Какие существуют биометрические методы защиты информации?

Методы и средства обеспечения информационной безопасности

К методам и средствам защиты информации относят правовые, организационно-технические и экономические мероприятия информационной защиты и меры защиты информации (правовая защита информации, техническая защита информации, защита экономической информации и т.д.).

Они могут представлять отдельные файлы с различной информацией, коллекции файлов, программы и базы данных. В зависимости от этого к ним применяются различные меры, способствующие обеспечению безопасности информационных ресурсов. К основным программно-техническим мерам, применение которых позволяет решать проблемы обеспечения безопасности информационных ресурсов, относят: аутентификацию пользователя и установление его идентичности; управление доступом к базе данных; поддержание целостности данных; протоколирование и аудит; защиту коммуникаций между клиентом и сервером; отражение угроз, специфичных для СУБД и др.

В целях защиты информации в базах данных важнейшими являются следующие аспекты информационной безопасности:

доступность — возможность получить некоторую требуемую информационную услугу;
целостность — непротиворечивость информации, ее защищённость от разрушения и несанкционированного изменения;
конфиденциальность — защита от несанкционированного прочтения.

Эти аспекты являются основополагающими для любого программно-технического обеспечения, предназначенного для создания условий безопасного функционирования данных в компьютерах и компьютерных информационных сетях.

Контроль доступа представляет собой процесс защиты данных и программ от их использования объектами, не имеющими на это права.

Одним из наиболее известных способов защиты информации является ее кодирование (шифрование, криптография).

Криптография — это система изменения информации (кодирования, шифрования) с целью ее защиты от несанкционированных воздействий, а также обеспечения достоверности передаваемых данных.

Код характеризуется: длиной — числом знаков, используемых при кодировании, и структурой — порядком расположения символов, обозначающих классификационный признак.

Средством кодирования служит таблица соответствия. Примером такой таблицы для перевода алфавитно-цифровой информации в компьютерные коды является кодовая таблица ASCII .

Для шифрования информации все чаще используют криптографические методы ее защиты.

Криптографические методы защиты информации содержат комплекс (совокупность) алгоритмов и процедур шифрования и кодирования информации, используемых для преобразования смыслового содержания передаваемых в информационных сетях данных. Они подразумевают создание и применение специальных секретных ключей пользователей.

Общие методы криптографии существуют давно. Она считается мощным средством обеспечения конфиденциальности и контроля целостности информации. Пока альтернативы методам криптографии нет. И хотя криптография не спасает от физических воздействий, в остальных случаях она служит надежным средством защиты данных.

Стойкость криптоалгоритма зависит от сложности методов преобразования. Главным критерием стойкости любого шифра или кода являются имеющиеся вычислительные мощности и время, в течение которого можно их расшифровать. Если это время равняется нескольким годам, то стойкость таких алгоритмов является вполне приемлемой и более чем достаточной для большинства организаций и личностей. Если использовать 256- и более разрядные ключи, то уровень надежности защиты данных составит десятки и сотни лет работы суперкомпьютера. При этом для коммерческого применения достаточно 40-, 44-разрядных ключей.

Для кодирования ЭИР, с целью удовлетворения требованиям обеспечения безопасности данных от несанкционированных воздействий на них, используется электронная цифровая подпись (ЭЦП).

Цифровая подпись для сообщения представляет последовательность символов, зависящих от самого сообщения и от некоторого секретного, известного только подписывающему субъекту, ключа.

Она должна легко проверяться и позволять решать три следующие задачи:

осуществлять аутентификацию источника сообщения,
устанавливать целостность сообщения,
обеспечивать невозможность отказа от факта подписи конкретного сообщения.

Первый отечественный стандарт ЭЦП появился в 1994 году. Вопросами использования ЭЦП в России занимается Федеральное агентство по информационным технологиям (ФАИТ).

Существующий в мире опыт свидетельствует, что строить системы безопасности из отдельных продуктов неэффективно. Поэтому отмечается общая потребность в комплексных решениях информационной безопасности и их сопровождения. При этом специалисты отмечают, что наиболее эффективные меры защиты кроются не в технических средствах, а в применении различных организационных и административных мер, регламентов, инструкций и в обучении персонала.

Технические мероприятия базируются на применении следующих средств и систем: охранной и пожарной сигнализации; контроля и управления доступом; видеонаблюдения и защиты периметров объектов; защиты информации; контроля состояния окружающей среды и технологического оборудования, систем безопасности, перемещения людей, транспорта и грузов; учета рабочего времени персонала и времени присутствия на объектах различных посетителей.

Для комплексного обеспечения безопасности объекты оборудуются системами связи, диспетчеризации, оповещения, контроля и управления доступом; охранными, пожарными, телевизионными и инженерными устройствами и системами; охранной, пожарной сигнализацией, противопожарной автоматикой и др.

Биометрические методы защиты информации. Понятие «биометрия» определяет раздел биологии, занимающийся количественными биологическими экспериментами с привлечением методов математической статистики.

