Biometric Ang kinabukasan ng pagpapatotoo?

Ngayon na nagbabasa ng isang artikulong nai-publish ni Mat Honan sa Wired pinamagatang "Patayin ang Password: Bakit Hindi Maaring Protektahan Kami ng Isang String ng Mga Character" (kung saan isinalin sa aming wika ang: "pagpatay sa password: Bakit hindi na kami mapoprotektahan ng isang string ng mga character?"), Naalala ko ang isang pag-uusap ilang araw na ang nakakaraan kasama ang ilan sa mga miyembro ng komunidad na ito kung saan binanggit kung gaano kalaki ang paggamit ng mga mambabasa ng fingerprint ay bilang isang mekanismo ng pagpapatotoo, lalo na sa pinakalawak na ginagamit na mga mobile device at mga kalamangan na ibibigay ng kanilang paggamit.

Ipinapakita ng pinag-uusapang artikulo ang mga kamakailang halimbawa kung paano ang mga account ng ilang mga gumagamit (kasama ang may-akda ng artikulo) ay na-hack, na binibigyang diin ang tunay na kawalan ng kakayahan ng mga password at kasalukuyang mekanismo ng pagpapatunay at pagpapatunay upang maprotektahan ang aming impormasyon at privacy. At pinagtatalunan niya ang mga dahilan para sa pahayag na ito, lahat ng mga ito ay napaka-wasto at maaaring buod sa apat na malalaking pangkat:

1.- Taasan ang kakayahan sa pagproseso na nagbibigay-daan sa pag-hack ng password sa pamamagitan ng paggamit ng malupit na puwersa at mga diksyunaryo ng password na magagamit sa network. Halika, na may kapasidad ng kasalukuyang mga CPU at GPU, na gumagamit ng malawak na magagamit na mga programa sa pag-hack sa pamamagitan ng mabangis na puwersa, na may mga diksyonaryo na madali nating makukuha sa network, kaunting oras lamang bago magawang makita ng isang tao ang password ng isang naka-encrypt na file , kahit na ito ay sinasabing "ligtas" sapagkat naglalaman ito ng mga titik, numero at iba pang mga character, na may paglala na ang mga kapasidad na ito ay patuloy na tataas sa hinaharap.

2.- Paggamit muli ng mga password ng parehong gumagamit. Ano na ang nagawa natin? Gumagamit kami ng parehong email account upang patunayan ang aming mga sarili sa iba't ibang mga serbisyo, kahit, ginagamit namin ang parehong username at password kapag nagparehistro kami sa iba't ibang mga lugar sa network, bilang karagdagan sa "chain" ang aming mga account na may parehong "backup" na email address, sa gayon na kung ang isang tao ay makakakuha ng pag-access sa isa sa aming mga account, praktikal na makakuha sila ng access sa kanilang lahat.

3.- Paggamit ng pishing at malware upang magnakaw ng mga password. Dito, kung ano ang nakakaimpluwensya sa sentido komun ng gumagamit, sapagkat kung karaniwang nag-click sa mga link ng kung gaano karaming mail ang natanggap mo o kung gaano karaming mga pahina ang binibisita mo, nalantad ka upang maihatid ang impormasyon sa iyong sarili na sa paglaon ay gagamitin laban sa iyo.

4.- Paggamit ng "social engineering". Mayroong dalawang malawak na ginagamit na mga aspeto dito. Sa isang banda, parami nang parami ang inilalagay natin ang ating buhay sa net: Facebook, Linkedin, mga personal na blog, atbp. maging magagamit sa lahat, detalyadong mga detalye ng aming buhay (kung saan kami nag-aaral, sino ang aming mga kaibigan, ang pangalan ng aming alagang hayop, atbp., atbp.), Na sa karamihan ng mga kaso ang mga sagot sa mga katanungan sa pagpapatunay ng halos lahat ng mga serbisyo sa na pinarehistro namin. Sa kabilang banda, ang kakayahan ng mga hacker na gumamit ng mga tool sa social engineering upang makipag-ugnay sa mga serbisyo sa customer, pinapayagan silang makamit nang may gaanong kadalian, sinasamantala ang impormasyong mayroon sila tungkol sa amin, upang kumbinsihin ang mga serbisyong ito na sila ang tunay na gumagamit at nakukuha hawak ang aming mga account.

