Безопасность и удобство: вся правда о биометрии

Обзор

Среди широкой общественности существует заблуждение относительно биометрии и ее использования для защиты нашей личной информации. Распространено мнение, что биометрию, такую как Touch ID или Face ID, можно использовать для замены традиционных паролей. Но это далеко не так. Как здесь описано, биометрия служит только удобной функцией для пользователей или вторым фактором аутентификации.

Пароли по-прежнему нужны

Любое программное обеспечение, облачное приложение или веб-сайт, которые мы используем ежедневно, требуют создания учетной записи. Как правило, это означает предоставление имени пользователя (или электронной почты) и пароля. Многие службы также предлагают возможность войти в систему с помощью Google или Facebook. В этом случае аутентификация делегируется доверенным сторонним поставщикам удостоверений, использующим протоколы OAuth или OpenID Connect. Они требуют не только имя пользователя и пароль, но и обычно запрашивают аутентификацию по второму фактору (например, одноразовый секретный код из текстового сообщения или что-то аналогичное). В деловом мире существует множество широко используемых поставщиков удостоверений, таких как Okta, Azure и JumpCloud, которые применяют другой протокол (SAML 2.0) для обеспечения единого входа (SSO). Каждый из этих поставщиков в конечном счете также требует использовать имя пользователя и пароль при входе в свои системы.

Как биометрия работает на мобильных устройствах?

Возьмем для примера iOS. При активации функции Touch ID данные отпечатков пальцев сохраняются Apple в наборе микросхем устройства и абсолютно недоступны разработчикам программного обеспечения. Если последние хотят воспользоваться преимуществами Touch ID, они могут просто попросить операционную систему предложить вам использовать отпечаток пальца и дождаться результата проверки. Если проверка пройдена, некоторые данные, которые разработчик сохранил в цепочке ключей, можно извлечь (например, ключ шифрования или пароль). Такой способ позволяет обойти экран ввода пароля приложения и автоматически войти в систему. Этот процесс просто был удобен для пользователя тем, что не требовалось вводить пароль. Однако пароль по-прежнему передавался между цепочкой ключей и приложением.

Но что делать, если пароль для конкретного приложения был ненадежным (например, 123456)? Тот факт, что биометрические данные использовались для извлечения пароля из цепочки ключей и его передачи приложению, никак не способствовал укреплению безопасности. Если приложение разрешило использовать этот ненадежный пароль, то можно предположить, что злоумышленник, находящийся на другом конце света, сможет угадать его и войти в такое приложение.

Приложения, использующие биометрические данные для входа в систему, просто хранят ваш пароль в цепочке ключей или в надежном месте на устройстве. Биометрические данные никогда не преобразуются непосредственно в пароль или ключ. Они могут использоваться только для операции прохождения/непрохождения проверки, чтобы получить информацию из аппаратного обеспечения, которая ранее хранилась там приложением. Поэтому биометрия обеспечивает только удобство, а не дополнительную безопасность.

Хорошо известно, что производители аппаратного обеспечения, такие как Apple и Google, никогда не предоставляют разработчикам веб-сайтов или приложений фактические биометрические данные, используемые для идентификации пользователей. Это означало бы утечку личной информации пользователя и подвергало бы биометрические данные потенциальной краже или взлому.

Почему пароль все же требуется?

Первая основная причина необходимости паролей заключается в том, что их можно изменить. Если ваш пароль к какой-либо службе скомпрометирован в результате случайной утечки данных или украден злоумышленником, вы можете просто сбросить его на целевом веб-сайте. Сделать так с отпечатками пальцев или распознаванием по лицу невозможно.

Во-вторых, только надежный и уникальный пароль устойчив к атаке методом подбора, поскольку его знаете лишь вы или зашифрованный менеджер паролей.

И, наконец, самые безопасные продукты шифруют данные вашего пароля. Шифрование подразумевает использование ключа шифрования для расшифровки хранимой информации. Такой ключ можно извлечь только из надежного пароля, который каждый раз вводится абсолютно одинаково. Ключ шифрования невозможно получить непосредственно из отпечатка пальца. Это связано с тем, что операционные системы не предоставляют разработчикам необработанные биометрические данные. В противном случае это могло бы привести к утечке данных вашего отпечатка пальца по всему миру. И даже если бы необработанные биометрические данные предоставлялись разработчикам программного обеспечения, то в той форме, которую невозможно использовать в качестве ключа шифрования. Расшифровка либо выполняется, либо нет: ключ не может отличаться ни на ноль, ни на единицу. Хорошо известно, что биометрия никогда не бывает точной, а результат прохождения/непрохождения проверки — это лишь оценка. Расшифровка никогда не производится на основе оценки.

