Биометрические технологии

Содержание:

Сравнительная оценка биометрических технологий

Все перечисленные технологии присутствуют на рынке в виде коммерческих продуктов. При их реализации производители применяют различные математические алгоритмы, а также используют дополнительные механизмы защиты от подмены.

Мы оценили доступные на рынке технологии биометрической аутентификации, в качестве критериев сравнения использовали безопасность технологии (т.е. надежность плюс устойчивость к фальсификации), удобство использования, а также ценовую доступность.

На наш взгляд, основными параметрами, характеризующими безопасность биометрической аутентификации, являются коэффициент ложного принятия (FAR — False Accept Rate), т.е. вероятность того, что система аутентифицирует чужого сотрудника, и коэффициент ложного отказа (FRR — False Reject Rate), т.е. вероятность того, что система не аутентифицирует своего сотрудника. Другая характеристика безопасности технологии — степень сложности фальсификации — отражает объем усилий и затрат, которые потребуются для компрометации системы, т.е. подмены реального биометрического признака человека. Сложность фальсификации зависит от сложности и стоимости специализированных технологий, применяемых для сбора биометрических данных и изготовления копии биометрического признака.

История

До 11 сентября 2001 года биометрические системы обеспечения безопасности использовались только для защиты военных секретов и самой важной коммерческой информации. После потрясшего весь мир террористического акта ситуация резко изменилась

Сначала биометрическими системами доступа были оборудованы аэропорты, крупные торговые центры и другие места скопления народа. Повышенный спрос спровоцировал исследования в этой области, что, в свою очередь, привело к появлению новых устройств и целых технологий. Увеличение рынка биометрических устройств привело к увеличению числа компаний, занимающихся ими, создавшаяся конкуренция послужила причиной к весьма значительному уменьшению цены на биометрические системы обеспечения информационной безопасности.

В рамках безвизовой программы США подписала с 27 странами соглашение, по которому граждане этих государств смогут въезжать на территорию США сроком до 90 дней без визы при обязательном наличии биометрических документов. Начало действия программы — 26 октября . Среди государств, участвующих в программе — Австралия, Австрия, Бельгия, Великобритания, Германия, Италия, Лихтенштейн, Люксембург, Монако, Нидерланды, Португалия, Сингапур, Финляндия, Франция, Швейцария, Швеция и Япония.

В июне 2005 было заявлено, что к концу года в России будет утверждена форма нового заграничного паспорта. А в он будет введён в массовое обращение. Предположительно будет включать фотографию, сделанную методом лазерной гравировки и отпечатки двух пальцев.

Методы борьбы

Опасность глубоких подделок является настолько глобальной для всего мирового сообщества, что Facebook анонсировал конкурс Deepfake Detection Challenge. Вместе с Microsoft, MIT, Калифорнийским университетом в Беркли, Оксфордским университетом и другими исследовательскими организациями будет проведено соревнование, участникам которого предлагается разработать наиболее эффективный способ отличить дипфейк-видео и фото.

С приближением президентских выборов в США в 2020 г. растет озабоченность по поводу распространения фальшивой информациис целью политических манипуляций и влияния на общественность. Понимая риск такого обмана, многие компании уже несколько летусиленно разрабатывают алгоритмы выявления трудноидентифицируемых подделок: рассматриваются варианты выявления рисунка вен на лице, реакция зрачков и информацияс радужной оболочки глаз. Пока это только определение самого факта наличия вен под кожей или анализ бликов на роговице глаза иизменение размеров зрачка, но в дальнейшем радужка сможет использоваться как основной биометрический фактор для более точной идентификации и выявления попыток обмана.

Для чего собираются биометрические данные

Сбор данных преследует несколько вполне конкретных целей, чтобы создавать нижеследующее.

Биометрические паспорта и документы

К ним относятся:

паспорта с цифровой фотографией;
паспорта с вставленным чипом, где содержится биометрическая информация о его владельце;
документы с нанесёнными отпечатками пальцев (водительские права в некоторых штатах США);
пластиковые карты с магнитной полосой, содержащей биометрию владельца.

Базы клиентов банков

Банки собирают биометрическую информацию о клиентах для получения ими беспрепятственного доступа к банковским ресурсам:

вход в систему;
ведение счетов и вкладов;
оплата кредитов и получение дохода по депозитам;
ввод и вывод денежных средств;
работа с зарплатными проектами.