Sa gayon, sa pag-unlad ng lipunan ng impormasyon, ito ay hindi maikakaila na ang ating pagkakaroon sa Internet ay magpapatuloy na lumago, habang aasa tayo sa mas malawak na lawak sa paggamit ng mga serbisyong online para sa ating pang-araw-araw na buhay, na idinagdag sa hangarin upang mai-convert ang mga mobile phone sa mga electronic wallet para sa pagbabayad, sa pamamagitan ng paggamit ng teknolohiyang NFC (Near Field Communication), ang mga sangkap para sa isang perpektong bagyo sa mga tuntunin ng seguridad, imposibleng maiwasan ang paggamit lamang ng mga password at mekanismo ng pag-verify tulad ng kasalukuyang mga .

Tulad ng sa lahat ng mga bagay kung saan kasangkot ang seguridad, kinakailangan upang magtaguyod ng isang kompromiso sa pagitan ng lakas ng mekanismo ng pagpapatunay kumpara sa kadalian ng paggamit at privacy ng serbisyong pinag-uusapan. Sa kasamaang palad, sa ngayon, ang kadalian ng paggamit ay nanaig sa lakas ng mga mekanismo ng pagpapatotoo.

Tila may isang pagkakataon sa opinyon na ang solusyon sa problemang ito ay nakasalalay sa isang kumbinasyon ng mga password, pagsusuri ng mga pattern ng paggamit at paggamit ng mga biometric na aparato upang magarantiyahan ang isang proseso ng pagpapatotoo na ginagawang madali ang buhay para sa mga gumagamit, na may higit na mga mekanismo ng pag-verify. Sigurado kaysa ang mga kasalukuyan.

Ang ilang mga service provider sa network ay nagsimula nang gumamit ng mga pattern ng paggamit bilang pantulong sa mga password, iyon ang dahilan, halimbawa, kapag na-access namin ang aming Gmail account mula sa isang IP bukod sa karaniwang ginagawa namin, ipinapadala ito sa amin sa isang screen ng pag-verify upang mapatunayan sa pamamagitan ng ibang pamamaraan (tawag sa telepono o text message), na kami ang ligal na gumagamit ng account. Sa aspetong ito, tila may isang pinagkasunduan na kaunting oras lamang na ang karamihan sa mga nagbibigay ng serbisyo sa network ay gumagamit ng magkatulad na pagkakaiba-iba.

Ang kulang pa rin ay ang paggamit ng mga mekanismong biometric o aparato bilang bahagi ng pagpapatotoo na hindi pa nagsisimulang ipatupad, may iba't ibang mga form, mula sa pinakasimpleng tulad ng pagkilala sa pattern ng boses o pagkilala sa mukha (ganap na naisasagawa ng software) at para sa aling mobile ang mga aparato ay mayroon nang kinakailangang hardware (microphones at camera), kahit na ang pinaka-kumplikado tulad ng mga fingerprint reader o mga iris scanner.

Bagaman ang ilang mga hakbang ay ginagawa na tungkol dito, tulad ng pagkilala sa mukha upang ma-unlock ang mobile sa ilang mga Android phone o ang kamakailang pagbili ng Apple ng kumpanya na AuthenTec, na dalubhasa sa mga isyung ito, ang paggamit nito ay hindi lalampas sa anecdotal at Ano ang ang higit na nag-aalala ay ang pagsasama ng mga ganitong uri ng pagpapatotoo sa mga serbisyo sa network ay hindi pa nagsisimulang talakayin.

Sa palagay ko, ang pagkilala sa mukha o boses, kahit na ang mga ito ang pinakamadaling ipatupad at hindi nangangailangan ng karagdagang hardware, ay ang hindi gaanong ligtas na mga pamamaraan, habang ang mga iris scanner ay imposibleng maisama sa mga mobile device, na iniiwan sa amin ang pinakamahusay na pagpipilian para sa fingerprint mga mambabasa, na dahil sa kanilang pinababang sukat at dami ng mga "key" ay magiging perpektong solusyon; Hayaan mong ipaliwanag ko: kung kami ay namamaos dahil sa trangkaso o naranasan namin ang isang aksidente o mayroon kaming pinsala sa mukha, ang tunog o pagkilala sa mukha ay magiging kumplikado, habang may isang mambabasa ng tatak ng daliri, maaari nating mai-configure ang paggamit ng maraming mga daliri, kaya't Ang isang aksidente sa isa ay hindi pipigilan sa amin na mai-access ang aming data at mga serbisyo.

