Le password e i dati biometrici hanno caratteristiche distinte.

Le password sono dati segreti. I dati sono astratti: fluiscono abbastanza liberamente attraverso le reti. La crittografia definisce molti algoritmi che possono utilizzare dati segreti per realizzare varie proprietà di sicurezza come riservatezza e autenticazione. Le carenze delle password sono dovute al fatto che sono pensate per essere memorizzate dagli esseri umani (altrimenti le chiameremmo semplicemente "chiavi") e questo limita fortemente la loro entropia.

Biometria sono misure del corpo (in senso lato) di un utente umano. Trattandosi di misure, sono un po 'confuse: non è possibile eseguire una scansione della retina e convertirla in una sequenza di bit, in modo tale da ottenere ogni volta la stessa identica sequenza di bit. Inoltre, i dati biometrici non sono necessariamente riservati : ad es. mostri la tua faccia al vasto mondo ogni volta che esci di casa e molti sistemi di riconoscimento facciale possono essere ingannati tenendo in mano una foto stampata del viso dell'utente.

La biometria è utile per collegare il corpo fisico di un utente al mondo dei computer e può essere utilizzato per l'autenticazione sulla base del fatto che alterare il corpo fisico è difficile (sebbene molti chirurghi si guadagnino da vivere). Tuttavia, questo ha senso solo a livello locale.

C'è una buona illustrazione in un film di James Bond (uno con Pierce Brosnan; non ricordo esattamente quale): a un certo punto, James si trova di fronte a un porta con lettore di impronte digitali. James è anche dotato di un elegante smartphone che include uno scanner; quindi scansiona il lettore, per ottenere una copia dell'impronta digitale dell'ultima persona che l'ha usata, e poi mette semplicemente lo schermo del telefono davanti al lettore; ed ecco! la porta si apre. Questo è un film di James Bond, quindi non è del tutto realistico, ma l'idea principale è giusta: un lettore di impronte digitali è buono solo nella misura in cui "qualcosa" fa in modo che legga davvero un dito autentico attaccato al suo proprietario formale.

I buoni lettori di impronte digitali verificano l'autenticità del dito attraverso vari mezzi, come la misurazione della temperatura e della pressione sanguigna (per assicurarsi che il dito sia attaccato a un mammifero che è anche vivo e non troppo stressato); un'altra opzione è quella di dotare il lettore di una guardia armata, che controlla l'intera cosa è un essere umano (la guardia può anche raddoppiare come dispositivo di riconoscimento facciale aggiuntivo). Tutto questo è necessariamente locale : deve esserci un sistema intrinsecamente immune agli attacchi nei locali.

Ora prova a immaginare come potresti eseguire l'autenticazione delle impronte digitali in remoto . L'attaccante ha la sua macchina e il lettore sotto la sua mano. Il server deve ora credere che quando riceve una bella scansione delle impronte digitali, proviene davvero da un vero lettore, che ha scansionato il dito solo ora : l'attaccante potrebbe fare a meno del lettore del tutto e basta inviare una scansione sintetica ottenuta da un'impronta digitale che ha raccolto sulla pattumiera del bersaglio la settimana prima. Per resistere a ciò, deve esserci un lettore a prova di manomissione, che incorpora anche una chiave crittografica in modo che il lettore possa dimostrare al server che:

• è un vero lettore;
• la scansione che ha inviato è stata eseguita alla data corrente;
• i dati che arriveranno con la scansione sono legati ad essa (ad esempio l'intera comunicazione avviene tramite TLS e il lettore ha verificato il certificato del server) .

Se si desidera utilizzare lo schema di digitazione, il problema è ancora più evidente: il software di misurazione deve essere eseguito sulla macchina dell'aggressore e, come tale, non può sii davvero affidabile. Diventa un problema per sconfiggere il reverse engineering. Potrebbe scoraggiare alcuni aggressori a bassa tecnologia, ma è difficile sapere quanta sicurezza ti offrirebbe. La sicurezza che non può essere quantificata è dannosa quasi quanto nessuna sicurezza (può anche essere peggiore se dà un falso senso di sicurezza).

