Veiligheid versus gemak: de waarheid over biometrische gegevens

Overzicht

Het grote publiek heeft een verkeerde opvatting over biometrische gegevens en het gebruik ervan om onze persoonlijke gegevens te beveiligen. De algemene overtuiging is dat biometrische gegevens, zoals Touch ID of Face ID, kunnen worden gebruikt om traditionele wachtwoorden te elimineren. Dit is echter verre van de waarheid. Zoals hier beschreven, worden biometrische gegevens alleen gebruikt voor het gebruiksgemak of als een tweede authenticatiefactor.

We hebben nog steeds wachtwoorden nodig

Voor elke software, cloud-app of website die we dagelijks gebruiken, moet u een account aanmaken. Meestal geeft u hiervoor een gebruikersnaam (of e-mailadres) en een wachtwoord op. Bij veel services kunt u ook ‘inloggen met Google’ of ‘inloggen met Facebook’. De authenticatie wordt dan toegewezen aan een vertrouwde externe identiteitsprovider via OAuth- of OpenID Connect-protocollen. Deze identiteitsproviders vereisen niet alleen een gebruikersnaam en een wachtwoord, maar vragen meestal ook om een tweede authenticatiefactor (bijv. een eenmalige toegangscode via sms of iets gelijkaardigs). In de bedrijfswereld zijn er een groot aantal veelgebruikte identiteitsproviders zoals Okta, Azure en JumpCloud die een ander protocol (SAML 2.0) gebruiken voor Single Sign-On (SSO). Al deze providers vereisen dus het gebruik van een gebruikersnaam én een wachtwoord om in te loggen op hun systemen.

Zo werken biometrische gegevens op mobiele apparaten

We nemen iOS als voorbeeld. Als u Touch ID inschakelt, worden uw vingerafdrukgegevens door Apple opgeslagen in een chipset op het apparaat en zijn ze op geen enkele manier beschikbaar voor softwareontwikkelaars. Softwareontwikkelaars die Touch ID willen benutten, kunnen het besturingssysteem gewoon vragen om uw vingerafdruk en wachten op een ‘gelukt’ of ‘mislukt’. Als de herkenning is gelukt, kunnen bepaalde gegevens worden opgehaald (bijvoorbeeld een encryptiesleutel of wachtwoord) die de ontwikkelaar in de sleutelhanger heeft opgeslagen. Hiermee kan het wachtwoordscherm van de app worden overgeslagen en wordt de gebruiker automatisch ingelogd. Deze procedure is handig voor gebruikers, omdat ze hun wachtwoord niet hoeven in te voeren. Wachtwoorden worden echter nog steeds doorgegeven tussen de sleutelhanger en de app.

Maar wat als het wachtwoord voor een bepaalde app zwak is (bijv. 123456)? Het gebruik van biometrische gegevens om het wachtwoord uit de sleutelhanger te halen en aan de applicatie te geven, zorgt hierbij niet voor een betere beveiliging. Als de app dit zwakke wachtwoord toestaat, dan kan een aanvaller aan de andere kant van de wereld uw wachtwoord raden en inloggen bij dezelfde app.

Apps die biometrische gegevens gebruiken bij het inloggen, slaan uw wachtwoord gewoon op in de sleutelhanger of het beveiligde element op het apparaat. Biometrische gegevens worden nooit direct omgezet in een wachtwoord of sleutel. Ze kunnen alleen worden gebruikt voor de actie ‘gelukt’ of ‘mislukt’ om gegevens uit de hardware te halen die daar eerder was opgeslagen door de applicatie. Hierdoor bieden biometrische gegevens alleen gemak, geen extra beveiliging.

Hardwarefabrikanten zoals Apple en Google verstrekken website- of app-ontwikkelaars nooit de werkelijke biometrische gegevens die worden gebruikt om gebruikers te identificeren. Anders lekken de persoonlijke gegevens van de gebruiker en worden biometrische gegevens blootgesteld aan mogelijke diefstal of hacking.

Waarom een wachtwoord uiteindelijk altijd vereist is

De eerste belangrijke reden waarom wachtwoorden nodig zijn, is dat wachtwoorden kunnen worden gewijzigd. Als uw wachtwoord voor een bepaalde service per ongeluk uitlekt of wordt gestolen door een aanvaller, kunt u gewoon uw wachtwoord opnieuw instellen op de doelsite. Uw vingerafdruk of gezicht kunt u echter niet opnieuw instellen.

Ten tweede is alleen een sterk en uniek wachtwoord bestand tegen een brute force-aanval, omdat het alleen in uw hoofd bestaat (of in een versleutelde wachtwoordbeheerder).

Tot slot worden uw wachtwoordgegevens versleuteld bij de meeste beveiligde producten. Bij versleuteling is een cijfersleutel vereist om de opgeslagen gegevens te ontsleutelen. Een sleutel kan alleen worden afgeleid van een sterk wachtwoord dat elke keer op exact dezelfde manier wordt ingevoerd. Een encryptiesleutel kan niet rechtstreeks van een vingerafdruk worden afgeleid. Besturingssystemen verstrekken namelijk geen ruwe biometrische gegevens aan ontwikkelaars, anders loopt u het risico dat uw vingerafdruk wordt gelekt naar de hele wereld. Ook al waren de ruwe biometrische gegevens beschikbaar voor softwareontwikkelaars, dan konden ze alsnog niet worden gebruikt als encryptiesleutel. Ontcijfering werkt of werkt niet: de sleutel mag niet één enkele 0 of 1 afwijken. Het is geweten dat biometrische gegevens nooit exact zijn en dat de actie ‘gelukt’ of mislukt’ een benadering is. Ontcijfering kan nooit worden uitgevoerd op basis van een benadering.