В большинстве случаев для банка достаточной является статическая биометрическая информация – голос клиента и его цифровая фотография.

Информационные системы правоохранительных органов

Собираемая биометрическая информация может быть статической и динамической. Статическая информация в виде:

отпечатков пальцев и ладоней рук;
снимков в анфас и профиль на фоне ростомера;
проб ДНК в исключительных случаях;
проб голоса

оцифровывается и хранится в базах данных.

Динамическая информация в виде:

записанной на видео походке человека;
оцифрованной подписи;
оцифрованного почерка

тоже заносится в базы данных и используется для идентификации преступника при его поиске или после поимки.

Международные системы для поиска и ликвидации отдельных террористов или групп террористов

Данные системы предполагают сбор информации до и после совершения террористических актов:

выявление ДНК всех людей, оказавшихся на месте совершения террористического акта, и сравнение их с базами данных национальных и международных правоохранительных органов;
получение биометрических данных после смерти предполагаемых террористов для выявления их участия в ранее совершённых преступлениях;
получение видео с камер наблюдения;
идентификация предполагаемых террористов по фото и видео, полученных из разных источников;
сбор отпечатков пальцев для идентификации;
сбор голосовых записей с угрозами и их последующее распознавание;
введение системы биометрических паспортов в государствах, наиболее подверженных опасности террористической угрозы.

Системы безопасного доступа к информационным ресурсам

Обычно данные системы используют цифровую аутентификацию в виде логинов и паролей. Но в особых случаях могут использоваться:

первоначальная биометрическая идентификация для введения в базу данных информации о клиенте;
удалённая биометрическая аутентификация с распознаванием лица клиента, отпечатка пальца или голоса для входа в систему;
дополнительная информация поведенческого характера производимых клиентом действий (скорость печатания знаков на клавиатуре компьютера, особенности использования колеса прокрутки компьютерной мыши, манера клиента держать и использовать смартфон и др.);
использование пассивной биометрии с машинным обучением в процессе нахождения легитимного клиента на информационном ресурсе.

Безопасный доступ в закрытые системы различного назначения

В зависимости от степени защиты подобной системы чаще всего используется аутентификация личности служащего по следующим признакам:

цифровому изображению лица и его отдельных элементов;
отпечатку пальца;
рисунку сетчатки глаза;
антропометрическим данным, получаемым путём сканирования;
экспресс-анализу крови и ДНК.

Создание хранилищ биометрической информации государства о своих гражданах

Наиболее экономически развитые страны мира, имеющие достаточные ресурсы и заботящиеся о своих гражданах, имеют возможность создания подобных хранилищ с целью:

предотвращения внутренних и внешних террористических угроз;
мгновенной идентификации любого человека в экстремальной ситуации;
сбора адресных статистических данных;
упрощения порядка голосования на выборах разного уровня;
упрощения аутентификации человека при доступе к внутренним ресурсам по оказываемым государством услугам;
получение адресной поддержки от государства;
возможности упрощённого выезда за границу.

Как использовать БД

Сдать биометрические данные можно в банкомате или в отделении Сбербанка, а использовать ее можно для управления услугами организации в личном кабинете на сайте. Разберем процесс регистрации БД, а также использование на практике.

Прохождение биометрии в банке или банкомате Сбербанка

Оно состоит из нескольких этапов:

Предоставьте паспорт и свою карту СБ РФ;
Зайдите в личный кабинет Госуслуг;
Дайте согласие на сбор БД, подписав предоставленный документ;
После этого начнется запись БД: в банке этим займется сотрудник, а банкомат выведет простую инструкцию на экран;
После завершения записи вы получите СМС-уведомление о том, что ваши данные были внесены в систему, а вы получили право дистанционного обслуживания.

Пока что специалисты рекомендуют пройти сдачу БД в отделении Сбербанка, так как техника может подвести, и процесс сбора не будет завершен.

Как использовать

Как только ваша учетная запись, связанная с паспортом или ЛК на Госуслугах, будет создана в ЕБС, вы получите доступ к услугам не только в самом СБ РФ, но и в других организациях.

После этого при звонке в кол-центр, например, для управления пластиковой картой вам не потребуется передавать данные паспорта или вспоминать кодовое слово. Система опознает вас по первому же слову.