I contesti locali in cui è disponibile un sistema onesto sono quindi i contesti in cui la biometria funziona bene come dispositivi di autenticazione. Ma i contesti locali sono anche quelli in cui le password vanno bene: se esiste un sistema di verifica onesto, allora quel sistema può imporre ritardi severi; Le smartcard con PIN sono di questo tipo: la carta si blocca dopo tre PIN errati di seguito. Ciò consente l'uso sicuro di password con bassa entropia (un PIN di 4 cifre ha circa 13 bit di entropia ...).

Riepilogo: la biometria può portare buona autenticazione dell'utente solo in situazioni in cui le password forniscono già una protezione adeguata. Quindi c'è poco incentivo economico a implementare dispositivi biometrici, soprattutto in un contesto Web, poiché ciò richiederebbe dispositivi costosi (niente di puramente software; necessita di hardware a prova di manomissione).

La biometria è ancora brava in altre cose, ad es rendere gli utenti consapevoli di alcune pesanti misure di sicurezza in corso. Le persone che devono sottoporsi a una scansione della retina per entrare in un edificio hanno maggiori probabilità di essere un po 'meno sbadate, ad esempio, lasciando le finestre aperte.

Astratte in una rete, la maggior parte delle implementazioni biometriche può ancora essere ridotta alla categoria di "qualcosa che conosci". Per una discussione su come ciò accade con "qualcosa che hai", dai un'occhiata a Com'è "qualcosa che hai" tipicamente definito per l'autenticazione "a due fattori"?.

La biometria soffre di un problema per cui una volta che una credenziale è stata compromessa, non è possibile modificarla. Ci sono anche alcuni compromessi divertenti contro i sistemi di impronte digitali. La biometria è ottima in alcune aree, ma l'accesso al mio conto bancario con un dispositivo generico e senza password non è uno di questi.

Infine, poiché non esiste uno standard uniforme, c'è un problema di costo difficile da superare . Non solo i dispositivi non sono già parte integrante del computer come lo è una tastiera, ma modelli diversi richiedono sistemi diversi per interfacciarsi con essi.

Ci sono problemi significativi con tutti questi come identificatori principali.

Ad esempio:

• Impronte digitali / palmo: cosa succede se cado dalla bici e seguo la mia mano sul terreno? Le mie impronte digitali sono rovinate per un po 'di tempo, forse in modo permanente.
• DNA - hai visto quanto è facile prelevare sangue o altro materiale contenente DNA?
• Digitazione: ha un certo successo , ma le risposte dipendono dalla stanchezza, dallo stato emotivo, dalle diverse tastiere ecc.

Sono tutte suscettibili sia a falsi positivi che negativi: puoi portare quel punto di crossover a un livello basso, ma tu non è possibile eliminarlo del tutto.

Quando viene compromesso, non è possibile modificare l'identificatore: questo problema lo esclude completamente!

Un altro problema con alcuni dei dati biometrici generalmente considerati più resistenti agli attacchi (ad esempio il pattern della retina) è che agli utenti non piace davvero la natura invasiva della scansione. Sebbene molti utenti finali ora accettino uno scanner di impronte digitali (nonostante sia stato dimostrato che le impronte digitali non sono univoche), avere uno scanner della retina è visto come invadente e persino spaventoso.

Quindi il processo corrente - usa ID, password, token ecc come identificatori iniziali (tutti sostituibili se necessario - cose che conosci o hai ) e un biometrico come misura preventiva aggiuntiva mitiga il rischio che i meccanismi precedenti vengano rubati e utilizzati da un attaccante ( qualcosa che probabilmente sei ) sembra essere ottimale in termini di:

• supporto
• resilienza
• sicurezza a più livelli

Un problema con la diffusione della biometria ovunque è la registrazione. Devo presentarmi all'ufficio di Facebook a Palo Alto con il mio documento d'identità rilasciato dal governo in modo che possano rilevare le mie impronte prima che io possa accedere al loro sito web, invece di digitare "correcthorsebatterystaple" nel mio browser? Quanto tempo ci vorrebbe per più di 650 milioni di utenti? Quanti dipendenti? Quanto costa formare il personale? Quanti errori farebbero? Puoi accettare così tanti errori? Gli utenti si sentirebbero a proprio agio con l'idea che Facebook possieda i dettagli delle loro impronte digitali?

In parole povere: costo. In questo caso il costo assume due forme, costo delle risorse e costo monetario. È molto probabile che se possiedi un computer o un sistema di qualsiasi tipo (desktop, server, mainframe, distribuito, cloud, ecc.) Abbia un meccanismo di autenticazione integrato: le password. Il tempo e il denaro necessari per implementare o integrare la biometria per usi medi sono troppo grandi. Solo gli ambienti oi dati più sicuri richiedono qualcosa di più grande di una password.

