नए प्रमाणीकरण के तरीके - गोपनीयता के लिए खतरा?

विशेषज्ञ जानते हैं कि एक तरफ़ा पासवर्ड प्रमाणीकरण पुराना है। हां, यह हैबर जैसी महत्वहीन प्रणालियों के लिए उपयुक्त है, लेकिन वास्तव में मूल्यवान संपत्ति इस तरह से संरक्षित करने के लिए अस्वीकार्य है। कोई "मजबूत" और "मजबूत" पासवर्ड नहीं हैं, यहां तक ​​कि 44 बिट्स एन्ट्रापी के साथ एक क्रिप्टोग्राफिक पासवर्ड वाक्यांश भी कम उपयोग का है अगर यह अन्य प्रमाणीकरण कारकों द्वारा समर्थित नहीं है।

प्रमाणीकरण कारक:

1. "कुछ तुम जानते हो" - उदाहरण के लिए, एक पासवर्ड
2. "आपके पास कुछ है" - उदाहरण के लिए, एक मोबाइल फोन या पीकेआई टोकन
3. "समथिंग यू आर" - जैसे कीबोर्ड लिखावट या अन्य बायोमेट्रिक सुविधाएँ

बड़े संगठनों के उपयोगकर्ताओं और कर्मचारियों की व्यक्तिगत जानकारी के साथ कई डेटाबेस लीक इसके आगे के प्रमाण हैं। वेरीज़ोन के डेटा ब्रीच इन्वेस्टिगेशन्स रिपोर्ट के अनुसार , 2017 में सभी हैक किए गए सूचना प्रणाली और डेटा लीक के 81% कारण खातों को समझौता करने के कारण हुए । यही है, "चोरी" या "मुड़" पासवर्ड।

लेकिन सुरक्षा और अधिक उन्नत प्रमाणीकरण के लिए, आपको कुछ त्याग करना होगा। दुर्भाग्य से, उपयोगकर्ता गोपनीयता को नुकसान हो सकता है। कुछ आधुनिक तकनीकों में मानव व्यवहार की निगरानी करना या बायोमेट्रिक डेटा एकत्र करना शामिल है।

यदि गलत तरीके से लागू किया जाता है, तो ऐसी सुरक्षा प्रणालियां एक प्रकार के बिग ब्रदर में बदल सकती हैं, जहां गुमनामी बनाए रखते हुए सुरक्षा सुनिश्चित करना लगभग असंभव होगा।

नए प्रमाणीकरण के तरीके

यहां तक ​​कि reCAPTCHA v3 का नवीनतम संस्करण, जिसे हाल ही में Google द्वारा आधिकारिक तौर पर घोषित किया गया था, व्यवहार विश्लेषण के तरीकों का उपयोग करता है, अर्थात यह गुप्त रूप से उपयोगकर्ता कार्यों को ट्रैक करता है ।

वेबमास्टर के दृष्टिकोण से, सिस्टम इस तरह काम करता है: पृष्ठ के साथ, उपयोगकर्ता को reCAPTCHA पुस्तकालय दिया जाता है और grecaptcha.execute फ़ंक्शन grecaptcha.execute । उपयोगकर्ता को कुछ भी नज़र नहीं आता है - लेकिन उस पल से, उसके कार्यों की निगरानी Google सर्वर द्वारा की जाने लगती है, और साइट के मालिक को 0.0 (बॉट) से 1.0 (व्यक्ति) तक के पैमाने पर एक विशिष्ट उपयोगकर्ता की रेटिंग दी जाती है।



इस रेटिंग के आधार पर, आप स्वचालित रूप से साइट पर प्रमाणीकरण या अन्य कार्यों पर रोक लगा सकते हैं। उदाहरण के लिए, केवल 0.5 से अधिक रेटिंग वाले उपयोगकर्ताओं को पासवर्ड डेटा प्रविष्टि के साथ पृष्ठ में प्रवेश करने की अनुमति है।



हालांकि reCAPTCHA विशेष रूप से एक प्रमाणीकरण प्रणाली नहीं है, यह व्यवहार विश्लेषण, उन्नत जोखिम विश्लेषण या जोखिम-आधारित प्रमाणीकरण मॉडल का अच्छा प्रदर्शन है। यह बाजार में वर्तमान में नए प्रमाणीकरण प्रणालियों में एक लोकप्रिय दृष्टिकोण है। यहां बताया गया है कि आपूर्तिकर्ता जोखिम-आधारित दृष्टिकोण का वर्णन कैसे करते हैं:

“प्रमाणीकरण की आवश्यकता, सेट और इस ग्राहक को प्रमाणित करने के लिए आवश्यक कारकों का प्रकार, घटना और यहाँ और अब ग्राहक के जोखिम मूल्यांकन के आधार पर निर्धारित किया जाता है। इस प्रकार, प्रमाणीकरण प्रक्रिया ग्राहक, उसके पर्यावरण और डिवाइस के लिए अनुकूल है। इन कारकों में विश्वास के उच्च स्तर के साथ, प्रमाणीकरण प्रक्रिया आम तौर पर अदृश्य है (वास्तव में, यह सिर्फ एक पहचान है) या ग्राहक के लिए न्यूनतम है। यदि जोखिम की पहचान की जाती है, तो ग्राहक को एक या अधिक कारकों का उपयोग करके प्रमाणित करना चाहिए, और धोखाधड़ी की उच्च संभावना के साथ, सेवाओं तक पहुंच पूरी तरह से अवरुद्ध हो जाएगी। "

