Problemas y amenazas de la identificación biométrica.

En 2018, una ley sobre identificación biométrica entró en vigencia en Rusia. Los bancos están implementando complejos biométricos y recolectando datos para su colocación en el Sistema Biométrico Unificado (EBS). La identificación biométrica brinda a los ciudadanos la oportunidad de recibir servicios bancarios de forma remota. Esto los salva de las colas y técnicamente les permite "visitar el banco" en cualquier momento del día.

La conveniencia de la identificación remota con foto o voz fue apreciada no solo por los clientes del banco, sino también por los cibercriminales. A pesar del deseo de los desarrolladores de hacer que la tecnología sea segura, los investigadores informan constantemente sobre la aparición de nuevas formas de engañar a dichos sistemas.

Entonces, ¿tal vez no debería aceptar la oferta de un operador amigable para someterse a una identificación biométrica en una sucursal bancaria? ¿O aprovechas la nueva tecnología? Entendemos esta publicación.

Cual es el problema

La identificación biométrica tiene características que lo distinguen del par de nombre de usuario / contraseña habitual o 2FA "seguro":

1. Los datos biométricos son públicos. Puede encontrar fotografías, videos y grabaciones de audio de casi cualquier habitante del planeta Tierra y utilizarlos para su identificación.
2. No es posible reemplazar una cara, voz, huellas digitales o retina con la misma facilidad que una contraseña, número de teléfono o token para 2FA.
3. La identificación biométrica confirma a una persona con una probabilidad cercana, pero no igual al 100%. En otras palabras, el sistema admite que una persona puede diferir en cierta medida de su modelo biométrico almacenado en la base de datos.

Dado que no solo los torniquetes en los aeropuertos abren datos biométricos, sino también las cajas fuertes bancarias, los piratas informáticos y los ciberdelincuentes de todo el mundo están trabajando arduamente para encontrar formas de engañar a los sistemas de identificación biométrica. Cada año, el programa de la conferencia de seguridad de la información BlackHat invariablemente contiene informes relacionados con vulnerabilidades biométricas , pero prácticamente no hay discursos sobre el desarrollo de métodos de protección.

Los principales problemas asociados con la identificación biométrica incluyen fraude, fugas y robo, mala calidad de los datos recopilados, así como la recopilación de datos múltiples de una persona por diferentes organizaciones.

Falsificación

Las publicaciones relacionadas con varios métodos de engaño a los sistemas de identificación biométrica a menudo se encuentran en los medios. Esta es la huella digital de la Ministra de Defensa de Alemania, Ursula von der Leyen, hecha a partir de sus fotografías públicas , y el fraude de Face ID en el iPhone X con una máscara, el robo sensacional de $ 243 mil con la ayuda de la voz falsa de un CEO, videos falsos con estrellas que promocionan victorias fraudulentas y el programa chino ZAO, que le permite reemplazar el carácter de un personaje de video por cualquier otro.

Para evitar que los sistemas biométricos tomen fotos y máscaras para las personas, utilizan la tecnología de detección de "vivacidad", detección de vida, un conjunto de varias comprobaciones que le permiten determinar que una persona viva está frente a la cámara, y no su máscara o foto. Pero esta tecnología puede ser engañada.


Incrustar una transmisión de video falsa en un sistema biométrico. Fuente

La autenticación biométrica bajo amenaza: informe de piratería de detección de vida presentada en BlackHat 2019 informa sobre eludir con éxito la detección de vida en Face ID usando anteojos usados ​​en una persona dormida, introduciendo transmisiones falsas de audio y video, y otros métodos.


Gafas X: gafas para detectar trampas de detección de vida en Face ID. Fuente

Para comodidad de los usuarios, Face ID se activa si una persona se pone gafas de sol. Al mismo tiempo, la cantidad de luz en los ojos disminuye, por lo que el sistema no puede construir un modelo 3D de alta calidad del área alrededor de los ojos. Por esta razón, después de descubrir los anteojos, Face ID no intenta extraer información 3D sobre los ojos y los presenta en forma de modelo abstracto: un área negra con un punto blanco en el centro.

Calidad de recopilación de datos y reconocimiento falso

La precisión de la identificación depende en gran medida de la calidad de los datos biométricos almacenados en el sistema. Para garantizar una calidad suficiente para un reconocimiento confiable, se necesita un equipo que funcione en sucursales bancarias ruidosas y con poca luz.

Los micrófonos chinos baratos le permiten grabar una muestra de voz en condiciones adversas, y las cámaras económicas le permiten tomar una foto para construir un modelo biométrico. Pero en tal escenario, el número de falsos reconocimientos aumenta significativamente: la probabilidad de que el sistema tome a una persona por otra, con una voz similar o una apariencia similar. Por lo tanto, los datos biométricos de baja calidad crean más oportunidades para engañar al sistema que los atacantes pueden aprovechar.

Colección de biometría múltiple

Algunos bancos comenzaron a introducir su propio sistema biométrico antes de que ganara el EBS. Después de pasar sus datos biométricos, una persona cree que puede usar la nueva tecnología de servicio en otros bancos, y cuando resulta que no es así, entregará los datos nuevamente.