Ваша защита целиком зависит от надежности секретного кода

Функции Touch ID и Face ID на iOS можно обойти, введя секретный код устройства. Для большинства это 4-х или 6-значный номер. Apple и Android заставляют пользователей постоянно вводить этот код в качестве запасного механизма защиты. Таким образом, если произойдет утечка секретного кода вашего устройства, злоумышленник сможет войти в него и установить новый отпечаток пальца или сбросить идентификацию по лицу. Это может неприятно удивить многих пользователей и побудить вас установить более надежный буквенно-цифровой секретный код на устройстве. Важно искать продукт, который позволяет клиентам отказаться от применения Touch ID и ограничить использование биометрии.

Важность шифрования

Ищите продукт с нулевым разглашением. Это означает, что ваша информация, хранящаяся в продукте, шифруется и расшифровывается только на уровне устройства с помощью ключа шифрования, извлеченного из вашего мастер-пароля.

Если какой-либо веб-сайт, приложение или служба позволяет вам войти в систему без пароля или если служба не расшифровывает данные на стороне клиента, это означает, что ваша информация хранится на их серверах в открытом виде. При желании сотрудники таких компаний могут легко просмотреть ваши данные. Это также означает, что если в их программном обеспечении содержится ошибка, ваша информация теоретически может быть раскрыта в Интернете.

Возможно, это никак не скажется на вас: все зависит от типа информации, хранящейся в службе. Но в случае конфиденциальных файлов, паролей и других секретных сведений такая ситуация может иметь катастрофические последствия. Личная и конфиденциальная информация должна быть зашифрована на уровне устройства. По существу это достигается в только за счет ключа шифрования, который можно извлечь из информации, доступной только вам и никому другому (пароль).

Создать продукт с нулевым разглашением крайне трудно. Именно поэтому большинство компаний этого не делают. Пользователям и предприятиям важно знать, какую информацию вы храните, а также доверять компании, защищающей их информацию.

Основной вывод касательно биометрии заключается в том, что биометрические данные не могут напрямую шифровать вашу информацию. Поэтому сервисы, которые не защищены паролем и полностью полагаются на биометрические данные, не могут быть абсолютно безопасными.

Биометрия как второй фактор аутентификации

Как второй фактор для входа в устройство биометрия может быть ценной для большинства приложений, сохраняя при этом высочайший уровень безопасности. Например, после ввода пароля или использования менеджера паролей для входа на веб-сайт или в приложение на компьютере вам может быть предложено пройти аутентификацию с помощью отпечатка пальца или распознавания лица на мобильном устройстве.

В этом случае разработчику приложения или веб-сайта потребуется интеграция с мобильным приложением или сторонней службой аутентификации, поддерживающей биометрические устройства. Для корректного использования биометрической аутентификации в качестве второго фактора необходимо наличие функции регистрации и серверного компонента, обеспечивающих безопасную передачу информации о втором факторе между приложением и внутренними серверами.

Поэтому при использовании биометрии в качестве второго фактора наиболее важным элементом защиты вашей информации является канал связи между биометрическим устройством и внутренними серверами. Хакеры, взламывающие учетные записи, которые защищены биометрическими устройствами, стремятся обмануть серверы и заставить их аутентифицировать пользователя, а не взломать считыватель отпечатков пальцев. Поэтому доверие к поставщику приложения или программного обеспечения основано не только на применении биометрической аутентификации, но и на способе ее реализации.

Подводя итог

Биометрия приобретает все более широкое распространение, но важно понимать разницу между безопасностью и удобством, которые она обеспечивает. Каждый отдельный пользователь и организация имеют различный уровень неприятия риска. Биометрия не может обеспечить безопасность сама по себе, поэтому решающее значение для предотвращения кибератак и кражи данных имеет надежная стратегия управления паролями.

Мобильные устройства и настольные компьютеры, в которых реализована биометрическая аутентификация, просто предоставляют удобный способ переноса пароля с физического аппаратного обеспечения в приложение, куда вы входите. Но даже если вы применяете биометрические устройства, использование ненадежного пароля или одного и того же пароля для нескольких приложений и веб-сайтов все равно подвергает ваши данные риску взлома и кражи. Однако в качестве второго фактора биометрия может обеспечить удобный и ценный механизм защиты при условии ее безопасной реализации поставщиком программного обеспечения.

Крейг Люрей (Craig Lurey)
Главный технический директор, Keeper Security