Голосовая идентификация позволяет получить кредит или дистанционно оформить вклад. Для этого:

Произнесите логин и пароль, созданные при регистрации;
Покажите лицо камере;
Назовите кодовое слово;
Дождитесь окончания проверки.

После можно спокойно оформить нужный вам продукт.

В чем цель сбора биометрических данных

Этого вопроса мы уже коротко коснулись в пункте выше. Прежде всего они нужны для того, чтобы клиенты могли быстро и просто получить доступ к банковским услугам и делать это дистанционно, без обращения в отделение банка.

Регистрация БД выгодна как Сбербанку, так и его клиентам:

после первой регистрации биометрии пользователи могут продолжать обслуживание исключительно дистанционно, через личный кабинет или терминалы;
сам же банк разгружает поток клиентов в офисы и грамотно распределяет нагрузку на персонал, а это позволяет снизить издержки и вероятность ошибок при оформлении продуктов.

Дистанционное обслуживание особенно важно для жителей малонаселенных пунктов и труднодоступных мест

Какие данные собирает Сбербанк

Чтобы открыть счет или воспользоваться другими услугами, клиентам необходимо было приходить в отделение банка и писать заявку лично. Однако с 1 июля 2019 года стало достаточно однократного визита, во время которого специалист:

делает высококачественное фото клиента;
записывает его голос для дальнейшего удаленного взаимодействия.

СБ РФ выдвигает крайне жесткие требования к качеству собираемых сведений. Голос должен быть записан на хороший микрофон, без помех и искажений, а фотография делается по особой технологии – цифровым слепком лица. Кроме того, обязательно применение двойной идентификации.

Безопасно ли это

Этим вопросом задаются многие. Ведь кто-то еще может записать ваш голос и применить запись, чтобы обмануть идентификационную систему. К тому же остается вопрос того, как будут использоваться собранные БД. Многих пугает и то, что инициатива ввести этот процесс поступила от Правительства РФ, а не от банков – как же защита личной информации?

Специалисты, работающие с нововведением, убеждают: технология намного надежнее и безопаснее других способов идентификации уже хотя бы потому, что человека обмануть гораздо проще, чем компьютер.

Еще один частый вопрос: как работает эта самая защита от мошенников. Разберем процесс на примере звонка в кол-центр. Идентификатор распознает ваш голос уже с первого произнесенного вами слова и приветствует по имени и отчеству. Если вы заболели, и ваш голос искажен из-за этого или, например, из-за сторонних шумов, система определит вашу личность по тембру – он так же уникален для каждого человека, как и отпечаток пальца. А значит, система безошибочно его распознает.

Если ваш голос попытаются имитировать мошенники, сработает модуль блокировки, а дальнейшая идентификация пройдет уже по стандартной схеме.

Как отказаться

Конечно же, перед тем как дать согласие на обработку личных данных, нужно внимательно изучить систему БД. На сегодняшний день она хорошо продумана и действительно призвана повысить безопасность ваших персональных данных и средств.

Единая биометрическая система, в свою очередь, гарантирует безопасность:

все собранные данные хранятся в специальном хранилище в зашифрованном виде;
шифровка происходит в соответствии с требованиями ГОСТа;
авторизация проходит с использованием двухфакторной идентификации с использованием портала Госуслуги;
организации, использующие систему, не имеют фактического доступа к биометрическим данным пользователей, а просто получают от нее ответ о прохождении идентификации.

Пока что биометрия не обязательна для получения услуг в банках и госучреждениях. Сотрудники Сбербанка разъясняют клиентам работу ЕБС и спрашивают разрешение на сбор сведений, однако клиент все еще может отказаться от этой услуги, не объясняя причины отказа, или же после регистрации.

Если вы передумали после того, как уже согласились на регистрацию, напишите заявление об отзыве биометрии. Сделать это можно в отделении или онлайн-заявкой через личный кабинет на сайте Госуслуг.

Три плюса централизованной биометрической системы

Методы биометрической идентификации на оборудовании пользователя или серверах компании имеют одинаковые уязвимости в отношении способов обмана, однако использование централизованной биометрической системы позволяет:

знать, кто именно проходит биометрическую идентификацию;
оперативно, не требуя от пользователей специальных действий, осуществлять обновление ядра биометрической системы (в том числе для выявления и противодействию попыткам обмана);
предоставлять возможность идентификации при помощи биометрии независимо от типа используемого оборудования (планшеты с Android, смартфоны с iOS или стационарные компьютеры).