La situación con la presencia de varios sistemas biométricos paralelos crea un riesgo que:

• Una persona que ha superado dos veces la biometría, lo más probable, ya no se sorprenderá de la propuesta de repetir este procedimiento, y en el futuro puede ser víctima de estafadores que recopilarán biometría para sus fines criminales.
• Las fugas y el abuso ocurrirán con mayor frecuencia a medida que aumenta el número de posibles canales de acceso a datos.

Fugas y robos

Puede parecer que la fuga o el robo de datos biométricos es un verdadero desastre para sus propietarios, pero, en realidad, no todo es tan malo.

En el caso general, un sistema biométrico no almacena fotografías y grabaciones de voz, sino conjuntos de números que caracterizan a una persona: un modelo biométrico. Y ahora hablemos de esto con más detalle.

Para construir un modelo facial, el sistema encuentra puntos de referencia antropométricos que determinan sus características individuales. El algoritmo para calcular estos puntos difiere de un sistema a otro y es el secreto de los desarrolladores. El número mínimo de puntos de control es 68, pero en algunos sistemas su número es 200 o más.

En base a los puntos de referencia encontrados, se calcula un descriptor: un conjunto único de características faciales, independiente del cabello, la edad y el maquillaje. El descriptor resultante (una matriz de números) es un modelo biométrico que se almacena en la base de datos. Es imposible restaurar la foto original del modelo.

Para identificar al usuario, el sistema construye su modelo biométrico y lo compara con el descriptor almacenado en la base de datos.

Existen importantes consecuencias del principio de construcción de modelos:

1. Es poco probable que el uso de datos robados de un sistema biométrico para engañar a otro tenga éxito debido a los diferentes algoritmos de búsqueda de puntos de referencia y a las serias diferencias en el modelo resultante.
2. También es imposible engañar al sistema con la ayuda de los datos robados: la identificación requiere la presentación de una foto o grabación de audio, que ya se utilizará para construir el modelo y compararlo con el estándar.

Incluso si la base de datos almacena no solo modelos biométricos, sino también las fotos y el audio a partir de los cuales están construidos, es imposible engañar al sistema con su ayuda "en la frente": los algoritmos para verificar la "vivacidad" consideran resultados falsos con la completa coincidencia de los descriptores.





Métodos de verificación de vitalidad para la modalidad facial y de voz.
Fuente: Centro de Tecnología del Habla

Por lo tanto, el uso de datos biométricos filtrados no ayudará a los ciberdelincuentes a obtener rápidamente beneficios materiales, lo que significa que es más probable que busquen métodos de enriquecimiento más simples y confiables.

¿Cómo protegerte?

La Directiva de la UE PSD2 , que entró en vigencia el 14 de septiembre de 2019, también conocida como Open Banking, requiere que los bancos implementen autenticación multifactor para garantizar la seguridad de las transacciones remotas realizadas en cualquier canal. Esto significa el uso obligatorio de dos de sus tres componentes:

• Conocimiento : cierta información conocida solo por el usuario, por ejemplo, una contraseña o una pregunta de seguridad.
• Posesión : un dispositivo que solo el usuario tiene, por ejemplo, un teléfono o token.
• Unicidad : algo inherente, inherente al usuario e que identifica de forma única a la persona, por ejemplo, datos biométricos.

Estos tres elementos deben ser independientes para que el compromiso de un elemento no afecte la confiabilidad de los otros.

Tal como se aplica a la práctica bancaria, esto significa que la realización de operaciones con datos biométricos necesariamente debe ir acompañada de controles adicionales utilizando una contraseña, un token o códigos PUSH / SMS.

Uso o no?

La autenticación biométrica tiene grandes perspectivas, pero los peligros que vienen a nuestras vidas con ellos parecen muy realistas. Los desarrolladores de sistemas y los legisladores deben estudiar los resultados de los últimos estudios de vulnerabilidad de los sistemas biométricos y refinar rápidamente tanto las decisiones de identificación como las regulaciones que rigen su trabajo.

Los bancos deben tener en cuenta la situación con las falsificaciones profundas y otros métodos de engaño a los sistemas biométricos, utilizando una combinación de métodos tradicionales de identificación del usuario con datos biométricos: las contraseñas, los tokens 2FA y USB aún pueden ser útiles.
La situación es difícil con los clientes del banco. Por un lado, la identificación biométrica se desarrolló para su conveniencia como un intento de expandir las posibilidades de obtener servicios bancarios en cualquier momento con un mínimo de formalidades. Por otro lado, en caso de un ataque exitoso, son ellos los que arriesgan su dinero, y los reguladores y desarrolladores de sistemas biométricos no son responsables de los hacks.

En este sentido, una recomendación lógica para los clientes bancarios es no apresurarse a enviar datos biométricos, no prestar atención a las llamadas agresivas. Si no puede prescindir de la identificación biométrica, úsela junto con la autenticación multifactor para reducir al menos parcialmente los riesgos.