बायोमेट्रिक पहचान की समस्याएं और खतरे

2018 में, रूस में बॉयोमीट्रिक पहचान पर एक कानून लागू हुआ। बैंक बायोमेट्रिक कॉम्प्लेक्स लागू कर रहे हैं और यूनिफाइड बायोमेट्रिक सिस्टम (ईबीएस) में प्लेसमेंट के लिए डेटा एकत्र कर रहे हैं। बॉयोमीट्रिक पहचान नागरिकों को दूरस्थ रूप से बैंकिंग सेवाओं को प्राप्त करने का अवसर देती है। यह उन्हें कतारों से बचाता है और तकनीकी रूप से उन्हें दिन के किसी भी समय "बैंक का दौरा" करने की अनुमति देता है।

फोटो या आवाज द्वारा दूरस्थ पहचान की सुविधा की सराहना न केवल बैंक ग्राहकों ने की, बल्कि साइबर अपराधियों ने भी की। प्रौद्योगिकी को सुरक्षित बनाने के लिए डेवलपर्स की इच्छा के बावजूद, शोधकर्ता इस तरह के सिस्टम को धोखा देने के लिए लगातार नए तरीकों के उद्भव की रिपोर्ट कर रहे हैं।

इसलिए शायद आपको बैंक शाखा में बायोमेट्रिक पहचान से गुजरने के लिए एक अनुकूल ऑपरेटर के प्रस्ताव पर सहमत नहीं होना चाहिए? या आप नई तकनीक का लाभ उठाते हैं? हम इस पोस्ट को समझते हैं।

क्या समस्या है?

बॉयोमीट्रिक पहचान में ऐसी विशेषताएं हैं जो इसे सामान्य उपयोगकर्ता नाम / पासवर्ड जोड़ी या "सुरक्षित" 2FA से अलग करती हैं:

1. बायोमेट्रिक डेटा सार्वजनिक है। आप ग्रह पृथ्वी के लगभग किसी भी निवासी की तस्वीरें, वीडियो और ऑडियो रिकॉर्डिंग पा सकते हैं और पहचान के लिए उनका उपयोग कर सकते हैं।
2. पासवर्ड, फोन नंबर या टोकन को 2FA के समान आसानी से चेहरे, आवाज, उंगलियों के निशान या रेटिना को बदलना संभव नहीं है।
3. बॉयोमीट्रिक पहचान एक ऐसे व्यक्ति की पुष्टि करती है जिसके पास संभावना हो, लेकिन 100% के बराबर न हो। दूसरे शब्दों में, प्रणाली स्वीकार करती है कि एक व्यक्ति कुछ हद तक डेटाबेस में संग्रहीत अपने बायोमेट्रिक मॉडल से भिन्न हो सकता है।

चूंकि हवाई अड्डों पर न केवल बायोमेट्रिक डेटा खुलता है, बल्कि बायोमेट्रिक पहचान प्रणाली को धोखा देने के तरीकों पर भी दुनिया भर में बैंक सेफ़, हैकर्स और साइबर क्रिमिनल कड़ी मेहनत कर रहे हैं। प्रत्येक वर्ष, ब्लैकहैट सूचना सुरक्षा सम्मेलन के कार्यक्रम में अनिवार्य रूप से बॉयोमीट्रिक कमजोरियों से संबंधित रिपोर्ट होती है , लेकिन सुरक्षा विधियों के विकास पर व्यावहारिक रूप से कोई भाषण नहीं होता है।

बायोमेट्रिक पहचान से जुड़ी मुख्य समस्याओं में धोखाधड़ी, रिसाव और चोरी, एकत्रित डेटा की खराब गुणवत्ता, साथ ही विभिन्न संगठनों द्वारा एक व्यक्ति के कई डेटा संग्रह शामिल हैं।

मिलावट

मीडिया में अक्सर बायोमेट्रिक पहचान प्रणाली को धोखा देने के विभिन्न तरीकों से संबंधित प्रकाशन पाए जाते हैं। यह जर्मन के रक्षा मंत्री उर्सुला वॉन डेर लेयेन का फिंगरप्रिंट है, जो उनकी सार्वजनिक तस्वीरों से बना है , और एक मुखौटा का उपयोग करके iPhone X पर फेस आईडी धोखाधड़ी , एक सीईओ की नकली आवाज की मदद से $ 243 हजार की सनसनीखेज चोरी , सितारों के साथ नकली वीडियो जो धोखाधड़ी से जीतता है। , और चीनी ZAO कार्यक्रम, जो आपको किसी अन्य के साथ वीडियो चरित्र के चरित्र को बदलने की अनुमति देता है ।

