Ошибки биометрических систем

Библиографическое описание:

Принципы работы и уязвимости биометрических систем аутентификации / И. П. Пересыпкин, Л. Е. Мартынова, К. Е. Назарова [и др.]. — Текст : непосредственный // Молодой ученый. — 2016. — № 30 (134). — С. 86-88. — URL: https://moluch.ru/archive/134/37699/ (дата обращения: 12.02.2023).

Как известно, в информационных системах хранится, обрабатывается, циркулирует различная информация, потеря или искажение которой может нанести существенный вред [1, c. 54]. Поэтому следует обеспечить безопасную аутентификацию В данной статье будет рассмотрена биометрическая аутентификация. Биометрические системы аутентификации находят всё большее применение на современном рынке средств безопасности.

На рисунке 1 приведены статистические данные по практическому использованию БСЗ (по данным Global Industry Analysts, Inc [2] на 2014г.)

Рис. 1. Статистика по практическому использованию биометрических средств защиты

Наиболее часто применяемыми на сегодняшний день являются сканеры отпечатков пальцев и сканеры лица. Согласно исследованию аналитиков компании TrendForce (прогноз развития рынка 2015–2019), в ближайшие годы ожидается ускорение роста применения биометрических технологий, основанных на распознавании лиц и дактилоскопии в системах безопасности в следующих областях: государственный сектор, финансовая отрасль, корпоративный и потребительский рынки. По прогнозу аналитиков, объем рынка систем распознавания лиц в 2015 году составил $230 млн, к 2019-му году вырастет до $450 млн. Прогноз среднегодового роста составляет 18 %.

Все биометрические системы аутентификации работают по общему принципу [3]. При регистрации пользователя сканер извлекает образец биометрической черты, на основе которого создаётся биометрический шаблон, по средствам которого и происходит дальнейшая аутентификация пользователя. Шаблон заносится базу данных и хранится вместе с идентификатором пользователя. При аутентификации пользователя сравнивается его предоставленный образец биометрической черты, преобразуемый в биометрический шаблон, и шаблон, хранящийся в базе данных и созданный при регистрации пользователя. База данных с биометрическими шаблонами пользователей может быть украдена, модифицирована, уничтожена. Как показывает практика, наиболее распространенными являются атаки, реализуемые с помощью загрузки враждебного содержания. [4, c. 152] Следует уделить особое внимание её безопасности.

Для повышения надёжности могут применяться комбинированные системы использующие двухфакторную аутентификацию, например биометрический сканер и символьный пароль или ПИН-код.

Современные биометрические системы аутентификации уязвимы для двух видов ошибок [5]. Ошибка первого рода возникает в том случае, когда система не распознает легитимного пользователя. При этом происходит отказ в обслуживании. Ошибка второго рода — когда злоумышленник неверно идентифицируется как легитимный пользователь. Такие ошибки могут возникнуть по ряду причин. Их можно разделить на естественные ограничения и атаки злоумышленников.

В отличие от парольных систем аутентификации, требующих точного соответствия вводимого пароля и пароля, указанного при регистрации пользователя, биометрические системы аутентификации предоставляют доступ на основе достаточной степени сходства предоставляемого и хранимого биометрического образца. Так как биометрические образцы могут отличаться друг от друга при регистрации и аутентификации пользователя, то могут возникать ошибки первого и второго рода. Ошибка первого рода может возникнуть, когда два образца от одного пользователя имеют низкую степень сходства. Ошибка второго рода может возникнуть, если биометрические образцы разных пользователей имеют достаточно высокую степень сходства, вследствие чего система принимает постороннего пользователя как легитимного.

Биометрическая система может дать сбой в результате злоумышленных манипуляций, проводимых через инсайдеров, например системных администраторов, либо путем прямой атаки на системную инфраструктуру. Злоумышленник может обойти биометрическую систему, если вступит в сговор с инсайдерами (или принудит их), либо воспользуется их халатностью, либо выполнит мошеннические манипуляции с процедурами регистрации и обработки исключений, которые изначально были разработаны для помощи авторизованным пользователям. Внешние злоумышленники также могут вызвать сбой в биометрической системе, производя атаку непосредственно на пользовательский интерфейс, модули экстракции черт или сопоставления, либо на соединения между модулями, либо базу шаблонов.

