Sinh trắc học Tương lai của xác thực?

Hôm nay đọc một bài báo được xuất bản bởi Mat Honan trong Có dây có tiêu đề "Giết mật khẩu: Tại sao một chuỗi ký tự không thể bảo vệ chúng ta thêm nữa" (được dịch sang ngôn ngữ của chúng tôi là: "Giết mật khẩu: Tại sao một chuỗi ký tự không thể bảo vệ chúng tôi nữa?"), tôi nhớ một cuộc trò chuyện vài ngày trước với một số thành viên của cộng đồng này đề cập đến mức độ phổ biến ít việc sử dụng đầu đọc dấu vân tay như một cơ chế xác thực, đặc biệt là trong các thiết bị di động được sử dụng rộng rãi nhất và những lợi ích mà việc sử dụng chúng sẽ mang lại.

Bài viết được đề cập trình bày các ví dụ gần đây về cách tài khoản của một số người dùng (bao gồm cả tác giả của bài báo) đã bị tấn công, làm nổi bật sự bất lực thực sự của mật khẩu cũng như các cơ chế xác thực và xác minh hiện tại để bảo vệ thông tin và quyền riêng tư của chúng tôi và ông giải thích lý do tuyên bố này, tất cả chúng đều rất hợp lệ và có thể được tóm tắt trong bốn nhóm lớn:

1.- Tăng khả năng xử lý cho phép hack mật khẩu thông qua việc sử dụng vũ lực và từ điển mật khẩu có sẵn trên mạng. Nào, với công suất của CPU và GPU hiện tại, sử dụng các chương trình hack bằng vũ lực phổ biến rộng rãi, với các từ điển mà chúng ta có thể dễ dàng lấy được trên mạng, chỉ còn là vấn đề thời gian trước khi ai đó tìm được mật khẩu của một tệp được mã hóa , ngay cả khi nó được cho là "an toàn" vì nó chứa các chữ cái, số và các ký tự khác, với mức độ trầm trọng hơn là những dung lượng này sẽ tiếp tục tăng lên trong tương lai.

2.- Sử dụng lại mật khẩu của cùng một người dùng. Chúng ta đã từng làm gì? Chúng tôi sử dụng cùng một tài khoản email để xác thực bản thân trong các dịch vụ khác nhau, thậm chí, chúng tôi sử dụng cùng một tên người dùng và mật khẩu khi đăng ký ở nhiều nơi khác nhau trên mạng, ngoài việc "liên kết" các tài khoản của chúng tôi với cùng một địa chỉ email "dự phòng", do đó rằng nếu ai đó có quyền truy cập vào một trong các tài khoản của chúng tôi, họ thực tế có quyền truy cập vào tất cả.

3.- Sử dụng phần mềm độc hại để đánh cắp mật khẩu. Ở đây, điều ảnh hưởng nhiều nhất đến cảm nhận chung của người dùng, bởi vì nếu bạn thường nhấp vào các liên kết về số lượng thư bạn nhận được hoặc số lượng trang bạn truy cập, bạn sẽ tự cung cấp thông tin mà sau này sẽ được sử dụng để chống lại bạn.

4.- Sử dụng "kỹ thuật xã hội". Có hai khía cạnh được sử dụng rộng rãi ở đây. Mặt khác, ngày càng có nhiều chúng ta đặt cuộc sống của mình trên mạng: Facebook, Linkedin, blog cá nhân, v.v. cung cấp cho mọi người thông tin chi tiết về cuộc sống của chúng tôi (nơi chúng tôi học tập, bạn bè của chúng tôi là ai, tên thú cưng của chúng tôi, v.v.), trong hầu hết các trường hợp, đây là câu trả lời cho các câu hỏi xác minh của hầu hết các dịch vụ trong mà chúng tôi đăng ký. Mặt khác, khả năng tin tặc sử dụng các công cụ kỹ thuật xã hội để tương tác với các dịch vụ của khách hàng, cho phép họ đạt được một cách tương đối dễ dàng, tận dụng thông tin họ có về chúng tôi, để thuyết phục các dịch vụ này rằng họ là người dùng thực sự và nhận được giữ tài khoản của chúng tôi.