I casi d'uso più comuni che vedo per la biometria sono la sicurezza fisica e gli accessi al sistema (pensa ad Active Directory). La biometria ha un tasso di adozione decente nella sicurezza fisica perché una sorta di dispositivo è già richiesto per la sicurezza, un lucchetto, una guardia o un laser. Optare per una maggiore sicurezza e gestibilità nella biometria è una decisione tangibile. Per quanto riguarda gli accessi al sistema, ciò che abbiamo già compie il compito aziendale di consentire l'accesso a un sistema. I Security Guy devono affrontare tutte le ripercussioni.

I sistemi possono fallire , quindi è necessario un approccio di difesa in profondità. I sistemi di sicurezza biometrici si basano sulla corrispondenza fuzzing. Possono soffrire di quello che viene chiamato un errore di tipo II, il che significa che un utente malintenzionato viene autenticato con successo.

Anche Mythbusters l'ha hackerato. (e non sono gli unici.)

I molti problemi tecnici con la biometria sono ben esaminati sopra. La biometria come classe deve ancora affrontare un profondo scetticismo, ed è giusto che sia così. I professionisti della sicurezza sono prudenti e cauti e trovano problematici i seguenti problemi:

• Pochissime tecnologie nell'elenco sopra sono commercialmente mature. Io stesso non so perché il DNA, l'andatura e l'odore siano nemmeno elencati in una discussione seria.
• Molti prodotti e tecniche biometrici sono appena fuori dal laboratorio R&D. La biometria cancellabile è ancora un argomento di ricerca caldo; il rilevamento della vivacità è più teorico che pratico. Per quanto riguarda la sicurezza, è importante che le soluzioni candidate siano mature, completamente ridimensionate nel mondo reale e certificate. Questo richiede un decennio o più.
• Tutti i test biometrici sono condotti in condizioni "Zero Effort Imposter", dove vengono considerate solo le corrispondenze accidentali. Non esistono protocolli di test standardizzati per la valutazione di frodi deliberate, il che è sorprendente se ci si pensa, perché stiamo parlando di soluzioni di sicurezza utilizzate per resistere al crimine. Come afferma l'FBI: " Per tutte le tecnologie biometriche, i tassi di errore dipendono fortemente dalla popolazione e dall'ambiente di applicazione. Le tecnologie non hanno tassi di errore noti al di fuori di un ambiente di test controllato " (vedere http: //www.biometriccoe.gov/SABRE/index.htm).
• Infine l'industria non è favorevole al modo in cui presenta le sue specifiche. In particolare, i tassi di errore sono spesso presentati in modo disonesto, con i migliori tassi di falsa corrispondenza e falso rifiuto citati fianco a fianco. Ma il compromesso sensibilità-specificità significa che man mano che le false corrispondenze aumentano, i falsi rifiuti diminuiscono. I fornitori spesso mantengono segrete le loro curve DetectionError Tradeoff. Ho provato a ottenere le curve DET da un particolare fornitore di biometri vascolari per cinque mesi e sono stati solo ostruiti.

Biometria (qualcosa che sei) + password / passphrase (qualcosa che conosci) = autenticazione a 2 fattori. Ecco perché vengono utilizzati insieme.

L'altro motivo per cui la biometria non è utilizzata più ampiamente è 1) i sistemi biometrici sono costosi da implementare e 2) i sistemi biometrici richiedono un tasso di falsi positivi molto, molto basso. Non vorresti che il sistema consentisse l'accesso a qualcuno che aveva un'impronta digitale / iride / qualsiasi altra cosa simile , quindi avresti bisogno di molti punti di riferimento nel sistema (impronta digitale / mappa dell'iride) per consentirlo tipo di accuratezza. L'avvertenza per richiedere tutti questi punti di riferimento è che il sistema avrebbe bisogno di un modo molto affidabile per leggere la tua parte del corpo ogni volta che sia molto ripetibile e che non è possibile con i lettori biometrici che abbiamo oggi. Non fai scorrere il dito nello stesso modo in un lettore di impronte digitali ogni volta e non posizioni la testa in un lettore a bulbo oculare esattamente allo stesso modo ogni volta, ma il sistema dovrebbe richiedere quel livello di precisione per ottenere tutto i punti dati di cui ha bisogno per verificarti ogni volta che ne hai bisogno. Questo porta a molte ripetizioni / scansioni che sono molto frustranti per l'utente e potrebbero bloccarlo a seconda del sistema.