В качестве примеров атак, направленных на системные модули и их межсоединения можно привести трояны, атаку «человек посередине», атаки воспроизведения. Поскольку большинство видов таких атак также применимы к системам аутентификации по паролю, для защиты от них применяются сходные меры, такие как криптография, отметки времени и взаимная аутентификация, позволяющие предотвратить или минимизировать эффект таких вторжений.

Для биометрических систем характерны две угрозы: атаки подделки на пользовательский интерфейс; утечка из базы шаблонов. Обе атаки оказывают серьезное негативное влияние на защищенность биометрической системы.

Атака подделки состоит в предоставлении поддельной биометрической черты, не полученной от легитимного пользователя: муляж отпечатка пальца, имитация глазного яблока, снимок или маска лица.

Фундаментальный принцип биометрической аутентификации состоит в том, что, хотя сами биометрические признаки не являются секретом (можно тайно получить фото лица человека или отпечаток его пальца с предмета или поверхности), система, тем не менее, защищена, так как признак физически привязан к живому пользователю. Успешные атаки подделки нарушают это базовое предположение, тем самым серьезно подрывая защищенность системы.

В качестве варианта проверки живого состояния дополнительно вводят верификацию физиологических характеристик пальцев или наблюдения за непроизвольными факторами, такими как моргание, таким образом можно удостовериться в том, что биометрическая особенность, зарегистрированная датчиком, действительно принадлежит живому человеку.

При утечке из базы шаблонов информация о шаблоне легитимного пользователя становится доступной злоумышленнику. При этом повышается опасность подделки, так как злоумышленнику становится проще восстановить биометрический рисунок путем простого обратного инжиниринга шаблона. В отличие от паролей и физических удостоверений личности, краденый шаблон нельзя просто заменить новым, так как биометрические признаки существуют в единственном экземпляре.

Важнейший фактор минимизации рисков безопасности и нарушения приватности, связанных с биометрическими системами — защита биометрических шаблонов, хранящихся в базе данных системы.

Основная трудность при разработке схем защиты биометрического шаблона состоит в том, чтобы достигнуть приемлемого компромисса между тремя требованиями: необратимость; различимость; отменяемость.

Имеется два общих принципа защиты биометрических шаблонов: трансформация биометрических черт и биометрические криптосистемы.

В случае трансформации биометрических черт защищенный шаблон получен за счет применения необратимой функции трансформации к оригиналу шаблона. Такая трансформация обычно основана на индивидуальных характеристиках пользователя. В процессе аутентификации система применяет ту же функцию трансформации к запросу, и сопоставление происходит уже для трансформированного образца.

Биометрические криптосистемы хранят только часть информации, полученной из биометрического шаблона, — эта часть называется защищенным эскизом (secure sketch). Хотя его самого недостаточно для восстановления оригинального шаблона, он все же содержит необходимое количество данных для восстановления шаблона при наличии другого биометрического образца, похожего на полученный при регистрации.

Таким образом, в качестве уязвимостей биометрических систем аутентификации можно выделить ошибки первого и второго рода, атаки подделки, утечки из базы данных биометрических шаблонов. Учет их при использовании биометрических систем аутентификации повысит уровень их защищенности и надёжности.

Литература:

1. Багров Е. В. Мониторинг и аудит информационной безопасности на предприятии. Вестник волгоградского государственного университета. Волгоград: 2011, с.54.
2. Global Industry Analysts, Inc [Электронный ресурс] URL: http://www.strategyr.com/MarketResearch/Fingerprint_Biometrics_Market_Trends.asp (дата обращения 13.12.2016)

3. Анил Джейн, Картик Нандакумар. Биометрическая аутентификация: защита систем и конфиденциальность пользователей// Открытые системы. СУБД. — 2012. -№ 10. URL: http://www.osp.ru/os/2012/10/13033122 (дата обращения 13.12.2016)

1. Никишова А. В., Чурилина А. Е. Программный комплекс обнаружения атак на основе анализа данных реестра// Вестник ВолГУ. Серия 10. Инновационная деятельность. Выпуск 6. 2012 г. В.: Изд-во ВолГУ, 2012, стр. 152–155
2. Мальцев Антон. Современные биометрические методы идентификации. [Электронный ресурс] URL: http://habrahabr.ru/post/126144/ Дата публикации 11.08.11. (дата обращения 15.12.2016)

В России биометрические технологии развиваются своим и весьма «интересным» путем. К сожалению, в этом случае мы зачастую забываем народную пословицу, которая особенно актуальна при внедрении любых новых технологий: «Семь раз отмерь — один раз отрежь», а применительно к биометрии: «Семь раз испытай — один раз внедри». А забывая это простое правило о необходимости проведения независимых и корректных испытаний, мы сталкиваемся с оправданным недоверием общества к технологии в целом.