Vâng, với sự phát triển của xã hội thông tin, một thực tế không thể phủ nhận là sự hiện diện của chúng ta trên Internet sẽ tiếp tục phát triển, trong khi chúng ta sẽ phụ thuộc nhiều hơn vào việc sử dụng các dịch vụ trực tuyến cho cuộc sống hàng ngày của chúng ta, điều này đã làm tăng thêm ý định chuyển đổi điện thoại di động thành ví điện tử để thanh toán, thông qua việc sử dụng công nghệ NFC (Giao tiếp trường gần), là thành phần tạo nên một cơn bão hoàn hảo về bảo mật, không thể tránh khỏi chỉ với việc sử dụng mật khẩu và cơ chế xác minh như hiện tại .

Như trong tất cả các vấn đề liên quan đến bảo mật, cần phải thiết lập sự thỏa hiệp giữa sức mạnh của cơ chế xác thực với tính dễ sử dụng và quyền riêng tư của dịch vụ được đề cập. Thật không may, cho đến nay tính dễ sử dụng đã chiếm ưu thế làm tổn hại đến sức mạnh của các cơ chế xác thực.

Có vẻ như có một sự trùng hợp trong ý kiến ​​rằng giải pháp cho vấn đề này nằm ở sự kết hợp của mật khẩu, phân tích cách sử dụng và sử dụng thiết bị sinh trắc học để đảm bảo quá trình xác thực giúp cuộc sống của người dùng dễ dàng hơn, với nhiều cơ chế xác minh hơn những cái hiện tại.

Một số nhà cung cấp dịch vụ trên mạng đã bắt đầu sử dụng các kiểu sử dụng như một bổ sung cho mật khẩu, đó là lý do tại sao, ví dụ: khi chúng tôi truy cập tài khoản Gmail của mình từ một IP khác với IP chúng tôi thường làm, nó sẽ đưa chúng tôi đến màn hình xác minh để xác minh bằng một phương pháp khác (cuộc gọi điện thoại hoặc tin nhắn văn bản), rằng chúng tôi là người dùng hợp pháp của tài khoản. Về khía cạnh này, dường như có sự đồng thuận rằng việc hầu hết các nhà cung cấp dịch vụ trong mạng áp dụng các biến thể tương tự chỉ là vấn đề thời gian.

Điều vẫn còn thiếu là việc sử dụng các cơ chế hoặc thiết bị sinh trắc học như một phần của xác thực vẫn chưa bắt đầu được triển khai, có nhiều hình thức khác nhau, từ đơn giản nhất như nhận dạng mẫu giọng nói hoặc nhận dạng khuôn mặt (hoàn toàn có thể thực thi bằng phần mềm) và di động thiết bị đã có phần cứng cần thiết (micrô và camera), thậm chí là phức tạp nhất như đầu đọc dấu vân tay hoặc máy quét mống mắt.

Mặc dù một số bước đã được thực hiện trong vấn đề này, chẳng hạn như nhận dạng khuôn mặt để mở khóa thiết bị di động trong một số điện thoại Android hoặc việc Apple mua công ty AuthenTec gần đây, chuyên về các vấn đề này, việc sử dụng nó không vượt ra ngoài giai thoại và là gì đáng lo ngại hơn là việc tích hợp các hình thức xác thực này với các dịch vụ trong mạng vẫn chưa bắt đầu được thảo luận.