Идентификация на устройстве

Неважно, каким способом проводится идентификация пользователя на устройстве – по отпечатку пальца, характерным параметрам лица,рисунку вен или радужной оболочке глаза. В зависимости от используемого алгоритма на разных устройствах эти методы могут демонстрировать более или менее точные результаты.Например, смартфоны под управлением операционной системы Android на момент написания статьи не поддерживали подтверждение финансовых операций при помощи биометрической идентификации по лицу

В зависимости от используемого алгоритма на разных устройствах эти методы могут демонстрировать более или менее точные результаты.Например, смартфоны под управлением операционной системы Android на момент написания статьи не поддерживали подтверждение финансовых операций при помощи биометрической идентификации по лицу.

Быстро и удобноПоложительным моментом реализации биометрического функционала на стороне пользователя является то, что биометрические данные хранятся на личных устройствах и тем самым не нарушаются требования GDPR по хранению и обработке персональных биометрических данных граждан. Сама идентификация осуществляется также на самом устройстве встроенными средствами операционной системы, что исключает зависимость от качества каналов связи, обеспечивает стабильную скорость биометрической идентификации и демонстрирует высокий уровень безопасности при обработке биометрических данных.

Основными причинами широкого применения такого метода биометрической идентификации стала простота интеграции, понятный пользователю интерфейс и отсутствие необходимости дополнительно приобретать биометрические лицензии. Благодаря этому компания имеет возможность бесплатно реализовать удобный для пользователя способ идентификации, а пользователю такое решение позволяет не посещать офис компании для регистрации своих биометрических данных.

Ложка дегтяВ то же время у таких методов есть серьезный недостаток: компания, предоставляющая доступ, не может точно утверждать, кому он предоставляется.

Ей достоверно известно только то, что доступ открыт пользователю, биометрические данные которого совпадают с биометрическими данными, зарегистрированными на устройстве клиента.

Для исключения риска несанкционированного добавления чужих биометрических данных на устройстве или изменения биометрических данных уже зарегистрированного пользователя некоторые разработчики перед предоставлением доступа осуществляют проверку, что в системе не производилось никаких действий с TouchID или FaceID с момента, когда пользователь разрешил использовать данный способ идентификации. В случае обнаружения любых изменений или добавления биометрических данных пользователю предлагается повторно пройти процедуру авторизации, используя для этого традиционные методы – логин и пароль.

Такой механизм реализован компанией Apple для доступа в AppStore. В случае наличия изменений в TouchID или FaceID требуется ввод пароля, который пользователь часто не помнит, так как до этого он авторизовался по биометрии. В итоге начинается муторная процедура восстановления пароля.

Надо учитывать также, что все (подчеркиваю – все) смартфоны с любыми встроенными алгоритмами биометрической идентификации ошибаются или допускают обман.

Идентификация и аутентификация

Биометрия помогает идентифицировать человека, т. е. установить личность неизвестного гражданина путем сравнения его физиологических данных с известными данными, расположенными в базе или каталоге. Примером биометрической идентификации является опознание личности преступника по его отпечаткам пальцев путём их сравнения с существующими в криминалистической базе полиции отпечатками.

Главной целью биометрической идентификации являются:

100% точность определения личности;
высокая скорость обработки большого массива информации.

Часто биометрическую идентификацию путают с аутентификацией – процедурой проверки подлинности введённого пароля, цифровой подписи или контрольных сумм файлов, которая используется в цифровых технологиях. Примером биометрической аутентификации является доступ гражданина в контролируемую или строго охраняемую зону с помощью сканирования сетчатки определённого (левого или правого) глаза или сканирования отпечатка заранее определённого пальца руки, которые и являются паролем доступа.

Главной целью биометрической аутентификации является создание системы, которая:

не ошибается в определении легитимного пользователя;
не допускает вход в систему посторонних лиц.

Все существующие технологии идентификации и аутентификации основаны на проведении предварительных операций:

Получение статического или динамического биометрического образца.
Преобразование образца в математический код и создание на его основе математического шаблона.
Создание базы данных полученных шаблонов.
Сравнение представленных для идентификации или аутентификации образцов с шаблонами базы.
Принятие решений о соответствии представленного образца определённому шаблону (совпадение или нет).