Биометрия представляет собой совокупность автоматизированных методов и средств идентификации человека, основанных на его физиологических или поведенческих характеристик. Биометрическая идентификация позволяет идентифицировать индивида по присущим ему специфическим биометрическим признакам, то есть его статическими (отпечаткам пальца, роговице глаза, генетическому коду, запаху и др.) и динамическими (голосу, почерку, поведению и др.) характеристиками.

Биометрическая идентификация считается одним из наиболее надежных способов. Уникальные биологические, физиологические и поведенческие характеристики, индивидуальные для каждого человека, называют биологическим кодом человека.

Первые биометрические системы использовали рисунок (отпечаток) пальца. Примерно одну тысячу лет до н.э. в Китае и Вавилоне знали об уникальности отпечатков пальцев. Их ставили под юридическими документами. Однако дактилоскопию стали применять в Англии с 1897 года, а в США — с 1903 года.

Считыватели обеспечивают считывание идентификационного кода и передачу его в контроллер. Они преобразуют уникальный код пользователя в код стандартного формата, передаваемый контроллеру для принятия управленческого решения. Считыватели бывают контактные и бесконтактные. Они могут фиксировать время прохода или открывания дверей и др. К ним относят устройства: дактилоскопии (по отпечаткам пальцев); идентификация глаз человека (идентификация рисунка радужной оболочки глаза или сканирование глазного дна); фотоидентификация (сравнение создаваемых ими цветных фотографий (банк данных) с изображением лица индивида на экране компьютера); идентификация по форме руки, генетическому коду, запаху, голосу, почерку, поведению и др.

В различных странах (в том числе в России) включают биометрические признаки в загранпаспорта и другие идентифицирующие личности документы. Преимущество биологических систем идентификации, по сравнению с традиционными (например, PI №-кодовыми, доступом по паролю), заключается в идентификации не внешних предметов, принадлежащих человеку, а самого человека. Анализируемые характеристики человека невозможно утерять, передать, забыть и крайне сложно подделать. Они практически не подвержены износу и не требуют замены или восстановления.

С помощью биометрических систем осуществляются:

ограничение доступа к информации и обеспечение персональной ответственности за ее сохранность;
обеспечение допуска сертифицированных специалистов;
предотвращение проникновения злоумышленников на охраняемые территории и в помещения вследствие подделки и (или) кражи документов (карт, паролей);
организация учета доступа и посещаемости сотрудников, а также решается ряд других проблем.

Самой популярной считается аутентификация по отпечаткам пальцев, которые, в отличие от пароля, нельзя забыть, потерять, и заменить. Однако в целях повышения надежности аутентификации и защиты ценной информации лучше использовать комбинацию биометрических признаков. Удачным считается одновременное использование двухфакторной аутентификации пользователя, включающее оптический сканер отпечатков пальцев и картридер для смарт-карты, в которой в защищенном виде хранятся те же отпечатки пальцев.

К новым биометрическим технологиям следует отнести трехмерную идентификацию личности, использующую трехмерные сканеры идентификации личности с параллаксным методом регистрации образов объектов и телевизионные системы регистрации изображений со сверхбольшим угловым полем зрения. Предполагается, что подобные системы будут применяться для идентификации личностей, трехмерные образы которых войдут в состав удостоверений личности и других документов. Сканирование с помощью миллиметровых волн — быстрый метод, позволяющий за две-четыре секунды сформировать трехмерное топографическое изображение, которое можно поворачивать на экране монитора для досмотра предметов, находящихся в одежде и на теле человека. С этой же целью используют и рентгеновские аппараты. Дополнительным преимуществом миллиметровых волн в сравнении с рентгеном является отсутствие радиации — этот вид просвечивания безвреден, а создаваемое им изображение генерируется энергией, отраженной от тела человека. Энергия, излучаемая миллиметровыми волнами, в 10 000 раз слабее излучения от сотового телефона.

Защита информации в информационных компьютерных сетях осуществляется с помощью специальных программных, технических и программно-технических средств.

С целью защиты сетей и контроля доступа в них используют:

фильтры пакетов, запрещающие установление соединений,
пересекающих границы защищаемой сети;
фильтрующие маршрутизаторы, реализующие алгоритмы
анализа адресов отправления и назначения пакетов в сети;
шлюзы прикладных программ, проверяющие права доступа к
программам.

В качестве устройства, препятствующего получению злоумышленником доступа к информации, используют Firewalls (рус. «огненная стена» или «защитный барьер» — брандмауэр). Такое устройство располагают между внутренней локальной сетью организации и Интернетом. Оно ограничивает трафик, пресекает попытки несанкционированного доступа к внутренним ресурсам организации. Это внешняя защита. Современные брандмауэры могут «отсекать» от пользователей корпоративных сетей незаконную и нежелательную для них корреспонденцию, передаваемую по электронной почте. При этом ограничивается возможность получении избыточной информации и так называемого «мусора» (спама).