लोगों के लिए बायोमेट्रिक सिस्टम को फोटो और मास्क लेने से रोकने के लिए, वे "आजीविका" का पता लगाने की तकनीक का उपयोग करते हैं - लीनियर डिटेक्शन - विभिन्न जांचों का एक सेट जो आपको यह निर्धारित करने की अनुमति देता है कि एक जीवित व्यक्ति कैमरे के सामने है, न कि उसका मुखौटा या फोटो। लेकिन इस तकनीक को मूर्ख बनाया जा सकता है।


बायोमेट्रिक सिस्टम में एक फर्जी वीडियो स्ट्रीम एम्बेड करना। स्रोत

धमकी के तहत बायोमेट्रिक ऑथेंटिकेशन: लीविंग डिटेक्शन हैकिंग रिपोर्ट ने ब्लैकहैट 2019 की रिपोर्ट में सोते हुए व्यक्ति पर पहने गए चश्मे का उपयोग कर, एक नकली व्यक्ति को नकली ऑडियो और वीडियो स्ट्रीम और अन्य तरीकों को पेश करते हुए फेस आईडी को सफलतापूर्वक रोकने की रिपोर्ट दी।


एक्स-ग्लास - फेस आईडी में धोखा निरोध का पता लगाने के लिए चश्मा। स्रोत

उपयोगकर्ताओं की सुविधा के लिए, यदि कोई व्यक्ति धूप का चश्मा लगाता है तो फेस आईडी चालू हो जाता है। इसी समय, आंखों में प्रकाश की मात्रा कम हो जाती है, इसलिए सिस्टम आंखों के आसपास के क्षेत्र के उच्च-गुणवत्ता वाले 3 डी मॉडल का निर्माण नहीं कर सकता है। इस कारण से, चश्मा खोजे जाने के बाद, फेस आईडी आंखों के बारे में 3 डी जानकारी निकालने की कोशिश नहीं करता है और उन्हें अमूर्त मॉडल के रूप में प्रस्तुत करता है - केंद्र में एक सफेद बिंदु के साथ एक काला क्षेत्र।

डेटा संग्रह की गुणवत्ता और झूठी मान्यता

पहचान की सटीकता प्रणाली में संग्रहीत बायोमेट्रिक डेटा की गुणवत्ता पर अत्यधिक निर्भर है। विश्वसनीय मान्यता के लिए पर्याप्त गुणवत्ता सुनिश्चित करने के लिए, उपकरणों की आवश्यकता होती है जो शोर में संचालित होते हैं और बहुत उज्ज्वल रूप से जलाए गए बैंक शाखाओं में नहीं।

सस्ते चीनी माइक्रोफोन आपको प्रतिकूल परिस्थितियों में एक आवाज का नमूना रिकॉर्ड करने की अनुमति देते हैं, और बजट कैमरे आपको बायोमेट्रिक मॉडल बनाने के लिए एक तस्वीर लेने की अनुमति देते हैं। लेकिन इस तरह के परिदृश्य में, झूठी पहचान की संख्या काफी बढ़ जाती है - संभावना है कि सिस्टम एक व्यक्ति को दूसरे के लिए, समान आवाज़ या समान उपस्थिति के साथ ले जाएगा। इस प्रकार, खराब-गुणवत्ता वाले बायोमेट्रिक डेटा सिस्टम को रौंदने के लिए अधिक अवसर पैदा करता है जिससे हमलावर फायदा उठा सकते हैं।

एकाधिक बॉयोमीट्रिक्स संग्रह

ईबीएस द्वारा अर्जित किए जाने से पहले कुछ बैंकों ने अपनी बायोमेट्रिक प्रणाली शुरू की। अपने बायोमेट्रिक्स पास करने के बाद, एक व्यक्ति का मानना ​​है कि वह अन्य बैंकों में नई सेवा तकनीक का उपयोग कर सकता है, और जब यह पता चलता है कि ऐसा नहीं है, तो वह फिर से डेटा सौंप देगा।