Uw toegangscode maakt u sterk

Op iOS kunnen Touch ID en Face ID worden omzeild door de toegangscode van het apparaat in te voeren. Voor de meeste mensen zijn dit vier of zes cijfers. Apple en Android dwingen gebruikers om deze code voortdurend in te voeren als terugvalmechanisme. Als de toegangscode van uw apparaat is gelekt, kan een aanvaller dus inloggen op uw apparaat en een nieuwe vingerafdruk maken of de gezichtsherkenning opnieuw instellen. Dit verbaast mogelijk veel gebruikers en het kan u aanmoedigen om een sterkere alfanumerieke toegangscode in te stellen op uw apparaat. Het is belangrijk om een product te vinden waarmee klanten Touch ID kunnen uitschakelen en het gebruik van biometrische gegevens kunnen beperken.

Versleuteling is belangrijk

Ga op zoek naar een product dat zero-knowledge is. Dit betekent dat uw gegevens die in het product zijn opgeslagen alleen worden versleuteld en ontcijferd op apparaatniveau, door middel van een encryptiesleutel die is afgeleid van uw hoofdwachtwoord.

Als een website, app of service u gewoon toestaat om in te loggen zonder wachtwoord of als de service geen ontcijfering aan de clientkant uitvoert, moet u weten dat uw gegevens dan worden opgeslagen op hun servers, volledig in het openbaar. Als werknemers van dat bedrijf uw gegevens willen bekijken, houdt niets ze tegen. Dit betekent ook dat als het bedrijf een bug in de software heeft, uw gegevens, in principe, openbaar kunnen worden gemaakt op het internet.

Misschien vindt u dit niet erg, afhankelijk van het type gegevens dat de service opslaat. In het geval van vertrouwelijke bestanden, wachtwoorden en andere geheime gegevens kan het echter zware gevolgen hebben. Persoonlijke en vertrouwelijke gegevens moeten worden versleuteld op apparaatniveau en dit is uiteindelijk alleen mogelijk met een encryptiesleutel die is afgeleid van iets in uw hoofd dat niemand anders weet (een wachtwoord!).

Het is extreem moeilijk om een zero-knowledge product te ontwikkelen. Daarom doen de meeste bedrijven het niet. Het belangrijkste voor gebruikers en bedrijven om te weten, is welke gegevens u opslaat en hoeveel vertrouwen u hebt in het bedrijf dat uw gegevens beveiligt.

De belangrijkste conclusie is dat biometrische gegevens niet direct uw gegevens kunnen versleutelen. Daarom zijn services die geen wachtwoordbeveiliging hebben en volledig vertrouwen op biometrische gegevens voor toegang niet compleet veilig.

Biometrische gegevens als tweede authenticatiefactor

Voor de meeste toepassingen kunnen biometrische gegevens nuttig zijn als tweede authenticatiefactor bij het inloggen op een apparaat, terwijl het hoogste niveau van beveiliging wordt behouden. Nadat u bijvoorbeeld een wachtwoord hebt ingevoerd of via uw wachtwoordbeheerder bent ingelogd op een website of applicatie op uw computer, kunt u worden gevraagd om u te verifiëren via vingerafdruk- of gezichtsherkenning op uw mobiele apparaat.

Bij dit type workflow moet de ontwikkelaar van de app of website integreren met een mobiele applicatie of een verificatieservice van derden die biometrische apparaten ondersteunt. Om een biometrische authenticatie goed te koppelen aan een tweede authenticatiefactor, is er een registratiefunctie nodig en een back-end die de gegevens van de tweede factor veilig communiceert tussen de applicatie en de back-endservers.

Bij het gebruik van biometrische gegevens als tweede authenticatiefactor is daarom de beveiliging van uw gegevens op het communicatiekanaal tussen het biometrische apparaat en de backend-servers het belangrijkst. Een hacker die een account wil binnendringen dat wordt beveiligd door een biometrisch apparaat zal proberen de servers te misleiden door gebruiker te authenticeren in plaats van de vingerafdruklezer te hacken. Daarom is uw vertrouwen in uw applicatie of softwareleverancier niet alleen gebaseerd op het feit of ze een biometrische authenticatie hebben, maar ook hoe ze die gebruiken.

Samenvatting

Biometrische gegevens winnen steeds meer aan populariteit, maar het is belangrijk dat mensen het verschil begrijpen tussen de beveiliging die ze bieden tegenover het gemak dat ze brengen. Elke individuele gebruiker en organisatie heeft een ander niveau van risicoaversie. Biometrische gegevens kunnen op zichzelf geen beveiliging bieden en een sterke strategie voor wachtwoordbeheer is essentieel om cyberaanvallen en gegevensdiefstal te voorkomen.

Mobiele apparaten en desktopcomputers met biometrische authenticatie bieden gewoon een handige manier om een wachtwoord over te zetten van de fysieke hardware naar de app waarop u inlogt. Met een zwak wachtwoord of hetzelfde wachtwoord voor meerdere apps en websites stelt u zich alsnog bloot aan hackers en gegevensdieven, zelfs bij het gebruik van een biometrisch apparaat. Als tweede authenticatiefactor kunnen biometrische gegevens echter een handig en waardevol beveiligingsmechanisme bieden als het veilig wordt geïmplementeerd door de softwareleverancier.

Craig Lurey
CTO, Keeper Security