Biometri Autentiseringens framtid?

Läser idag en artikel publicerad av Mat Honan i Trådbunden kvalificerade "Döda lösenordet: Varför en rad karaktärer inte kan skydda oss längre" (vilket översatt till vårt språk blir: "Kill the password: Why can't a string of characters protect us anymore?"), kom jag ihåg en konversation för några dagar sedan med några av medlemmarna i denna gemenskap där han nämnde hur lite utbredd användning av fingeravtrycksläsare är som en autentiseringsmekanism, särskilt i de mest använda mobila enheterna, och de fördelar som deras användning skulle ge.

Artikeln i fråga presenterar senaste exempel på hur vissa användares konton har hackats (inklusive artikelförfattaren), och belyser den verkliga oförmågan hos lösenord och nuvarande autentiserings- och verifieringsmekanismer för att skydda vår information och integritet. och argumenterar för orsakerna till detta. detta uttalande, alla mycket giltiga och som kan sammanfattas i fyra stora grupper:

1.- Ökad bearbetningskapacitet som tillåter hacka lösenord genom att använda brute force och lösenordsordböcker tillgängliga på nätverket. Kom igen, med kapaciteten hos nuvarande CPU:er och GPU:er, med hjälp av allmänt tillgängliga brute force hackingprogram, med ordböcker som vi enkelt kan få på nätet, är det bara en tidsfråga innan någon lyckas hitta lösenordet till en krypterad fil. , även när det påstås vara "säkert" eftersom det innehåller bokstäver, siffror och andra tecken, med den försvårande omständigheten att dessa möjligheter kommer att fortsätta att öka i framtiden.

2.- Återanvändning av lösenord av samma användare. Vad har vi någonsin gjort? Vi använder samma e-postkonto för att autentisera oss i olika tjänster, vi använder till och med samma användarnamn och lösenord när vi registrerar oss på flera ställen i nätverket, förutom att "kedja" våra konton med samma "backup" mailadress, med vilken att om någon får tillgång till ett av våra konton så får de praktiskt taget tillgång till alla.

3.- Användning av nätfiske och skadlig programvara för att stjäla lösenord. Det som påverkar mest här är det sunda förnuftet hos användaren, för om du är van att klicka på länkarna till hur mycket e-post du får eller hur många sidor du besöker, är du utsatt för att själv leverera informationen som senare kommer att användas mot du.

4.- Användning av "social ingenjörskonst". Här finns två mycket använda aspekter. Å ena sidan lägger vi mer och mer våra liv på webben: Facebook, Linkedin, personliga bloggar osv. De gör detaljerade detaljer om våra liv tillgängliga för alla (där vi studerar, vilka våra vänner är, namnet på vårt husdjur, etc., etc.), vilket i de flesta fall är svaren på verifieringsfrågorna för nästan alla tjänster där vi registrerar oss. Å andra sidan, förmågan hos hackare att använda sociala ingenjörsverktyg för att interagera med kundtjänster gör att de kan uppnå relativt enkelt, dra fördel av informationen de har om oss, för att övertyga dessa tjänster om att de är användaren. av våra konton.

Jo, med utvecklingen av informationssamhället är det ett obestridligt faktum att vår närvaro på Internet kommer att fortsätta att växa, samtidigt som vi i större utsträckning kommer att vara beroende av användningen av onlinetjänster för vårt dagliga liv, vilket läggs till i Avsikten att förvandla mobiltelefoner till elektroniska plånböcker för betalning, genom användning av NFC-teknik (Near Field Communication), är ingredienserna för en perfekt storm vad gäller säkerhet, omöjlig att undvika med enbart användning av lösenord. och verifieringsmekanismer som de nuvarande.

Som i alla frågor som rör säkerhet är det nödvändigt att upprätta en kompromiss mellan styrkan hos autentiseringsmekanismen kontra användarvänligheten och integriteten för tjänsten i fråga. Tyvärr, fram till nu, har användarvänlighet segrat till nackdel för styrkan hos autentiseringsmekanismerna.

Det verkar råda enighet om att lösningen på detta problem ligger i en kombination av lösenord, analys av användningsmönster och användning av biometriska enheter för att garantera en autentiseringsprocess som gör livet lättare för användarna, med verifieringsmekanismer som är säkrare än nuvarande.