Следует напомнить, что в биометрической отрасли существует три вида испытаний: технологические, сценарные и оперативные.

У каждого вида испытаний свое назначение [требования к проведению технологических, сценарных и оперативных испытаний установлены в следующих национальных стандартах: ГОСТ Р ИСО/МЭК 19795–1–2007, ГОСТ Р 58292–2018 (ИСО/МЭК 19795–2:2007) и ГОСТ Р 58624.3–2019]:

• технологические испытания предназначены для проведения испытаний алгоритмов распознавания и алгоритмов обнаружения атак на биометрическое предъявление и проверки гипотезы о работоспособности технологии для необходимого сценария;
• сценарные испытания предназначены для проведения испытаний макетов биометрических систем, в том числе с подсистемой обнаружения атак на биометрическое предъявление в планируемом сценарии использования;
• оперативные испытания предназначены для проведения испытаний действующих биометрических систем также и с подсистемой обнаружения атак на биометрическое предъявление для подтверждения требуемых эксплуатационных характеристик.

Семь критических ошибок при испытаниях

При испытании происходит выявление критических ошибок для каждого сценария работы с биометрическими данными. Основной целью технологических испытаний является проверка гипотезы о работоспособности технологии для необходимого сценария. Поэтому первой критической ошибкой, которую допускают клиенты при внедрении, является использование для принятия решения результатов открытых тестирований/испытаний, не учитывающих локальную специфику и реализуемый сценарий применения биометрии.

Второй критической ошибкой является использование результатов технологических испытаний вместо сценарных испытаний для принятия решения о внедрении технологии в промышленную эксплуатацию.

Третьей критической ошибкой, которая касается всех видов испытаний (технологических, сценарных и оперативных), является неучастие в испытаниях «подлинных лиц» или «самозванцев», имитирующих потенциальных злоумышленников со всеми возможными инструментами атак, характерными для используемого сценария. При этом самозванцы должны быть как активными (т. е. пытающиеся нарушить политику биометрической системы), так и пассивными (которые не предпринимают никаких действий для нарушения политики биометрической системы).

Четвертой критической ошибкой, которую допускают при внедрении коммерческих биометрических систем, является использование испытуемой группы меньшего размера (это характеризуется «ступеньками» на кривой компромиссного определения ошибки).

Пятой критической ошибкой является преднамеренное уменьшение числа независимых инструментов атак при проведении всех видов испытаний из-за нехватки финансирования или сроков сдачи проекта. Например, в биометрической системе предполагается использование двух подсистем обнаружения атак на биометрическое предъявление: одна подсистема для одной модальности, вторая — для другой модальности, но испытания проходит только одна подсистема обнаружения атак на биометрическое предъявление для одной модальности. Также не учитываются атаки, связанные с принуждением человека к выполнению действий, например, находящегося в состоянии алкогольного опьянения или седации.

Шестой критической ошибкой является неполная реализация всех сценариев при испытании, в котором будет применяться биометрия. Например, предполагается, что биометрическая система будет работать в любых условиях, но сбор испытуемой группы и создание базы данных для проведения технологических испытаний или проведение самих сценарных испытаний происходит в помещении с хорошим освещением и без внешнего шума, т. е. в идеальных условиях.

Седьмой критической ошибкой является вольная трактовка национальных стандартов в области испытаний биометрических технологий.

Пример результатов испытаний коммерческих биометрических технологий с недостаточным размером базы данных (т. е. не гарантирующим качество работы алгоритмов/системы и недостаточным для принятия решений) для проведения испытаний/испытуемой группы представлен на рис. 1 (а). В свою очередь, пример результатов испытаний коммерческих биометрических технологий с достаточным размером базы данных для проведения испытаний/испытуемой группы представлен на рис. 1 (б).