कई समानांतर बायोमेट्रिक सिस्टम की उपस्थिति के साथ स्थिति एक जोखिम पैदा करती है:

• एक व्यक्ति जो दो बार बायोमेट्रिक्स पास कर चुका है, सबसे अधिक संभावना है, अब इस प्रक्रिया को दोहराने के प्रस्ताव पर आश्चर्यचकित नहीं होगा, और भविष्य में वह स्कैमर्स का शिकार हो सकता है जो अपने आपराधिक उद्देश्यों के लिए बायोमेट्रिक्स एकत्र करेंगे।
• लीक और दुरुपयोग अधिक बार होगा क्योंकि संभव डेटा एक्सेस चैनलों की संख्या बढ़ जाती है।

लीक और चोरी

ऐसा लग सकता है कि बायोमेट्रिक डेटा का रिसाव या चोरी उनके मालिकों के लिए एक वास्तविक आपदा है, लेकिन वास्तव में, सब कुछ इतना बुरा नहीं है।

सामान्य स्थिति में, एक बायोमेट्रिक सिस्टम तस्वीरों और वॉयस रिकॉर्डिंग को संग्रहीत नहीं करता है, लेकिन एक व्यक्ति की विशेषता वाले संख्याओं के सेट - एक बायोमेट्रिक मॉडल। और अब इसके बारे में अधिक विस्तार से बात करते हैं।

एक चेहरे का मॉडल बनाने के लिए, सिस्टम एन्थ्रोपोमेट्रिक संदर्भ बिंदु पाता है जो इसकी व्यक्तिगत विशेषताओं को निर्धारित करता है। इन बिंदुओं की गणना के लिए एल्गोरिथ्म सिस्टम से सिस्टम में भिन्न होता है और डेवलपर्स का रहस्य है। नियंत्रण बिंदुओं की न्यूनतम संख्या 68 है, लेकिन कुछ प्रणालियों में उनकी संख्या 200 या अधिक है।

पाए गए संदर्भ बिंदुओं के आधार पर, एक डिस्क्रिप्टर की गणना की जाती है - चेहरे की विशेषताओं, बालों से स्वतंत्र, उम्र और मेकअप का एक अनूठा सेट। परिणामस्वरूप डिस्क्रिप्टर (संख्याओं की एक सरणी) एक बॉयोमीट्रिक मॉडल है जो डेटाबेस में संग्रहीत होता है। मॉडल से मूल फोटो को पुनर्स्थापित करना असंभव है।

उपयोगकर्ता की पहचान करने के लिए, सिस्टम उसके बायोमेट्रिक मॉडल का निर्माण करता है और इसकी तुलना डेटाबेस में संग्रहीत डिस्क्रिप्टर से करता है।

मॉडल निर्माण के सिद्धांत के महत्वपूर्ण परिणाम हैं:

1. एक बायोमेट्रिक सिस्टम से दूसरे को धोखा देने के लिए चुराए गए डेटा का उपयोग करने से संदर्भ बिंदुओं के लिए अलग-अलग खोज एल्गोरिदम और परिणामी मॉडल में गंभीर अंतर के कारण सफल होने की संभावना नहीं है।
2. इससे चुराए गए डेटा की मदद से सिस्टम को धोखा देना भी असंभव है - पहचान के लिए एक फोटो या ऑडियो रिकॉर्डिंग की प्रस्तुति की आवश्यकता होती है, जो पहले से ही मॉडल का निर्माण करने और मानक के साथ तुलना करने के लिए उपयोग किया जाएगा।

भले ही डेटाबेस न केवल बायोमेट्रिक मॉडल, बल्कि उन फ़ोटो और ऑडियो को भी संग्रहीत करता है, जिन पर उनका निर्माण किया गया है, सिस्टम को "माथे" पर उनकी मदद से धोखा देना असंभव है: "आजीविका" की जाँच के लिए एल्गोरिदम विवरणकर्ताओं के पूर्ण संयोग के साथ गलत परिणामों पर विचार करते हैं।





फेशियल और वॉयस मोडेरिटी के लिए लाईफ वेरिफिकेशन के तरीके
स्रोत: भाषण प्रौद्योगिकी केंद्र

इस प्रकार, लीक बायोमेट्रिक डेटा के उपयोग से साइबर अपराधियों को जल्दी से भौतिक लाभ प्राप्त करने में मदद नहीं मिलेगी, जिसका अर्थ है कि वे अधिक सरल और संवर्धन के अधिक विश्वसनीय तरीकों की तलाश कर रहे हैं।

खुद की सुरक्षा कैसे करें?