Vissa nättjänsteleverantörer har redan börjat använda användningsmönster som ett komplement till lösenord, vilket till exempel är anledningen till att när vi kommer åt vårt Gmail-konto från en annan IP än den vi vanligtvis gör, skickar den oss till en verifieringsskärm för att verifiera genom en annan metod (telefonsamtal eller sms), att vi är den lagliga användaren av kontot. När det gäller denna aspekt verkar det råda enighet om att det bara är en tidsfråga innan de flesta tjänsteleverantörer på nätet antar liknande varianter.

Vad som fortfarande saknas är att användningen av biometriska mekanismer eller enheter som en del av autentiseringen inte har börjat implementeras, med olika former som existerar, från de enklaste som röstmönsterigenkänning eller ansiktsigenkänning (helt körbart av programvara) och för vilka mobiler enheter har redan den nödvändiga hårdvaran (mikrofoner och kameror), även de mest komplexa som fingeravtrycksläsare eller irisskanner.

Även om vissa åtgärder redan vidtas i detta avseende, såsom ansiktsigenkänning för att låsa upp mobiltelefoner på vissa Android-telefoner eller Apples nyligen inköpta av företaget AuthenTec, specialiserat på dessa frågor, går dess användning inte utöver det anekdotiska och vad är mer oroande är att integrationen av dessa former av autentisering med tjänster på nätet ännu inte har börjat diskuteras.

Enligt min åsikt är ansikts- eller röstigenkänning, även om de är de enklaste att implementera och inte kräver ytterligare hårdvara, de metoder som skulle ge minst säkerhet, medan irisskannrar är helt omöjliga att integrera i mobila enheter, vilket det lämnar oss med fingeravtrycksläsare som det bästa alternativet, vilket på grund av deras små dimensioner och mångfald av "nycklar" skulle vara den perfekta lösningen; Låt mig förklara: om vi är hesa på grund av influensa eller har råkat ut för en olycka eller har en ansiktsskada, skulle röst- eller ansiktsigenkänning vara svårt, medan vi med en fingeravtrycksläsare kan konfigurera användningen av flera fingrar, så en olycka i man skulle inte hindra oss från att komma åt våra data och tjänster.

För närvarande finns det redan några bärbara datorer som integrerar fingeravtrycksläsare i sin konfiguration, utan att märka en betydande prishöjning i dessa modeller, vilket gör att vi kan dra slutsatsen att deras kostnad inte är betydande, trots att deras användning inte har varit utbredd. Å andra sidan är det tyvärr för närvarande väldigt få mobila enheter som har fingeravtrycksläsare och deras integration i dem verkar inte vara en trend.

Vissa åsikter tyder på att vi står inför den klassiska situationen med kyckling och ägg: läsare är inte integrerade i enheterna eftersom nätverkstjänster inte använder dem som en autentiseringsmekanism, men i sin tur använder nätverkstjänster dem inte som en mekanism för autentisering på grund av litet antal enheter som har dem integrerade som standard. Det här verkar vara den gordiska knuten som ingen vågar klippa för tillfället.

Bortom denna återvändsgränd som vi befinner oss i tror jag att det finns en situation som måste lösas för dess genomförande och det är upprättandet av nödvändiga standarder för användning av fingeravtryck vid autentisering, det vill säga fingeravtrycksläsaren skannar en bild och från det måste en sorts elektronisk signatur genereras, vilket är vad som skulle skickas till tjänsten som ett "lösenord" för autentisering, så algoritmen för genereringen av den signaturen måste garantera att olika läsare genererar lika signaturer med samma fotavtryck, utan att skada säkerheten och det verkar inte vara något enkelt.

Ja, jag vet att vid det här laget kommer en del att ta upp vad de har sett i en film där de genom att lyfta ett fingeravtryck på ett glas lyckas använda det för att komma åt en installation, men detta, utöver hur spektakulärt det är på skärmen, är inte jag tror att det kommer att bli ett mode som vi bör ta hand om i framtiden; såvida inte en av oss är en Agent 007 eller har åtkomstkoder till Fort Knox.

Som författaren till artikeln som ger upphov till det här inlägget säger, är det första steget för att lösa ett problem att inse dess existens så att du sedan kan börja föreslå lösningar, och det är precis vad det handlar om. Jag rekommenderar alla som kan att läsa artikeln som jag hänvisar till, eftersom den är mycket illustrativ och trevlig att läsa (vilket tyvärr inte kommer de som inte kan engelska kommer att kunna njuta av), med det ytterligare incitamentet att innehålla några pärlor av hur hackare har lurat "reputerade" tjänster att få tillgång.

Håller du med om min åsikt eller är du en av dem som fortfarande tror att lösenord räcker för oss?