Ответы на глупые вопросы о биометрической аутентификации по отпечаткам пальцев
Отпечатки пальцев перестали быть чем-то, связанным только с криминалистикой, и — благодаря в первую очередь смартфонам — начали служить популярным и распространенным инструментом аутентификации. Как и к любой новой технологии, к ней возникает множество вопросов. Мы собрали самые, на наш взгляд, распространенные из них, о которых в серьезных статьях обычно не вспоминают. А потом, совместно с AlfaLab, собрали экспертный совет, чтобы разобраться, такие ли уж глупые эти вопросы, и чего действительно стоит боятся. Нам помогали Сергей Белов — ведущий исследователь отдела аудита защищенности Digital Security, Александр Гурин — ведущий специалист крупной IT-компании, Алексей Голенищев — директор дирекции мониторинга электронного бизнеса «Альфа-Банка» и Дмитрий Горшков — ведущий специалист Управления мониторинга «Альфа-Банка».
Что такое отпечатки пальцев?
Если вы посмотрите на подушечки собственных пальцев, — если вдруг никогда до этого не смотрели, сделайте это прямо сейчас, — то увидите линии, образующие замысловатый узор. Эти линии называются папиллярными. Зачем они нужны, однозначного ответа нет (одни ученые говорят, что линии на два порядка повышают чувствительность к шероховатостям, другие — что они позволяют крепче хвататься за гладкие предметы (например, поручни), но нам важно, что у каждого человека этот узор уникален и не меняется с возрастом. Именно этот факт позволил англичанину Уильяму Гершелю в 1877 году придумать дактилоскопию — способ опознания человека по папиллярному узору — популярную в криминалистике.
Строго говоря, отпечатки пальцев — это сальные следы, которые оставляют наши руки, где попало, например на экране смартфона. Эти следы несут информацию о папиллярных узорах подушечек наших пальцев. Правда, не всю — конкретный отпечаток зависит от того, под каким углом мы тыкали пальцем в экран, с какой силой и так далее. Но сто с лишним лет криминалистического опыта, а также все детективы, которые мы читали, говорят: если есть эталонный отпечаток, то принадлежность определить можно.
Да, и вот еще что: оказывается, существует отдельный поджанр хиромантии — гадание на папиллярных линиях. Называется дерматоглифика. Ее совсем недавно признали лженаукой.
То есть смартфон снимает отпечатки пальцев прямо как следователи?
Нет, вообще ничего общего. Если вы смотрели какой-нибудь детектив, например «Касл», то знаете, что криминалисты специальной щеткой наносят порошок, который должен проявить эти самые отпечатки. Затем полученные изображения фотографируют, анализируют и заносят в картотеку, чтобы те в дальнейшем, по ходу серии, вообще не пригодились — Ричард Касл выведет злодея на чистую воду силой одного своего интеллекта.
В случае со смартфоном, кисточек нет. Когда вы прислоняете палец к сенсору на экране, массив электродов в нем образует вместе с вашим пальцем конденсатор. Сенсор считывает значения емкости этого конденсатора в каждой точке экрана. Штука в том, что это самое значение напрямую зависит от того, проходит через конкретную точку экрана папиллярная линия или нет. То есть рисунок папиллярных линий оказывается закодирован в наборе этих самых значений.
Сразу понятно, кстати, что, если палец мокрый или грязный (ну мало ли, всякое бывает), то показания сенсора могут сильно отличаться от сохраненных, поэтому смартфон такой палец просто не примет. Но и эту задачу сейчас решают — Qualcomm готовится выпустить ультразвуковой сенсор, который сканирует рисунок, как следует из названия, ультразвуком. Такому сенсору мокрый палец не помеха.
Так. А если, скажем, у меня отрезали палец? И смартфон украли. Смогут разблокировать?
Да вы оптимист! Но нет, не смогут.
Во-первых, сенсорные дисплеи работают примерно так же, как и сенсор (у сенсора просто разрешение побольше), то есть рассматривают емкость получаемого при прикосновении конденсатора. Емкость живого и емкость мертвого пальца сильно отличаются друг от друга.
Во-вторых, тот же Apple использует в Touch ID еще и электромагнитное сканирование. И тут снова свойства живого и мертвого пальца будут сильно отличаться.
А что если мой отпечаток распечатают на 3D-принтере? Я слышал, такое возможно
Тоже нет.
Во-первых, для начала необходимо добыть отпечаток. Это, вообще, не так просто. Если вы много фотографируетесь, как, например, министр обороны Германии Урсула фон дер Ляйен, то ваш отпечаток удастся получить с картинки достаточно высокого разрешения.