Se il tuo corpo è la tua password e il tuo account è in qualche modo compromesso, non c'è modo di cambiare la tua password.

Ricorda che molti dati biometrici non sono universalmente disponibili. Alcune professioni (parrucchiere, muratore ...) rendono regolarmente illeggibili le impronte digitali. E questo ignorando i difetti congeniti che rendono le dita non disponibili o gli incidenti che le rimuovono ... Una parte della popolazione non può utilizzare gli scanner retinici, né meccanicamente (reazione allo scanner) né perché le loro retine sono illeggibili (condizione medica). la soluzione biometrica implicherebbe più metodi, non tutti necessari contemporaneamente. A questo punto vengono in mente le parole "enorme" e "costo". Più metodi simultanei, tuttavia, aggirerebbero alcuni dei problemi di non unicità (come il DNA, per esempio) ...

Il problema più grande è l'implementazione. Immagina, per un momento, che Facebook abbia deciso che le password erano troppo insicure e determinato a utilizzare invece l'identificazione biometrica. Come lo farebbero? L'hardware semplicemente non c'è; non è standard, non è onnipresente, non è ben compreso.

Cattivo esempio? Ok, allora quale sarebbe un buon esempio? La tua banca? Stesso problema. Anche nei terminali ad alta sicurezza come gli sportelli automatici, si affidano a password (password a 4 cifre per l'avvio!) Principalmente a causa dell'inerzia del sistema che ha portato le persone ad aspettarsi che gli sportelli automatici utilizzino un pin a 4 cifre, mentre l'hardware dell'ATM in giro il mondo non ha altra capacità di input oltre al tastierino numerico.

Pensa per un momento alla transizione IPv6: la situazione è urgente, la transizione è inevitabile, la tecnologia è onnipresente e ampiamente supportata, il costo è minimo. Eppure, siamo nella transizione da più di un decennio, eppure quasi esattamente dove siamo partiti con circa lo 0% di adozione.

Ora, considera una tale transizione alla biometria, dove non è né urgente né inevitabile, la tecnologia è scarsamente supportata e compresa e il costo è elevato. Quanto tempo impiegherebbe una transizione del genere? Oserei dire che un tempo del genere non arriverà mai.

Anche se molti punti validi sono già stati discussi, nessuno ha ancora pensato al Quinto emendamento (nella legge statunitense) e all ' autoincriminazione. Esistono leggi simili anche in altri paesi.

Il consenso è che avere una password ti metterà in anticipo contro le forze dell'ordine , perché è qualcosa che è protetto dall'emendamento , dove i dati biometrici non lo sono.

Ad es puoi essere costretto a fornire un'impronta digitale, che successivamente viene utilizzata dalle forze dell'ordine per sbloccare, ad esempio, il tuo telefono. Tuttavia, non puoi essere costretto a dire la tua / una password.

Tra i molti altri post, c'è un articolo dalla rivista TIME Magazine (Why the Constitution Can Protect Passwords But Not Fingerprint Scans), che lo indica abbastanza chiaramente.

In genere è possibile evitare completamente le situazioni in cui potrebbe essere necessario modificare una credenziale di autenticazione. Su quasi tutti i sistemi progettati in modo decente, una password può essere sostituita se si sospetta una compromissione. Al contrario, se un avversario è riuscito a fare un duplicato di vetro del bulbo oculare di qualcuno, la sostituzione dell'occhio di quella persona potrebbe essere una proposta molto più difficile.

L'identificazione biometrica sembrerebbe essere una grande promessa in molte applicazioni, ad esempio la diagnosi domiciliare o un controllo remoto da parte di un professionista medico; consentire agli studenti di impegnarsi in corsi di formazione basati su computer, con il ruolo dell'istruttore quello di un ' facilitatore 'e fornendo anche un ambiente in cui gli studenti possano progredire al loro ritmo individuale Per non parlare dell'autorizzazione di sicurezza quando volano dal punto A al punto B. Se si tratta di una tecnologia imperfetta, la tecnologia si evolverà fintanto che c'è un richiesta del prodotto.