Біометрія Майбутнє автентифікації?

Сьогодні читаю статтю, опубліковану Мет Хонан у провідна з титулом "Убити пароль: чому рядок символів не може нас більше захистити" (що в перекладі на нашу мову звучить так: "Вбивство пароля: Чому рядок символів більше не може нас захистити?"), я згадав розмову кілька днів тому з деякими членами цієї спільноти, в якій згадав, наскільки мало поширене використання зчитувачів відбитків пальців як механізму автентифікації, особливо в найбільш широко використовуваних мобільних пристроях, та переваги, які може забезпечити їх використання.

У цій статті представлені останні приклади того, як були зламані облікові записи деяких користувачів (включаючи автора статті), висвітлюючи справжню нездатність паролів та поточні механізми автентифікації та перевірки для захисту нашої інформації та конфіденційності, і він аргументує причини це твердження, всі вони дуже вагомі, і це можна було б узагальнити у чотири великі групи:

1. - Збільшення обробної потужності, що дозволяє злом паролів за допомогою грубої сили та словників паролів, доступних у мережі. Давай, з місткістю поточних процесорів та графічних процесорів, використовуючи широко доступні програми злому грубими силами, зі словниками, які ми можемо легко потрапити в мережу, це лише питання часу, коли комусь вдасться знайти пароль зашифрованого файлу , навіть коли він нібито "безпечний", оскільки містить літери, цифри та інші символи, із загостренням того, що ці можливості будуть зростати в майбутньому.

2. - Повторне використання паролів тим самим користувачем. Що ми коли-небудь робили? Ми використовуємо один і той же обліковий запис електронної пошти для автентифікації себе в різних службах, навіть, ми використовуємо одне і те ж ім’я користувача та пароль, коли реєструємось у різних місцях мережі, крім того, щоб «прив’язати» свої облікові записи до тієї ж «резервної» адреси електронної пошти, тим самим що якщо хтось отримає доступ до одного з наших акаунтів, він практично отримає доступ до всіх них.

3. - Використання фішингу та шкідливих програм для викрадення паролів. Тут найбільше впливає на здоровий глузд користувача, адже якщо ви зазвичай натискаєте посилання на те, скільки електронної пошти ви отримуєте або скільки сторінок ви відвідуєте, ви самі можете доставити інформацію, яка згодом буде використана проти вас.

4. - Використання “соціальної інженерії”. Тут є два широко використовувані аспекти. З одного боку, все більше і більше ми розміщуємо своє життя в мережі: Facebook, Linkedin, особисті блоги тощо. надавати всім доступні детальні подробиці нашого життя (де ми навчаємось, хто наші друзі, ім’я нашого улюбленця тощо), які в більшості випадків є відповідями на питання перевірки майже всіх служб, в яких ми реєструємось. З іншого боку, здатність хакерів використовувати засоби соціальної інженерії для взаємодії зі службами споживачів, дозволяє їм досягати з відносною легкістю, використовуючи інформацію, яку вони мають про нас, і переконати ці служби в тому, що вони є користувачем вірно і влаштуйте наші рахунки.

Ну, з розвитком інформаційного суспільства є незаперечним фактом те, що наша присутність в Інтернеті буде продовжувати зростати, тоді як ми будемо більшою мірою залежати від використання онлайн-сервісів для нашого повсякденного життя, що додало наміру перетворити мобільні телефони на електронні гаманці для оплати за допомогою технології NFC (Near Field Communication) - це інгредієнти ідеального шторму з точки зору безпеки, якого неможливо уникнути, використовуючи лише паролі та механізми перевірки, як нинішні .

Як і у всіх питаннях, які стосуються безпеки, необхідно встановити компроміс між силою механізму автентифікації та простотою використання та конфіденційністю даної послуги. На жаль, дотепер простота використання переважала над силою механізмів автентифікації.

Здається, збіг думок, що вирішення цієї проблеми полягає у поєднанні паролів, аналізі моделей використання та використанні біометричних пристроїв, щоб гарантувати процес автентифікації, що полегшує життя користувачам, з більшою кількістю механізмів перевірки. нинішні.