Во-вторых, надо сделать реалистичную 3D-модель рельефа пальца и, в-третьих, распечатать ее на промышленном 3D-принтере. Штука в том, что характерное расстояние между папиллярными линиями составляет несколько десятых долей миллиметра, что примерно совпадает с размером лазерного пятна, которое в хорошем принтере запекает пластик. Если мы хотим получить хороший рельеф, нам потребуется пятно как минимум на порядок (то есть в 10 раз) меньше. Другая трудность в том, что при печати возникают ошибки, которые обычно удаляют после — например, обрабатывая поверхность подходящим растворителем. В нашем случае такая обработка может поломать рисунок папиллярных линий. Значит, нужно чтобы принтер печатал сразу, без ошибок, с точностью до сотых долей миллиметра — так что обычным домашним принтером тут никак не обойтись. Это вам не клюв тукану напечатать — там такая точность не нужна.
Ой, да ладно, небось можно вообще без принтера можно обойтись. Дедовскими методами, из дерева там вырезать или как еще?
Дедовскими? Ну, наверное, как-то так:
То есть это реально долго и сложно. И если где-то вы чуть-чуть ошиблись, процесс надо начинать сначала.
Ну вот, я же говорил! Можно! Значит зря отпечатки во всяких банковских приложениях используют?
На этот вопрос за нас ответит Александр Гурин, ведущий специалист крупной IT-компании: «Здесь все просто. Большие компании уделяют вопросам информационной безопасности большое внимание, и, соответственно, бюджеты на безопасность у них не такие, как у ООО «Рога и Копыта».
А если посмотреть на все это с технической точки зрения, то мы увидим следующее: например, когда
совершает финансовую транзакцию по одному отпечатку пальца, система также запоминает IP-адрес пользователя, страну, иногда местоположение клиента, сумму покупки, название магазина и так далее (то есть множество факторов). Все эти факторы при каждой последующей финансовой транзакции проверяются, и если происходит какое-то отклонение, то система может запросить второй фактор аутентификации (верификации), а то и отклонить транзакцию до дальнейшего выяснения. Вообще, крупные игроки всегда застрахованы на случай хищения денежных средств у их клиентов, и в случае подобного инцидента деньги будут возвращены владельцам, а позже и самому Apple Pay».
Ладно, если нельзя cделать отпечаток, как в кино, то, может быть, его можно украсть из телефона или облака?
Производители телефонов утверждают (а к ним есть некоторая степень доверия, раз уж мы их технику купили), что отпечаток хранится только в системе на телефоне. Если включена система создания резервных копий в облаке, то данные можно похитить. Но восстановить по ним сам отпечаток не получится.
Но, что мы все сами отдуваемся? Вот что говорит Дмитрий Горшков, ведущий специалист Управления мониторинга «Альфа-Банка»: «И у Apple, и у Google есть некий закрытый алгоритм, по которому сущность отпечатка переводится в некий ключ, хэш, зашифрованный набор данных о конкретном пальце. И, как правило, если удастся украсть этот ключ и расшифровать его, то по полученным данным все равно не удастся восстановить изображение пальца и воссоздать слепок пальца. А значит, получить доступ к системе все равно не выйдет, потому что правильного-то пальца как раз и нет».
То есть это все-таки безопасно?
Спросим Сергея Белова, ведущего исследователя отдела аудита защищенности Digital Securit: «Все же в обычной жизни [отпечаток пальца] безопасней, чем пароли или ПИН-коды. Для его взлома необходимо атаковать или собственно устройство и его ОС (например, с помощью другого приложения заставить метод проверки отпечатка пальца всегда принимать любой отпечаток), или самого пользователя, что чаще всего подразумевает физическое воздействие, а это рискованно. Так что в целом степень безопасности можно оценить так: атаковать систему проверки отпечатков пальцев дороже, чем систему проверки паролей».
Ну пока не очень убедительно
Штука в том, что самое слабое звено любой системы защиты — это человек. То есть, какими бы совершенными ни были инструменты проверки, они, во-первых, не идеальны, а во-вторых, требуют к себе внимательного отношения. Удивительно, что люди обычно более или менее серьезно относятся к своим бумажным документам, например гражданским паспортам, но пароли и логины вообще не во что не ставят. Поэтому, если не включать голову, то никакая технология не поможет.
И вот, что говорит директор дирекции мониторинга электронного бизнеса «Альфа-Банка» Алексей Голенищев: «Биометрические ключи — это так называемые невозобновляемые ключи. Если вы потеряли пластиковую карточку или бесконтактный ключ, их можно просто перевыпустить, сменить коды доступа и проблема будет решена. Но если каким-либо образом будет скомпрометирована биометрическая информация, перевыпустить новый палец, или глаз, или ДНК будет невозможно. Но на данный момент аутентификация по отпечатку пальца безопасна, хотя и имеет некий фактор общего доверия производителю смартфонов и сканеров отпечатков пальцев. Впрочем, на нашей практике ни одной попытки взлома систем аутентификации по отпечатку пальца пока зафиксировано не было».
Ну предположим. Может быть, есть какие-то советы?
Самые простые:
Тарас Молотилин
Андрей Коняев