Sa kasalukuyan mayroon nang ilang mga notebook na isinasama ang mga mambabasa ng fingerprint sa kanilang pagsasaayos, nang hindi napansin ang isang malaking pagtaas ng presyo sa mga modelong ito, na nagpapahintulot sa amin na mahihinuha na ang kanilang gastos ay hindi makabuluhan, sa kabila ng katotohanang ang kanilang paggamit ay hindi na pinalawak. Sa kabilang banda, sa kasamaang palad sa sandaling ito ay may napakakaunting mga mobile device na may mga mambabasa ng fingerprint at ang kanilang pagsasama sa mga ito ay tila hindi isang kalakaran.

Ang ilang mga opinyon ay nagmumungkahi na nakaharap kami sa klasikong sitwasyon ng manok at itlog: ang mga mambabasa ay hindi isinasama sa mga aparato dahil ang mga serbisyo sa network ay hindi ginagamit ang mga ito bilang isang mekanismo ng pagpapatunay, ngunit sa turn, ang mga serbisyo sa network ay hindi ginagamit ang mga ito bilang isang mekanismo ng pagpapatunay dahil sa maliit na bilang ng mga aparato na isinama ang mga ito bilang pamantayan. Tila ito ang knot ng Gordian na walang sinuman ang naglakas-loob na i-cut sa ngayon.

Higit pa sa impass na ito kung saan nahahanap natin ang ating sarili, sa palagay ko ay may isang sitwasyon na malulutas para sa pagpapatupad nito at iyon ang pagtatatag ng mga kinakailangang pamantayan para sa paggamit ng mga fingerprint sa pagpapatotoo, iyon ay, ang mambabasa ng fingerprint ay nag-scan ng isang imahe at mula sa ito, isang uri ng elektronikong lagda ay dapat na nabuo, na kung saan ay ipapadala sa serbisyo bilang isang "password" para sa pagpapatotoo, kaya ang algorithm para sa pagbuo ng lagda na iyon ay dapat na ginagarantiyahan na ang iba't ibang mga mambabasa ay makabuo ng pantay na pirma ng isang parehong bakas ng paa, nang walang kapahamakan sa seguridad at tila hindi ito isang bagay na simple.

Oo, alam ko na sa puntong ito ang ilan ay maglalabas ng kanilang nakita sa isang pelikula kung saan sa pamamagitan ng pagtaas ng isang fingerprint na natitira sa isang baso pinamamahalaan nilang gamitin ito upang ma-access ang isang pag-install, ngunit ito, lampas sa kamangha-manghang mga resulta sa screen, ginagawa hindi sa palagay ko ito ay nagiging isang fashion na dapat nating alagaan sa hinaharap; Maliban kung ang isa sa atin ay isang 007 Agent o mayroong mga access code sa Fort Knox.

Tulad ng sinabi ng may-akda ng artikulong nagpapalaki sa post na ito, ang unang hakbang sa paglutas ng isang problema ay ang pagkilala sa pagkakaroon nito upang masimulan na ang imungkahi ang mga solusyon at tiyak na tungkol ito. Inirerekumenda ko sa lahat na makakabasa ng artikulo kung saan ako sumangguni, sapagkat ito ay napaka nakalarawan, pati na rin kasiya-siya na basahin (na sa kasamaang palad ang mga hindi nakakaalam ng Ingles ay hindi masisiyahan), na may karagdagang insentibo na naglalaman ng ilang perlas kung paano niloko ng mga hacker ang "kagalang-galang" na mga serbisyo upang makakuha ng pag-access.

Sumasang-ayon ka ba sa aking opinyon o ikaw ay isa sa mga naniniwala pa rin na ang mga password ay sapat na para sa amin?