Вже деякі постачальники послуг у мережі почали використовувати шаблони використання як доповнення до паролів, тому, наприклад, коли ми отримуємо доступ до свого облікового запису Gmail з іншої IP-адреси, відмінної від тієї, яку ми зазвичай робимо, він надсилає нам на екран перевірки, щоб іншим способом (телефонний дзвінок або текстове повідомлення) підтвердити, що ми є законним користувачем облікового запису. Щодо цього аспекту, схоже, існує консенсус щодо того, що більшість постачальників послуг у мережі приймають подібні варіанти лише питання часу.

Все ще бракує того, що використання біометричних механізмів або пристроїв як частини автентифікації не почало впроваджуватися, існують різні форми, від найпростіших, таких як розпізнавання голосових зразків або розпізнавання обличчя (повністю виконується програмним забезпеченням) і для яких мобільні пристрої вже мають необхідне обладнання (мікрофони та камери), навіть найскладніші, такі як сканери відбитків пальців або сканери райдужної оболонки.

Хоча в цьому сенсі вже робляться деякі кроки, такі як розпізнавання обличчя для розблокування мобільного телефону на деяких телефонах Android або нещодавня покупка компанією AuthenTec компанії AuthenTec, що спеціалізується на цих питаннях, її використання не виходить за рамки анекдотичного та Більше занепокоєння викликає те, що інтеграція цих форм автентифікації зі службами в мережі ще не почала обговорюватися.

На мою думку, розпізнавання обличчя або голосу, хоча їх найпростіше реалізувати і не вимагають додаткового обладнання, є найменш безпечними методами, тоді як сканери райдужної оболонки абсолютно неможливо інтегрувати в мобільні пристрої, які Найкращий варіант - це зчитувачі відбитків пальців, які через зменшені розміри та множинність «клавіш» будуть ідеальним рішенням; Дозвольте мені пояснити: якщо ми захриплі через грип, або ми перенесли нещасний випадок, або у нас травма обличчя, голос або розпізнавання обличчя буде складним, тоді як за допомогою сканера відбитків пальців ми можемо налаштувати використання декількох пальців, тому Аварія в одному не завадить нам отримати доступ до наших даних та послуг.

В даний час вже існує кілька ноутбуків, які інтегрують у свою конфігурацію зчитувачі відбитків пальців, не помічаючи значного зростання цін на ці моделі, що дозволяє зробити висновок, що їх вартість не є значною, незважаючи на те, що їх використання не було розширений. З іншого боку, на жаль, на даний момент дуже мало мобільних пристроїв, які мають зчитувачі відбитків пальців, і їх інтеграція в них, здається, не є тенденцією.

Деякі думки свідчать про те, що ми стикаємось із класичною ситуацією з куркою та яйцем: читачі не інтегровані в пристрої, оскільки мережеві служби не використовують їх як механізм автентифікації, але, в свою чергу, мережеві служби не використовують їх як механізм автентифікація через невелику кількість пристроїв, які мають їх стандартну інтеграцію. Здається, це той гордієвий вузол, який наразі ніхто не наважується розрізати.

Окрім цього глухого кута, в якому ми опинилися, я думаю, що існує ситуація, яку потрібно вирішити для його реалізації, і це встановлення необхідних стандартів використання відбитків пальців при автентифікації, тобто сканер відбитків сканує зображення і з нього повинен бути сформований такий собі електронний підпис, який буде надсилатися службі як "пароль" для автентифікації, тому алгоритм генерації цього підпису повинен гарантувати, що різні читачі генерують рівні підписи той самий слід, без шкоди для безпеки, і це, здається, не є простим.

Так, я знаю, що в цей момент дехто розповість про те, що вони бачили у фільмі, коли, піднявши відбиток пальця, що залишився на склі, їм вдається використовувати його для доступу до інсталяції, але це, крім вражаючого, що виходить на екрані, не Я думаю, що це стає модою, про яку ми повинні дбати в майбутньому; Якщо хтось із нас не є агентом 007 або не має кодів доступу до Форт Нокс.

Як зазначає автор статті, яка породжує цю публікацію, першим кроком у вирішенні проблеми є визнання її існування, щоб потім можна було пропонувати рішення, і саме про це йдеться. Я рекомендую всім, хто може прочитати статтю, на яку я посилаюся, тому що вона дуже ілюстративна, а також приємна для читання (якою, на жаль, ті, хто не знає англійської, не зможуть насолодитися), з додатковим стимулом, що містить деякі перлини про те, як хакери обманули "поважні" служби, щоб отримати доступ.

Чи погоджуєтесь ви з моєю думкою чи ви з тих, хто все ще вважає, що паролів нам достатньо?