Считается, что спам появился в 1978 г., а значительный его рост наблюдается в 2003 г. Сложно сказать, какой почты приходит больше: полезной или бестолковой. Выпускается много ПО, предназначенного для борьбы с ним, но единого эффективного средства пока нет.

Техническим устройством, способным эффективно осуществлять защиту в компьютерных сетях, является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных. В результате появляется возможность запретить доступ некоторым пользователям к определенному «хосту», программно осуществлять детальный контроль адресов отправителей и получателей. Также можно ограничить доступ всем или определенным категориям пользователей к различным серверам, например ведущим распространение противоправной или антисоциальной информации (пропаганда секса, насилия и т.п.).

Защита может осуществляться не только в глобальной сети или локальной сети организации, но и отдельных компьютеров. Для этой цели создаются специальные программно-аппаратные комплексы.

Защита информации вызывает необходимость системного подхода, т.е. здесь нельзя ограничиваться отдельными мероприятиями. Системный подход к защите информации требует, чтобы средства и действия, используемые для обеспечения информационной безопасности — организационные, физические и программно-технические — рассматривались как единый комплекс взаимосвязанных взаимодополняющих и взаимодействующих мер. Один из основных принципов системного подхода к защите информации — принцип «разумной достаточности», суть которого: стопроцентной защиты не существует ни при каких обстоятельствах, поэтому стремиться стоит не к теоретически максимально достижимому уровню защиты, а к минимально необходимому в данных конкретных условиях и при данном уровне возможной угрозы.

Биометрические персональные данные и технологии идентификации: какие правовые проблемы могут возникнуть?

pegasustudio / Depositphotos.com

Автоматизация занимает отдельное место в сфере идентификации и аутентификации пользователей – использование функции распознавания человека применяется как организациями, так и государственными органами. К первому случаю можно отнести оказание финансовых услуг банковскими организациями: так, некоторые банки используют системы идентификации с помощью биометрии, например, с помощью голоса можно подтверждать совершение операций. Примером второго выступает использование камер видеонаблюдения, установленных на улице и в общественном транспорте.

Государство амбициозно внедряет новые автоматизированные решения: к данному процессу подключаются различные предприятия. На тематическом мероприятии директор по информационным технологиям АО «Гознак» Олег Барсуков сообщил о том, что компания занимается разработкой и автоматизации прохода пассажиров на транспорт на основе биометрической идентификации и электронного документа. Он пообещал представить на обозрение в ближайшее время технологию верификации по радужной оболочке глаза. Эксперт также отметил, что предприятие развивает технологии, использующие в основе биометрию: помимо радужной оболочки глаза также планируют сканировать вены ладоней.

При правовой оценке планируемых нововведений возникает вопрос о том, каким образом они будут соотноситься с законодательством, а именно каким образом будет соблюдаться Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ).

В первую очередь следует определить, относятся ли данные, получаемые при идентификации с помощью радужной оболочки глаза или вен ладоней, к биометрическим персональным данным. Текущее законодательство, разъяснения государственных органов и судебная практика в значительной степени разнятся.

К биометрическим персональным данным относятся сведения, которые характеризуют физиологические и биологические особенности человека (п. 1 ст. 11 Закона № 152-ФЗ). Важно отметить, что на основании таких сведений можно установить личность субъекта персональных данных: для этой цели они обрабатываются оператором.

Постановление Правительства РФ от 30 июня 2018 г. № 772 к биометрическим персональным данным относит изображение лица человека, полученные с помощью фото-, видеоустройств и данные голоса человека, полученные с помощью звукозаписывающих устройств (подп. а) Постановления).

Роскомнадзор также выражал свою позицию по вопросу того, какие персональные данные относятся к биометрическим. Так, по мнению ведомства, к биометрическим персональным данным относятся физиологические данные (дактилоскопические данные, радужная оболочка глаз, анализы ДНК, рост, вес и другие), а также иные физиологические или биологические характеристики человека, в том числе изображение человека (фотография и видеозапись), которые позволяют установить его личность и используются оператором для установления личности субъекта (Разъяснения Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 30 августа 2013 г. «Разъяснения по вопросам отнесения фото-, видеоизображений, дактилоскопических данных и иной информации к биометрическим персональным данным и особенностей их обработки»). К ним же относятся фото и иные сведения, используемые для обеспечения прохода на охраняемую территорию и установления личности гражданина.

При этом судебная практика демонстрирует противоположные подходы относительно того, какие сведения относятся к биометрическим персональным данным, а какие нет.