Все вышеприведенные ошибки приводят к возникновению возможных негативных воздействий как на человека, так и на организацию и государство в целом. А отсутствие результатов испытаний как технологических, так и сценарных в открытом доступе не добавляет доверия у общества.

Влияние ошибок на уровень доверия

Международное сообщество, понимая все риски от некорректного внедрения биометрических технологий, утвердило требования для проведения сценарных испытаний биометрических систем верификации и возможные влияния ошибок распознавания на каждый уровень доверия (см. таб. 1). Уровни доверия установлены в международном стандарте ISO/IEC 19989–2 «Information security. Criteria and methodology for security evaluation of biometric systems. Part 2. Biometric recognition performance».

Но, к большому сожалению, в нормативном регулировании на национальном уровне (приказ Минцифры от 10.09.2021 № 930), устанавливаются значения, которые соответствуют только низкому (для голоса) и среднему уровню доверия (для лица). И необходимость проведения сценарных испытаний игнорируется, поскольку разработчики считают достаточным проведение только технологических испытаний. При этом в отношении такого рода биометрических решений должны проводиться реальные сценарные испытания, как это делается в других отраслях промышленности (например, натурные испытания в автомобилестроении и авиастроении), для сертификации новых типов изделий и обеспечения безопасности граждан. Ознакомиться со сводкой отзывов и с позицией разработчика можно на официальном сайте.

При этом гарантировать безопасность и возмещение не сможет, к большому сожалению, и постановление Правительства Российской Федерации от 20.10.2021 № 1799 «Об аккредитации организаций, владеющих информационными системами, обеспечивающими идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, и (или) оказывающих услуги по идентификации и (или) аутентификации с использованием биометрических персональных данных физических лиц», если случится ошибка.

Для наглядности приведем лишь пару примеров.

Пример 1. Средняя стоимость 3-комнатной квартиры в Москве составляет 20–25 млн рублей. Если злоумышленнику удалось найти уязвимость системы и ею воспользоваться (переписать квартиру на себя), то начиная с третьего пострадавшего аккредитованная компания не сможет гарантировать возмещения убытков, т. к. минимальный порог финансового обеспечения за убытки (для аккредитации) составляет всего 50 млн рублей.

Пример 2. Удаленно в банке можно получить кредит до 5 млн рублей. Если злоумышленнику удалось найти уязвимость системы и ею воспользоваться (взять кредит на другого человека), то начиная с 11-го пострадавшего аккредитованная компания не сможет гарантировать возмещения причиненных убытков, т. к. минимальный порог финансового обеспечения за убытки (для аккредитации) составляет всего 50 млн руб лей.

Наглядный пример потери финансовых ресурсов и проведения атаки на биометрическое предъявление — покупка девочкой 13 покемонов на 250 долл. США с помощью мобильного устройства и подтверждения операции отпечатком пальца спящей мамы.

Наглядный пример вреда, причиненного как минимум деловой репутации — ошибочное задержание режиссера и сценариста в подмосковном Одинцово, т. к. система распознавания определила 70 процентов совпадения с подозреваемым. Аналогичные примеры были и за рубежом. Так, с мая 2017 г. по март 2018 г. система распознавания выдала для полиции Южного Уэльса 2685 совпадений людей с базой данных подозреваемых, однако 2451 из них оказались ложными. Более 2 тыс. болельщиков, присутствовавших на финале Лиги чемпионов УЕФА 2017 в Кардиффе, были ошибочно идентифицированы как подозреваемые вследствие низкого качества изображений в базе данных.

Еще один наглядный пример потери финансовых ресурсов и вреда, причиненного деловой репутации, — система распознавания, развернутая правительством КНР для идентификации пешеходов, использующая распознавание лиц в режиме реального времени, ошибочно определила знаменитость по фото на проходящем автобусе как нарушителя, переходящего пешеходный переход на красный сигнал светофора.

P.S.

Взломать или обмануть можно любую биометрическую систему, но когда устанавливаемые эксплуатационные характеристики на государственном уровне соответствуют минимальному и среднему уровню доверия, не проводятся сценарные испытания внедряемых биометрических систем, а требования по их проведению считаются избыточными, игнорируются требования национальных и международных стандартов, то взломать/обмануть биометрическую систему становится все проще, и это может быть посильно буквально каждому студенту соответствующего вуза в домашних условиях.

Преимущества и недостатки биометрической системы аутентификации