Результатом применения этих технологий становится:

доступ или отказ в доступе к защищаемой системе;
определение виновности проверяемого лица;
пополнение базы данных, если не обнаружено соответствие образца шаблонам базы.

Практическое применение

Основная статья: Биометрические системы аутентификации

Биометрические технологии активно применяются во многих областях, связанных с обеспечением безопасности доступа к информации и материальным объектам, а также в задачах уникальной идентификации личности.

Применения биометрических технологий разнообразны: доступ к рабочим местам и сетевым ресурсам, защита информации, обеспечение доступа к определённым ресурсам и безопасность. Ведение электронного бизнеса и электронных правительственных дел возможно только после соблюдения определённых процедур по идентификации личности. Биометрические технологии используются в области безопасности банковских обращений, инвестирования и других финансовых перемещений, а также розничной торговле, охране правопорядка, вопросах охраны здоровья, а также в сфере социальных услуг. Биометрические технологии в скором будущем будут играть главную роль в вопросах персональной идентификации во многих сферах. Применяемая отдельно или используемая совместно со смарт-картами, ключами и подписями, биометрия скоро станет применяться во всех сферах экономики и частной жизни.

Ключевые термины

В отличие от аутентификации пользователей по паролям или уникальным цифровым ключам, биометрические технологии всегда вероятностные, так как всегда сохраняется малый, иногда крайне малый шанс, что у двух людей могут совпасть сравниваемые биологические характеристики. В силу этого биометрия определяет целый ряд важных терминов:

FAR (False Acceptance Rate) — процентный порог, определяющий вероятность того, что один человек может быть принят за другого (коэффициент ложного доступа)(также именуется «ошибкой 2 рода»). Величина 1−FAR{\displaystyle 1-FAR} называется специфичность.
FRR (False Rejection Rate) — вероятность того, что человек может быть не распознан системой (коэффициент ложного отказа в доступе) (также именуется «ошибкой 1 рода»). Величина 1−FRR{\displaystyle 1-FRR} называется чувствительность.
Verification — сравнение двух биометрических шаблонов, один к одному. См. также: биометрический шаблон
Identification — идентификация биометрического шаблона человека по некой выборке других шаблонов. То есть идентификация — это всегда сравнение один ко многим.
Biometric template — биометрический шаблон. Набор данных, как правило, в закрытом, двоичном формате, подготавливаемый биометрической системой на основе анализируемой характеристики. Существует стандарт CBEFF на структурное обрамление биометрического шаблона, который также используется в BioAPI.

Идентификации на сервере компании

При другом подходе хранение биометрических шаблонов и их сравнение осуществляется на серверах компании. Такая реализация позволяет однозначно констатировать, что производится сравнение предоставленного биометрического шаблона с шаблоном истинного пользователя.

Вопрос производительностиТакой метод идентификации значительно надежнее, но и для него характерно большинство описанных выше недостатков. В дополнение к этому появляются проблемы с производительностью оборудования. Если в первом случае вычислительные операции выполняются на распределенных устройствах, никак не нагружая серверную инфраструктуру компании, то для второго варианта требуется оборудование высокой производительности, чтобы обеспечить за то же время обработку значительного числа одновременных запросов.Выходом из этой ситуации может стать перераспределение части вычислительного функционала с серверов компании на клиентское оборудование. Например, можно локально определять, что перед камерой находится живой человек, после этого оценивать качество изображения и уже качественную информацию передавать на серверы компании для построения там биометрического шаблона и сравнения его с шаблоном зарегистрированного пользователя.

Актуальность программного обеспеченияЕсть и другие варианты уменьшения нагрузки на вычислительные ресурсы компании. Можно реализовать на устройстве клиента построение биометрического шаблона и потом передавать его в информационные системы компании для сравнения. Но в таком случае, скорее всего, возникнут вопросы совместимости данных, когда произошло обновление централизованных биометрических систем, а клиент продолжает использовать предыдущую версию. Это не будет неразрешимой технической проблемой, но приведет к увеличению вычислительных ресурсов, так как потребуется одновременно поддерживать несколько версий программного обеспечения с несовместимыми биометрическими шаблонами.