Фотографии на пропуске суды расценивают как биометрические персональные данные. Так, в одном деле Арбитражного суда Северо-Западного округа прямо указал, что такие фотографии характеризуют физиологические и биологические особенности человека, на основе которых можно установить его личность путем сравнения фото и содержащихся на документе (пропуске) фамилии, имени и отчества с лицом предъявителя пропуска (Постановление Арбитражного суда Северо-Западного округа от 21 ноября 2017 г. N Ф07-11732/17 по делу № А42-342/2017). Верховный Суд Российской Федерации впоследствии подтвердил позицию суда нижестоящей инстанции, отметив, что предприятие не получило согласие субъектов на обработку биометрических персональных данных (Определение Верховного Суда РФ от 5 марта 2018 г. № 307-КГ18-101 по делу № А42-342/2017). К аналогичным доводам приходят и другие суды – лица, предоставляющие фотографию на пропуск с целью использования предприятием для установления личности субъекта, должны давать письменное согласие на обработку биометрических персональных данных (Постановление Тринадцатого арбитражного апелляционного суда от 16 августа 2018 г. № 13АП-15087/18).

В одном деле гражданка П. обратилась в ГУ МВД России с административным иском на Департамент информационных технологий (ДИТ) г. Москвы. По мнению истца, ДИТ с помощью камер видеонаблюдения обрабатывает ее биометрические персональные данные. Судебная коллегия не усмотрела факта идентификации, в связи с чем решила, что само по себе получение изображения истца в период ее нахождения на территории, попадающей под сектор наблюдения конкретной камеры, установленной в целях контроля за окружающей обстановкой, не является способом сбора биометрических персональных данных, поскольку не использовалось непосредственно для определения личности, а при отсутствии процедуры идентификации личности, видеоизображения граждан не могут считаться биометрическими персональными данными. Суд посчитал, что в рассматриваемом случае отсутствует необходимость получать письменное согласие гражданина на обработку биометрических персональных данных. Подробнее об этом деле, а также об утечках при использовании систем распознавания лиц читайте в нашем материале: Использование системы видеонаблюдения – нарушение законодательства о персональных данных?

В другом деле гражданка С. пожаловалась на гражданку М., которая без согласия осуществляла видеосъемку на камеру мобильного телефона с участием первой. Территориальное управление Роскомнадзора отказало в возбуждении дела, установив, что видеозапись не содержит сведений, позволяющих идентифицировать гражданку С. как конкретного субъекта персональных данных, что свидетельствует об отсутствии нарушений положений закона о персональных данных, в связи с чем доводы жалобы были опровергнуты районным и областным судом (Постановление Четвертого кассационного суда общей юрисдикции от 16 октября 2020 г. по делу № 16-894/2020).

Основную сложность использование обработки биометрических персональных данных обязательное наличие согласия в письменной форме (ч. 1 ст. 11 Закона № 152-ФЗ). Более того, при применении информационных технологий в целях идентификации применяется форма, утвержденная Правительством РФ (в соответствии с ч. 5 ст. 14.1 Федерального закона от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»). Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законом (п. 1 ст. 9 Закона № 152-ФЗ).

Обработка биометрических персональных данных возможна без согласия субъекта в некоторых случаях, определенных законом. Представляется, что для целей обработки персональных данных при идентификации может быть справедливо следующие случаи (ч. 2 ст. 11 Закона № 152-ФЗ):

в связи с осуществлением правосудия и исполнением судебных актов;
в связи с проведением обязательной государственной дактилоскопической регистрации;
в случаях, предусмотренных законодательством об обороне, о безопасности, о противодействии терроризму, о транспортной безопасности.

Помимо требования об обязательном письменном согласии на обработку персональных данных оператору требуется соблюдать положение о неразглашении персональных данных без согласия субъекта. В одном деле апелляционный суд согласился с доводами суда первой инстанции, отметив, что у потребителя не было возможности отказаться от передачи его персональных данных третьим лицам, и, следовательно, потребитель, являющийся стороной договора, был лишен возможности влиять на его содержание (Постановление Одиннадцатого арбитражного апелляционного суда от 28 октября 2020 г. № 11АП-13301/20 по делу N А55-14835/2020). Такую деятельность суд трактовал как нарушение законодательства, в части персональных данных деятельность ответчика противоречит ст. 7 Закона № 152-ФЗ – операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных.

В условиях цифровизации основная опасность – кража идентификации, уверен заместитель Министра финансов Российской Федерации, председатель совета директоров АО «Гознак» Алексей Моисеев. В случае скомпроментирования пароля банк сразу заметит, оповестит клиента, который, в свою очередь, может поменять пароль. В случае же кражи идентификации сценарий действия не так очевиден.

В последнее время СМИ сообщают об участившихся случаях финансового мошенничества с использованием биометрии. Так, жителю Москвы позвонил неизвестный, представившийся банковским сотрудником, сообщил о сомнительной операции, якобы совершенной с использованием счета гражданина 1 . Примечательно, что злоумышленник не запрашивал дополнительные данные, а попросил ответить утвердительно или отрицательно на вопрос: «Согласны ли Вы заблокировать счета карт, с которых были попытки списаний неизвестными?». После утвердительного ответа гражданин обнаружил поступление кредитных средств на свой счет и последующее их списание вместе с личными сбережениями. Данный пример демонстрирует, как использование верификации по голосу способствовала мошенническим действиям. Однако, представляется, что такие случаи не должны являться препятствием к внедрению и развитию систем идентификации на основании биометрических данных. Лучшим способом противодействия мошенническим схемам является осведомленность граждан о случаях мошенничества – подробнее об этом читайте в нашем материале: Телефонное мошенничество: как противодействовать обману.