14 सितंबर, 2019 को लागू होने वाले यूरोपीय संघ के निर्देशक PSD2 को किसी भी चैनल पर किए गए दूरस्थ लेनदेन की सुरक्षा सुनिश्चित करने के लिए बैंकों को बहु-कारक प्रमाणीकरण लागू करने की आवश्यकता है। इसका मतलब है कि उनके तीन घटकों में से दो का अनिवार्य उपयोग:

• ज्ञान - केवल उपयोगकर्ता के लिए ज्ञात कुछ जानकारी, उदाहरण के लिए, एक पासवर्ड या सुरक्षा प्रश्न।
• कब्ज़ा - एक उपकरण जो केवल उपयोगकर्ता के पास है, उदाहरण के लिए, एक फ़ोन या टोकन।
• विशिष्टता - कुछ अंतर्निहित, उपयोगकर्ता में अंतर्निहित और विशिष्ट रूप से व्यक्ति की पहचान करना, उदाहरण के लिए, बायोमेट्रिक डेटा।

ये तीन तत्व स्वतंत्र होने चाहिए ताकि एक तत्व का समझौता दूसरों की विश्वसनीयता को प्रभावित न करे।

जैसा कि बैंकिंग अभ्यास के लिए लागू किया जाता है, इसका मतलब है कि बायोमेट्रिक डेटा पर संचालन करना आवश्यक रूप से एक पासवर्ड, टोकन या PUSH / एसएमएस कोड का उपयोग करके अतिरिक्त चेक के साथ होना चाहिए।

उपयोग करें या नहीं?

बॉयोमीट्रिक प्रमाणीकरण की बहुत संभावनाएं हैं, लेकिन उनके साथ हमारे जीवन में आने वाले खतरे बहुत यथार्थवादी हैं। सिस्टम डेवलपर्स और विधायकों को बायोमेट्रिक सिस्टम के नवीनतम भेद्यता अध्ययन के परिणामों का अध्ययन करना चाहिए और अपने काम को नियंत्रित करने वाले पहचान निर्णयों और विनियमों को जल्दी से परिष्कृत करना चाहिए।

बैंकों को बॉयोमीट्रिक के साथ उपयोगकर्ता पहचान के पारंपरिक तरीकों के संयोजन का उपयोग करते हुए, बॉयोमीट्रिक सिस्टम को धोखा देने के डीपफेक और अन्य तरीकों के साथ स्थिति को ध्यान में रखना चाहिए: पासवर्ड, 2FA और यूएसबी टोकन अभी भी उपयोगी हो सकते हैं।
बैंक ग्राहकों के साथ स्थिति मुश्किल है। एक ओर, न्यूनतम औपचारिकताओं के साथ किसी भी समय बैंकिंग सेवाओं को प्राप्त करने की संभावनाओं का विस्तार करने के प्रयास के रूप में उनकी सुविधा के लिए बॉयोमीट्रिक पहचान विकसित की गई थी। दूसरी ओर, एक सफल हमले की स्थिति में, यह वे हैं जो अपने पैसे को जोखिम में डालते हैं, और बायोमेट्रिक सिस्टम के नियामक और डेवलपर्स हैक के लिए जिम्मेदार नहीं हैं।

इस संबंध में, बैंक ग्राहकों के लिए एक तार्किक सिफारिश है कि बायोमेट्रिक डेटा जमा करने में जल्दबाजी न करें, आक्रामक कॉल पर ध्यान न दें। यदि आप बायोमेट्रिक पहचान के बिना नहीं कर सकते हैं, तो कम से कम जोखिमों को आंशिक रूप से कम करने के लिए बहु-कारक प्रमाणीकरण के साथ इसका उपयोग करें।