Журнал "Information Security/ Информационная безопасность" #6, 2018

С 2010 г. в России выдаются биометрические заграничные паспорта. С большой долей вероятно- сти и обычный общеграж- данский паспорт или его аналог в ближайшее время тоже станет биометриче- ским. В крупных компаниях все чаще используется биомет- рическая аутентификация в корпоративной сети при организации доступа. Появились модели банко- матов, доступ к которым осуществляется после био- метрической проверки. На самом деле это не совсем так. Для различных технологий биометрической аутентифика- ции эти утверждения имеют раз- ную степень достоверности. Для БИ по отпечатку пальца или по радужной оболочке глаза все три утверждения достаточно справедливы. Для аутентифи- кации по голосу или лицу – это уже не так. Эти параметры существенно меняются на про- тяжении жизни человека ввиду физиологических изменений. Что касается аутентификации по лицу, то здесь человек сам в состоянии довольно кардиналь- но изменить свой образ за достаточно короткое время. Когда я этим летом в отпуске сбрил усы, младшая дочка рас- плакалась, когда увидела меня в первый раз: папа какой-то "незнакомый". Для современных систем биометрической иден- тификации по лицу сбритые усы не проблема. Но если человек не носил ни усов, ни бороды, а потом отрастил себе пышные усы и бороду в стиле Льва Тол- стого, то система БИ по лицу вряд ли вас распознает. У чело- века могут заболеть зубы и на лице вырастет флюс. После серьезной драки его может род- ная мать не узнать, не то что система биометрической иден- тификации. Я думаю, вы сами сможете найти еще десяток жизненных ситуаций, которые приводят к существенному изменению лица человека. Если же учитывать возмож- ности современной пластиче- ской хирургии, то утверждение о неизменности идентификато- ра (лица) на протяжении дли- тельного времени вообще теряет свою достоверность. То же самое относится и к голосу. Мало того, что он меняется на протяжении жизни, так еще он подвержен серьез- ным изменениям при различ- ных, прежде всего простудных, заболеваниях, не говоря уже о том, что человек может вре- менно потерять голос, т.е. фак- тически утратить средство иден- тификации. Я думаю, такое случалось в жизни практически любого человека. А как прохо- дить аутентификацию немым людям и людям с серьезными проблемами речи? Степень однозначности иден- тификации тоже понятие отно- сительное. Все зависит от уров- ня строгости идентификации/ аутентификации, настроенного в системе. Когда мы внедряли в нашей организации биомет- рическую аутентификацию по отпечатку пальца, то столкну- лись с тем, что практически любой человек, поэксперемен- тировав в течение 10–15 мин с прикладыванием различных пальцев в различных положе- ниях, может аутентифициро- ваться под учетной записью другого пользователя. Как же так, спросите вы, ведь отпеча- ток пальца у человека уника- лен? Дело в том, что системы биометрической аутентифика- ции не сравнивают непосред- ственно два отпечатка пальца. Первоначально при регистрации в системе человек приклады- вает палец, проводится его ска- нирование и, грубо говоря, по определенным точкам папил- лярного узора формируется некая математическая модель (свертка). При последующей аутентификации происходит сканирование рисунка пальца и повторное вычисление мате- матической свертки. Именно она и сравнивается с эталонной. Очевидно, что каждый раз чело- век прикладывает палец немно- го по-другому, область скани- рования разная, поэтому в системе задается строгость совпадения отпечатков. Возможные ошибки и как их устранить Здесь мы вплотную подошли к обсуждению присущих систе- мам биометрической аутенти- фикации ошибок первого и вто- рого рода. Ошибки первого рода – когда система не про- пускает легального пользова- теля; ошибки второго рода – когда система ошибается и при- нимает одного человека за дру- гого. При настройке любой системы биометрической аутен- тификации необходимо выби- рать золотую середину, чтобы система не пропускала "чужих", но и чтобы "своим" не приходи- лось исполнять танцы с бубна- ми, чтобы идентифицировать- ся. Хорошо, когда система не ошибается в обычной ситуации, но ведь кто-то может попытать- ся ее обмануть. Помните, как показывают в крутых боевиках: отрубить у владельца палец и идентифицироваться по нему. На самом деле существуют более гуманные методы обхода. Можно сделать пленку с нане- сенным отпечатком пальца. В системе аутентификации по лицу можно предоставить фото- графию (видеозапись) вместо лица. Для защиты от такого вида обмана в современных системах биометрической аутентификации предусмотре- ны проверки на то, что аутенти- фикацию проходит живой чело- век (проверка на "лайфность"). Для отпечатка пальца – это проверка на то, что приклады- ваемый палец теплый и влаж- ный. Для лица – что объект рельефный, а не плоский (необходима дополнительная камера) или что объект теплый (необходима инфракрасная камера). Также одним из спо- собов проверки может являться отслеживание мимики лица, которая постоянно меняется у любого живого человека. Способы биометрической идентификации Способы БИ можно разделить на контактные и бесконтакт- ные. При использовании на инди- видуальных устройствах, напри- мер смартфонах, практически нет разницы, какой способ при- менять. А вот когда стоит вопрос идентификации одним устройством большого числа людей, наиболее удобны для пользователя бесконтактные методы (по лицу или голосу). В ряде случаев идентифика- ция человека может быть про- изведена незаметно для него. Например, вы звоните в колл- центр банка, здороваетесь, и система уже определила, кто вы, и выдала соответствующую информацию оператору Или вы заходите в офис банка, и систе- ма идентификации по лицу определяет, кто вы такой. Когда вы подходите к менеджеру, у него уже “подтянулась” из систем вся информация по вам и обслуживание происходит более быстро и эффективно. Существенным ограничени- ем ряда технологий является сложность и дороговизна обо- рудования для проведения аутентификации/идентифика- ции. Те же сканеры сетчатки глаза или рисунка вен на ладони на данный момент достаточно дороги. Плюс идентификации по лицу и голосу еще и в том, что для нее не требуется специализи- рованного оборудования, поль- зователю достаточно иметь смартфон с камерой. Но эти способы и более тре- бовательны к окружению, в котором происходит идентифи- 32 • ТЕХНОЛОГИИ