1 Подробнее об этом случае можно узнать на официальном сайте окружной электронной газеты Зеленоградского административного округа г. Москвы.

Биометрические системы защиты

С наступлением эпохи информационных технологий у человечества появилась целая масса новых, неведомых ему ранее проблем. Теперь, когда у каждого в кармане есть свой собственный телефон, кажется безрассудным и даже глупым не установить на него хотя бы пароль.

В наше время каждый заботится о том, как же все-таки максимально эффективно защитить свои данные. Стремясь обезопасить личную информацию, человечество долгие годы разрабатывало все новые и новые системы защиты. Одной из наиболее эффективных подобных систем оказалась биометрическая защита.

История
Виды систем
Статические
Динамические
Как обмануть систему?
Применение
Система аутентификации в банкоматах Сбербанк

История

Биометрия и в наше время относится к числу передовых и сложных технологий, что уж говорить о периоде времени до 2001 года, когда подобные технологии обеспечения безопасности применялись лишь в целях обеспечения защиты военной тайны и наиболее важной коммерческой информации.

Однако, после страшной трагедии 11 сентября 2001 года, когда во время теракта во Всемирном Торговом Центре погибло около трех тысяч человек, многое изменилось. Биометрическая защита информации с тех пор постоянно получала все большее распространение и была внедрена в разнообразные места повышенного скопления людей, в том числе в крупные торговые центры, здания аэропортов и вокзалов.

Резкое увеличение спроса на подобные технологии привело к росту предложения на рынке, к увеличению количества конкурирующих производителей, и, как следствие, к снижению цены на средства защиты информации и к приобретению этой технологией массовости.

Виды систем

В современном мире биометрическая защита информации является одним из наиболее действенных методов ее сохранения. Благодаря процессу аутентификации человека, то есть сравнения его характеристик с характеристиками, заранее внесенными в систему, удается с максимальной точностью определить, имеет данный человек доступ к запрашиваемой информации или же все-таки нет.

В целом, все средства информационной защиты, основанные на биометрии, можно разделить по средству идентификации на два вида: статические и динамические.

Статические

К статическим относятся методы аутентификации по неповторимым чертам физиологии конкретного человека, которые сохраняются в организме в течение всей его жизни. Наиболее популярными примерами являются:

Дактилоскопия – способ, когда для распознавания личности используются отпечатки уникального рисунка линий на подушке пальца руки. Этот метод до удивления удобен в использовании, потому крайне часто используется в различных бытовых биометрических системах, таких как мобильные телефоны с функцией распознавания отпечатков пальцев и биометрические дверные замки.
Сканирование радужной оболочки глаза – один из наиболее точных способов аутентификации. Рисунок “радужки” формируется задолго до рождения человека и имеет крайне сложный и очень четкий рисунок. На качество распознавания оболочки глаза не влияют очки и контактные линзы, что делает такой способ еще и одним из самых удобных.
В 2015 году этот метод также был внедрен в мобильные технологии, что несомненно дало большой толчок его популяризации и массовому распространению.
Распознавание по геометрии руки– ширина и длина пальцев, изгиб их фаланг, расстояние между их суставами – все это, и еще многое другое, позволяет вполне надежно и достоверно выяснить, принадлежит исследуемая рука владельцу данных, или же кто-то пытается получить несанкционированный доступ. Хотя по отдельности эти показатели у разных людей могут сходиться, в совокупности шансы на подобное ничтожно малы.
Достоинства данного метода заключаются в относительной простоте требуемого оборудования, что способствует его сравнительной дешевизне и доступности.
Однако, у него имеется также и один существенный недостаток: любые травмы и повреждения руки, в том числе порезы, шишки и ушибы, а именно на этой части тела их появление очень даже вероятно, способны сильно снизить эффективность работы распознающего оборудования.
Считывание геометрии лица– способ, в последние годы получивший все большее и большее распространение. Он основывается на выделении основных контуров человеческого лица (глаза, нос, губы брови и т.д.) и выстраивании на их основе объемного изображения. Данный метод получил широкое внедрение в многокамерных системах идентификации человека по чертам лица и используется в работе полиции и спецслужб по всему миру.

Динамические

К динамическим методам биометрической идентификации относятся те, которые основаны на анализе подсознательных поведенческих процессов, выражаемых в постоянно повторяющихся действиях, привычках и т.д. Среди них можно выделить:

Распознавание голоса– довольно простой, но не самый надежный метод. Несмотря на то, что для повышения точности аутентификации комбинируют показатели интонации речи, звуковой высоты и модуляции голоса, для получения доступа преступник может, например, использовать запись с диктофона, что значительно снижает степень защищенности.
Другой недостаток заключается в том, что голос имеет свойство изменяться в течение жизни человека, а также в связи с состоянием его здоровья. Таким образом, вариативность идентификации резко снижается.