Theo tôi, nhận dạng khuôn mặt hoặc giọng nói, mặc dù chúng dễ thực hiện nhất và không yêu cầu phần cứng bổ sung, nhưng lại là phương pháp kém an toàn nhất, trong khi máy quét mống mắt hoàn toàn không thể tích hợp vào thiết bị di động, điều này khiến chúng ta lựa chọn tốt nhất cho vân tay độc giả, do kích thước giảm và nhiều “chìa khóa” sẽ là giải pháp hoàn hảo; Hãy để tôi giải thích: nếu chúng ta bị khàn tiếng do cảm cúm hoặc bị tai nạn hoặc bị chấn thương trên khuôn mặt, việc nhận dạng giọng nói hoặc khuôn mặt sẽ rất phức tạp, trong khi với đầu đọc dấu vân tay, chúng ta có thể định cấu hình việc sử dụng một số ngón tay, vì vậy An sự cố xảy ra sẽ không ngăn cản chúng tôi truy cập vào dữ liệu và dịch vụ của mình.

Hiện tại đã có một số máy tính xách tay tích hợp đầu đọc dấu vân tay trong cấu hình của chúng, mà không nhận thấy sự tăng giá đáng kể trong các mẫu này, điều này cho phép chúng tôi suy luận rằng chi phí của chúng không đáng kể, mặc dù thực tế là việc sử dụng chúng chưa được mở rộng. Mặt khác, không may là hiện tại có rất ít thiết bị di động có đầu đọc dấu vân tay và việc tích hợp chúng vào chúng dường như không phải là xu hướng.

Một số ý kiến ​​cho rằng chúng ta đang phải đối mặt với tình huống kinh điển: đầu đọc không được tích hợp vào thiết bị vì các dịch vụ mạng không sử dụng chúng như một cơ chế xác thực, nhưng đến lượt nó, các dịch vụ mạng lại không sử dụng chúng như một cơ chế xác thực do một số ít thiết bị được tích hợp chúng theo tiêu chuẩn. Đây dường như là nút thắt Gordian mà không ai dám cắt vào lúc này.

Ngoài sự bế tắc này mà chúng tôi tự nhận thấy, tôi nghĩ rằng có một tình huống cần được giải quyết để thực hiện nó và đó là việc thiết lập các tiêu chuẩn cần thiết cho việc sử dụng dấu vân tay trong xác thực, tức là đầu đọc dấu vân tay quét một hình ảnh và từ nó, một loại chữ ký điện tử phải được tạo ra, là loại chữ ký sẽ được gửi đến dịch vụ dưới dạng "mật khẩu" để xác thực, vì vậy thuật toán tạo chữ ký đó phải đảm bảo rằng các trình đọc khác nhau tạo ra các chữ ký bằng nhau của cùng một dấu chân, mà không gây phương hại đến an ninh và đó dường như không phải là điều gì đó đơn giản.

Vâng, tôi biết rằng tại thời điểm này, một số người sẽ đưa ra những gì họ đã thấy trong một bộ phim, nơi bằng cách giơ dấu vân tay để lại trên kính mà họ quản lý để sử dụng nó để truy cập cài đặt, nhưng điều này, ngoài sự ngoạn mục mà kết quả trên màn hình, không phải tôi nghĩ nó sẽ trở thành mốt mà chúng ta nên quan tâm trong tương lai; Trừ khi ai trong chúng ta là Điệp viên 007 hoặc có mã truy cập vào Fort Knox.

Như tác giả của bài báo đưa ra bài đăng này nói, bước đầu tiên trong việc giải quyết một vấn đề là nhận ra sự tồn tại của nó để sau đó có thể bắt đầu đề xuất các giải pháp và đó chính xác là vấn đề. Tôi giới thiệu cho tất cả những ai có thể đọc bài báo mà tôi tham khảo, bởi vì nó rất minh họa, cũng như thú vị để đọc (tiếc là những người không biết tiếng Anh sẽ không thể thưởng thức), với khuyến khích bổ sung là có một số ngọc trai về cách tin tặc đã lừa các dịch vụ "có uy tín" để có được quyền truy cập.

Bạn có đồng ý với ý kiến ​​của tôi hay bạn là một trong những người vẫn tin rằng mật khẩu là đủ đối với chúng tôi?