktoré vzhľadom na ich zmenšené rozmery a rozmanitosť „kláves“ by bolo dokonalým riešením; Vysvetlím: ak sme chrípkou chrapľaví alebo sme utrpeli úraz alebo máme poranenie tváre, hlas alebo rozpoznávanie tváre by bolo komplikované, zatiaľ čo pomocou čítačky odtlačkov prstov môžeme nakonfigurovať použitie viacerých prstov, takže nehoda v jednom by nám nebránila v prístupe k našim údajom a službám.

V súčasnosti už existujú notebooky, ktoré integrujú čítačky odtlačkov prstov do svojej konfigurácie, bez toho, aby si všimli podstatné zvýšenie ceny týchto modelov, čo nám umožňuje usúdiť, že ich cena nie je významná, a to aj napriek tomu, že ich použitie nebolo rozšírené. Na druhej strane, bohužiaľ v súčasnosti existuje len veľmi málo mobilných zariadení, ktoré majú snímače odtlačkov prstov a ich integrácia sa v nich nejaví ako trend.

Niektoré názory naznačujú, že sa stretávame s klasickou situáciou kurčiat a vajec: čítačky nie sú integrované do zariadení, pretože ich sieťové služby nepoužívajú ako mechanizmus autentifikácie, ale naopak, sieťové služby ich nepoužívajú ako autentifikáciu mechanizmu z dôvodu malý počet zariadení, ktoré ich majú štandardne integrované. Zdá sa, že toto je gordický uzol, ktorý si momentálne nikto netrúfa nastrihať.

Okrem tejto nepriechodnej situácie, v ktorej sa nachádzame, si myslím, že je potrebné vyriešiť situáciu pri jej implementácii, a to je zavedenie potrebných štandardov pre používanie odtlačkov prstov pri autentifikácii, to znamená, že čítačka odtlačkov prstov skenuje obrázok a z musí sa vygenerovať druh elektronického podpisu, ktorý by sa službe odoslal ako „heslo“ na autentifikáciu, takže algoritmus na generovanie tohto podpisu musí zaručiť, aby rôzni čitatelia generovali rovnaké podpisy rovnakej stopy, bez ujmy na bezpečnosti a zdá sa, že to nie je niečo jednoduché.

Áno, viem, že v tomto okamihu niektorí prinesú to, čo videli vo filme, kde zvýšením odtlačku prsta, ktorý zostal na skle, ho dokáže použiť na prístup k inštalácii, ale toto, nad rámec veľkolepého výsledku na obrazovke, robí nie Myslím si, že sa z toho stane móda, o ktorú by sme sa mali v budúcnosti starať; Pokiaľ jeden z nás nie je agentom 007 alebo nemá prístupové kódy do Fort Knox.

Ako hovorí autor článku, ktorý vedie k vzniku tohto príspevku, prvým krokom pri riešení problému je uznanie jeho existencie, aby bolo možné potom začať navrhovať riešenia, a presne o to ide. Odporúčam všetkým, ktorí si môžu prečítať článok, na ktorý odkazujem, pretože je veľmi ilustratívny a zároveň je čítanie príjemné (čo bohužiaľ tí, ktorí neovládajú angličtinu, si nebudú môcť vychutnať) s ďalšou motiváciou obsahovať niektoré perly toho, ako hackeri oklamali „renomované“ služby, aby získali prístup.

Súhlasíte s mojím názorom alebo ste jedným z tých, ktorí stále veria, že nám heslá stačia?