Графологическое распознавание основано на считывании уникального графического почерка человека, появляющегося за счет рефлекторно совершаемых кистью руки движений при письме. Для считывания данных используют специальные приборы-стилусы, фиксирующие информацию о силе давления на поверхность.

Как обмануть систему?

Прежде всего, ни одна, даже самая надежная биометрическая система защиты не способна дать стопроцентную гарантию того, что ее никто не сумеет обойти. Например, биометрический сканер лица на подавляющем большинстве смартфонов можно обойти, изготовив гипсовую копию головы, как в 2018 году и поступил журналист издания Forbes, разблокировав 4 из 5 инспектируемых им смартфонов при помощи гипсовой копии себя.

И все же, не получится обмануть биометрию в смартфоне, сделав макет по одной фотографии, ведь для изготовления качественного бюста необходимо несколько фото, сделанных с разных ракурсов и при хорошем уровне освещения.

Как оказалось, дактилоскопическая биометрия тоже имеет все шансы быть обманутой. Японский криптограф Цутому Мацумото в своем руководстве от 2002 года подробно описал, как вполне не сложно в домашней обстановке можно обработать отпечаток пальца жертвы и изготовить из желатина выпуклую маску.

Сложнее всего для злоумышленника − сделать качественную копию настоящего отпечатка пальца, ведь самые четкие образцы отпечатков приходится искать на стеклянных поверхностях или дверных ручках. Однако, сейчас становится все легче и легче воспроизвести рисунок линий на подушечке непосредственно с фотографии.

Однако, часто получение доступа к смартфону обыкновенного пользователя отнюдь не стоит средств, которые придется на него затратить, так что злоумышленнику это будет попросту невыгодно. Отсюда следует, что гипсовый бюст обойдется ему примерно в $400, а значит взлом телефона должен будет принести ему больше этой суммы.

Применение

Биометрические технологии обеспечения безопасности все чаще и чаще становятся повседневными атрибутами жизни обычного человека. Как уже было сказано ранее, в последние годы они получили крайне широкое распространение в сфере производства мобильной техники: в смартфоны встраивают сканеры отпечатков пальцев, сканеры геометрии лица, распознаватели голоса. Все это делает жизнь обыкновенного пользователя намного удобнее, спокойнее и безопаснее.
Точно такими же устройствами теперь очень часто оборудуют персональные компьютеры, умные дома и многую другую компьютеризованную технику.

В настоящем самым распространенным из этих методов является дактилоскопический, будучи наиболее надежным, доступным и подходящим для личного пользования вариантом.

Биометрические системы также довольно популярны среди предприятий, где вход на территорию или доступ к информации открыт для большого, но ограниченного круга лиц. На пропускных пунктах таких предприятий обычно установлено специализированное оборудование, позволяющее идентифицировать “своего” человека через радужную оболочку глаза, геометрию руки, лица или через рисунок папиллярных линий на подушечках пальцев рук, а иногда и все вместе.

Внедрение биометрии открывает море разных возможностей еще и в банковском деле, сильно облегчая жизнь не только банку, но и его клиентам. С помощью внедрения биометрических технологий руководства банков хотят снизить количество краж данных, случаев мошенничества и намного упростить процедуру работы клиента с банкоматом.
Так, биометрическая система была впервые внедрена в Сбербанке России в 2017 году в банкомате в Москве на Кутузовском проспекте.

Система аутентификации в банкоматах Сбербанк

В июне 2017 года Сбербанком был запущен пилотный проект банкомата, способного аутентифицировать клиента по его лицу, без надобности для него иметь при себе банковскую карточку. Чтобы внести в базу биометрическую модель своего лица, клиенту необходимо обратиться в отделение банка.

В банке утверждают, что сканирование лица будет самым надежным способом биометрической идентификации, поскольку папиллярный узор отпечатков пальцев может легко повредиться, что повышает количество ошибок оборудования во время работы с ним людей с сухой кожей и пенсионеров.

Подобные системы распознавания распространяются также и за рубежом. Например, в Макао, районе Китая, где легализованы азартные игры, наличие системы распознавания лиц в банкоматах стало обязательным.

Эксперты считают, что физические носители, в том числе и банковские карты, стремительно устаревают, и что на смену им в ближайшем будущем должна прийти биометрическая система, что позволит в разы повысить степень безопасности и удобства банковских учреждений.

Решение
по безопасности
биометрии

Переложите заботы об информационной безопасности
при работе с биометрией на профессионалов.
Внедрите готовое решение с гарантией и обслуживанием.

Как это работает?

Задачи обеспечения безопасности биометрии

Требования регуляторов, которые организациям нужно выполнять при взаимодействии с Единой биометрической системой.