पृष्ठभूमि व्यवहार विश्लेषण का सिद्धांत reCAPTCHA v3 एल्गोरिथ्म की तरह एक सा है।

वास्तव में, उपयोगकर्ता अनुभव को बनाए रखने या यहां तक ​​कि सुधार करते समय बहु-कारक प्रमाणीकरण को लागू करने के लिए विचार है। उदाहरण के लिए, यदि आप किसी विशिष्ट स्थान से, किसी ज्ञात डिवाइस से इंटरनेट बैंकिंग प्रणाली में लॉग इन करते हैं, और सिस्टम किसी व्यक्ति की कीबोर्ड लिखावट को पहचानता है, तो उन्हें सिस्टम में बिना पासवर्ड के अनुमति दी जा सकती है।

एक और उदाहरण: व्यक्तिगत खाते से भुगतान करते समय, सिस्टम मानक संचालन के लिए अतिरिक्त पुष्टिकरण के लिए नहीं पूछता है जो क्लाइंट ने पहले ही पूरा कर लिया है। दूसरा और / या तीसरा प्रमाणीकरण कारक अनुरोध किया जाता है जब एक नया भुगतान एक नए प्रतिपक्ष को किया जाता है। जाहिर है, एक गैर-मानक भुगतान की संभावना बढ़ जाती है कि किसी को किसी खाते में अनधिकृत पहुंच प्राप्त हुई।

रूस में बॉयोमीट्रिक्स

हां, उपयोगकर्ता कार्यों की छिपी निगरानी के साथ व्यवहार विश्लेषण एक संदिग्ध तकनीक है, लेकिन उचित कार्यान्वयन के साथ यह अभी भी आपको किसी व्यक्ति की गुमनामी बनाए रखने की अनुमति देता है और साथ ही सिस्टम में प्रमाणीकरण प्रदान करता है। एक और बात बायोमेट्रिक डेटा का संग्रह है, जो स्वाभाविक रूप से गुमनामी की अस्वीकृति का अर्थ है।


3 डी-प्रिंटेड मास्क आपको iPhone X फोन में बायोमेट्रिक सत्यापन को मूर्ख बनाने की अनुमति देते हैं

विशेष रूप से चिंता का विषय रूस में बायोमेट्रिक पहचान को तैनात करने की पहल है, जहां नागरिकों के व्यक्तिगत डेटा के साथ डेटाबेस लीक आम बात हो गई है ।

हाल ही में नवीन वित्तीय प्रौद्योगिकियों Finopolis 2018 के एक मंच पर, उन्होंने कहा कि रूस में "बायोमेट्रिक पहचान प्रणाली की रणनीतिक चर्चा का चरण पूरा हो गया है", और अब इस तकनीक का व्यावहारिक कार्यान्वयन शुरू हो गया है, जिसमें "कम से कम तीन साल" लगेंगे।

हम यूनिफाइड बायोमेट्रिक सिस्टम के बारे में बात कर रहे हैं, जो बड़े बैंकों और रूसी संघ के अन्य संगठनों को जोड़ता है। पहले चरण में, जनसंख्या से बायोमेट्रिक डेटा का एक विशाल संग्रह है, काम रोस्टेलकॉम द्वारा समन्वित है।

परियोजना की आधिकारिक वेबसाइट से:

यूनिफाइड बायोमेट्रिक सिस्टम रिमोट बायोमेट्रिक पहचान के लिए एक डिजिटल प्लेटफॉर्म है, जो आपको कहीं भी, कभी भी नागरिकों के लिए नई डिजिटल वाणिज्यिक और सरकारी सेवाएं प्रदान करने की अनुमति देता है। सिस्टम रूसी संघ के सेंट्रल बैंक और रूसी संघ के डिजिटल विकास, दूरसंचार और मास मीडिया मंत्रालय की पहल पर बनाया गया था। रोस्टेलकॉम यूनिफाइड बायोमेट्रिक सिस्टम के डेवलपर और ऑपरेटर हैं।

एक एकल बायोमेट्रिक सिस्टम, राज्य सेवाओं के उपयोगकर्ता नाम और पासवर्ड के साथ, बैंकों को एक व्यक्तिगत उपस्थिति के बिना एक खाता खोलने, जमा करने या उसे ऋण प्रदान करने की अनुमति देता है। इस प्रकार, बैंक ग्राहक पथ के डिजिटलाइजेशन को पूरा कर सकते हैं, और नागरिकों के पास अपनी इच्छाशक्ति को दूर करने और दस्तावेजों पर हस्ताक्षर करने का अवसर है।