Указание Банка России от 09.07.2018 г. №4859-У_01_01_782-18

PDF, 0.89 Мб Скачать

Методические рекомендации по нейтрализации угроз при работе с биометрией №4-МР от 14.02.2019

PDF, 0.44 Мб Скачать

Типовое решение

Защитить канал связи
до СМЭВ 3.0

Защитить каналы связи между
отделениями и Центральным офисом

Ключ подписи КВ2

Получить ключ КВ2 в центре выдачи
ФБГУ «НИИ Восход»

Типовое решение
по информационной безопасности

Провести исследования
влияния на HSM

Встроить HSM в ИС
сбора биометрии в банке

Инсталлировать и настроить
СКЗИ класса КВ2

Первое типовое решение,
получившее заключение ФСБ

Оптимальная стоимость
и сроки внедрения

Решение
готово к использованию и поставляется «под ключ»

Выполнены
требования
регулятора

Включает настройку,
логистику, монтаж
и поддержку

«Ростелеком» — архитектор и гарант качества работ системных интеграторов

Межсетевой экран
3 класса (ФСТЭК)

Сетевой СОВ 3
класса (ФСТЭК)

TLS-шлюз
класса КС3 (ФСБ)

Антивирус класса 2Б

Сервер с ОС Astra linux
special edition

СПО для подписи биометрии

Пак HSM (СКЗИ класса KB2)

Варианты комплектации

Если у банка нет собственных СКЗИ класса КВ2, то нужно приобрести HSM в составе типового решения. Использование HSM — обязательное условие работы с «Ключом».

Будет работать, если станут недоступны до 50% аппаратных компонентов. Это может произойти в случае форс-мажоров, которые иногда случаются.

Необходим для удаленной биометрической идентификации пользователей. Он защищает канал связи до мобильного устройства пользователя.

Облачное решение

Защитить канал связи
до провайдера облачного решения

Защитить каналы связи между
отделениями и Центральным офисом

Облачное решение
по информационной безопасности

Провести ТИ по оценке
влияния на HSM

Встроить HSM в ПО
облачного провайдера

Инсталлировать и настроить
СКЗИ класса КВ2

Ключ подписи КВ2

Получить ключ КВ2 в центре
выдачи ФБГУ «НИИ Восход»

Решение не требует
получения ключа КВ2

Минимальные сроки внедрения
и первоначальные вложения

Используется инфраструктура
Ростелекома —
крупнейшего поставщика услуг
ЦОД в России

Гарантировано стабильное
функционирование инфраструктуры,
так как Ростелеком — разработчик
и оператор ЕБС

Для пользователей сервиса
безопасной регистрации,
верификация – бесплатно

Всегда актуальные протоколы
взаимодействия с инфраструктурой
электронного правительства

Регистрация и верификация

Для организаций, которые регистрируют биометрические данные

— Сервис безопасности верификации предоставляется бесплатно.
— Стоимость решения формируется по подписке и зависит
от количества регистраций.

Для организаций, которым нужна только верификация

Биометрические системы — надежная защита информации

Проблема идентификации личности при допуске к закрытой информации или объекту всегда была ключевой. Магнитные карты, электронные пропуска, кодированные радиосообщения можно подделать, ключи можно потерять, при особом желании даже внешность можно изменить. Но целый ряд биометрических параметров является абсолютно уникальным для человека.

Где применяется биометрическая защита

Современные биометрические системы дают высокую надежность аутентификации объекта. Обеспечивают контроль доступа в следующих сферах:

Передача и получение конфиденциальной информации личного или коммерческого характера;
Регистрация и вход на электронное рабочее место;
Осуществление удаленных банковских операций;
Защита баз данных и любой конфиденциальной информации на электронных носителях;
Пропускные системы в помещения с ограниченным доступом.

Уровень угрозы безопасности со стороны террористов и криминальных элементов привел к широкому использованию биометрических систем защиты и управления контролем доступа не только в государственных организациях или больших корпорациях, но и у частных лиц. В быту наиболее широко такое оборудование применяется в системах доступа и технологиях управления типа «умный дом».

К биометрической системе защиты относятся

Биометрические характеристики являются очень удобным способом аутентификации человека, так как обладают высокой степенью защиты (сложно подделать) и их невозможно украсть, забыть или потерять. Все современные метолы биометрической аутентификации можно разделить на две категории:

Дактилоскопический отпечаток

Статистические, к ним относят уникальные физиологические характеристики, которые неизменно присутствуют с человеком всю его жизнь. Наиболее распространенный параметр – дактилоскопический отпечаток;
Динамические – основаны на приобретенных поведенческих особенностях. Как правило, выражаются в подсознательных повторяемых движениях при воспроизведении какого либо процесса. Наиболее распространенные – графологические параметры (индивидуальность почерка).

Схема классификатор биометрических средств идентификации

Статистические методы

Дактилоскопический анализ. Для аутентификации используется уникальный рисунок папиллярных линий на подушечках пальцев. Для снятия и оцифровки отпечатков используются сканеры высокого разрешения и специальные способы обработки изображения. Основная трудность заключается в том, что необходимо различить и оцифровать рисунок небольшого размера. Главные преимущества: высокая надежность метода и удобство использования. Используется до 60-70 индивидуальных точек.

Аутентификация по сетчатке глаза

Аутентификация по сетчатке. Начало использования такого метода, 50-е годя прошлого столетия. Анализировался рисунок кровеносных сосудов глазного дна. Сканирование производилось при помощи инфракрасного излучения. Недостатками такого метода были дороговизна и сложность аппаратуры и значительный дискомфорт, который испытывал человек при сканировании. В данный момент метод практически не применяется.

ВАЖНО! На основании установлено, что в отличии от радужной оболочки глаза сетчатка на протяжении жизни человека может существенно изменяться.

Сканер сетчатки глаза, производство компании LG

Радужная оболочка глаза. Формирование радужной оболочки происходи еще до рождения человека и ее рисунок неизменен на протяжении всей жизни. Сложность и отчетливость рисунка позволяет регистрировать для распознания до 200 ключевых точек, что обеспечивает высокий уровень аутентификации объекта.
Геометрия руки. При аутентификации используется совокупность таких параметров как длина, толщина и изгиб фаланг пальцев, расстояние между суставами и т.п. чем больше параметров учитывается, тем надежнее система распознания, так как каждый показатель по отдельности не является уникальным для человека. Преимущества метода в довольно простой сканирующей аппаратуре и программном обеспечении, которые, тем не менее, дают результат сопоставимый по надежности с дактилоскопией. Недостаток в том, что руки больше всего подвержены механическим повреждениям: ушибам, распуханиям, артритам и т.п.

Геометрия руки при аутентификации

Геометрия лица. В последнее время довольно распространенный метод. Основан на построении трехмерного изображения с выделением основных контуров носа, губ, глаз, бровей и расстояний между ними. Уникальный шаблон для человека начинается от 12 параметров, большинство систем оперируют 30 — 40 показателями. Основная сложность в вариативности считываемых данных в случае изменения положения сканируемого объекта или смены интенсивности освещенности. Преимуществом аппаратуры является широкое внедрение бесконтактного способа сканирования лица несколькими камерами.

Динамические методы

Система имеет ряд существенных недостатков, которые делают ее широкое применение нецелесообразным. К основным недостаткам относится:

Возможность записи голосового пароля при помощи направленного микрофона злоумышленниками;
Низкая вариативность идентификации. У каждого человека голос изменяется не только с возрастом, но и по состоянию здоровья, под воздействием настроения и т.п.

В системах умный дом голосовую идентификацию целесообразно использовать для контроля доступа в помещения со средним уровнем секретности или управления различными приборами: климатическая техника, освещение, система отопления, управление шторами и жалюзями и т.п.

Графологическая аутентификация. Основана на анализе рукописного почерка. Ключевым параметром является рефлекторное движение кисти руки при подписании документа. Для снятия информации используются специальные стилусы имеющие чувствительные сенсоры регистрирующие давление на поверхность. В зависимости от требуемого уровня защиты могут сравниваться следующие параметры:
Шаблон подписи — сама картинка сверяется с той, что находится в памяти устройства;
Динамические параметры – сравнивается скорость подписи с имеющейся статистической информацией.

ВАЖНО! Как правило, в современных системах безопасности и СКУР для идентификации используются сразу несколько методов. К примеру, дактилоскопия с одновременным измерением параметров руки. Такой метод существенно повышает надежность системы и предотвращает возможность подделки.

Видео — Как обезопасить биометрические системы идентификации?

Производители систем защиты информации

На данный момент на рынке биометрических систем, которые может себе позволить рядовой пользователь лидируют несколько компаний.

ZK7500 биометрический USB считыватель отпечатков пальцев используется для контроля доступа в ПК

ZKTeco

Модель ekey homе адаптирована для бытового использования
Ekey biometric systems – австрийская компания, лидер по разработке и внедрению биометрических систем в Европе. Наиболее известная продукция – сканеры отпечатков пальцев на основании радиочастотного и теплового анализа объекта.

BioLink U-Match 5.0 сканер отпечатка пальцев с интегрированным считывателем карт

BioLink – российская компания создающая комплексные системы биологической аутентификации. Среди наиболее перспективных разработок IDenium – программно-аппаратный комплекс, использующий многофакторную аутентификацию для предоставления доступа к программным ресурсам организации с одновременным администрированием прав доступа на аппаратном уровне. Для этого используются устройства BioLink U-Match 5.0 – дактилоскопический сканер с интегрированным считывателем магнитных и/или чипоавных карт.т

Использование биометрических систем в бизнесе и не только существенно поднимет уровень безопасности, но и способствует укреплению трудовой дисциплины на предприятии или в офисе. В быту биометрические сканеры применяются гораздо реже из-за их высокой стоимости, но с увеличением предложения большинство этих устройств вскоре станет доступно рядовому пользователю.