एक एकल बायोमेट्रिक सिस्टम दो प्रकार के बायोमेट्रिक्स की प्रक्रिया करता है : आवाज और चेहरा, और अलग-अलग नहीं, बल्कि एक साथ । दो तौर-तरीके आपको एक डिजिटल चैनल में अपने बायोमेट्रिक्स की नकल करने के बजाय एक "जीवित व्यक्ति" को परिभाषित करने की अनुमति देते हैं।

चेहरा और आवाज आज तक की सबसे सस्ती और आम तकनीक है। शिरा पैटर्न, रेटिना या फिंगरप्रिंट द्वारा पहचान के लिए विशेष पठन उपकरण की आवश्यकता होती है जो कि बड़े खंड में उपलब्ध नहीं हैं। लेकिन आज प्रौद्योगिकी की उपलब्धता भविष्य में उनके उपयोग के लिए सीमित कारक नहीं है। सिस्टम आर्किटेक्चर आपको अन्य तौर-तरीकों को जोड़ने की अनुमति देता है।
...
रोस्टेलेकॉम साइबर स्पेस मार्केट में अग्रणी है, इसलिए, उच्च स्तर की सुरक्षा प्रदान की जाती है।

एंड्रॉइड के लिए "की" मोबाइल एप्लिकेशन रूसी बैंकों के ग्राहकों की दूरस्थ पहचान के लिए पहले ही जारी किया जा चुका है। एप्लिकेशन सार्वजनिक सेवाओं के पोर्टल पर एक खाते के साथ संयोजन के रूप में काम करता है, जबकि यह उपयोगकर्ता की आवाज और चेहरे को स्कैन करता है। Google Play पर समीक्षाओं को देखते हुए, एप्लिकेशन एक अमान्य प्रमाणपत्र का उपयोग करने सहित अत्यंत अस्थिर है।



सामान्य तौर पर, नागरिकों के बारे में बायोमेट्रिक जानकारी का संग्रह धीरे-धीरे दुनिया भर में आदर्श बन रहा है। 11/09 के आतंकवादी अधिनियम के बाद, दुनिया के 188 देशों के प्रतिनिधियों ने पासपोर्ट के लिए मुख्य पहचान तकनीक के रूप में चेहरा बायोमेट्रिक्स को पहचानने वाले एक समझौते पर हस्ताक्षर किए और अगली पीढ़ी के प्रवेश वीजा। एक चिप को बायोमेट्रिक पासपोर्ट में सीवन किया जाता है, जहां इसे उंगलियों के निशान, रेटिना की एक तस्वीर, पुतलियों के बीच की दूरी और मालिक की अन्य बायोमेट्रिक जानकारी को रिकॉर्ड करना होता है।

रुझान इस तरह के हैं कि बायोमेट्रिक सत्यापन धीरे-धीरे एक मानक प्रक्रिया बनती जा रही है, और राज्य नागरिकों के बायोमेट्रिक डेटा को इकट्ठा करने और संग्रहीत करने के कार्य को लेता है। शायद बायोमेट्रिक सत्यापन को विभिन्न इंटरनेट सेवाओं पर लागू किया जाएगा।

बायोमेट्रिक सत्यापन सहित सुरक्षा और प्रमाणीकरण प्रणाली में सुधार, मुख्य बात याद रखना महत्वपूर्ण है:

गुमनामी एक बुनियादी मानव अधिकार है

मई 2015 में, संयुक्त राष्ट्र मानवाधिकार परिषद ने एक दस्तावेज अपनाया जो स्पष्ट रूप से इंटरनेट के अनाम उपयोग और व्यक्तिगत डेटा के एन्क्रिप्शन को बुनियादी मानवाधिकारों का हिस्सा बनाने की संभावना को कहता है:

एन्क्रिप्शन और एनोनिमसिटी व्यक्तियों को डिजिटल युग में विचार और अभिव्यक्ति की स्वतंत्रता के अपने अधिकार का उपयोग करने की अनुमति देती है और इसे सावधानीपूर्वक संरक्षित किया जाना चाहिए।

11 सितंबर के हमलों के बाद बायोमेट्रिक पासपोर्ट की व्यापक शुरूआत हुई। तब से, आतंकवाद का मुकाबला करने के बहाने गोपनीयता की स्थिति खराब हो गई है। यूएन ने उल्लेख किया कि आतंकवादी हमलों को व्यवस्थित करने के लिए साइबर अपराधियों द्वारा इंटरनेट पर गुमनामी का इस्तेमाल किया जा सकता है, लेकिन उसी सफलता के साथ अन्य संचार चैनलों का उपयोग करके अपराध किए जा सकते हैं। अपराधियों की सीमित संख्या के कारण, अन्य सभी लोगों को मूल अधिकार से वंचित नहीं किया जा सकता है , संगठन का मानना ​​है।

दूसरे शब्दों में, जब उन्नत प्रमाणीकरण प्रणाली और बायोमेट्रिक जांच शुरू करते हैं, तो यह महत्वपूर्ण है कि पानी और बच्चे के साथ छप न जाए, अर्थात्, उपयोगकर्ताओं के व्यक्तिगत डेटा, विशेष रूप से उनकी बायोमेट्रिक जानकारी की उचित सुरक्षा सुनिश्चित करें।

---