Узнай меня, если сможешь

Биометрия признается специалистами одним из наиболее перспективных способов аутентификации. Несмотря на то что биометрические технологии пока далеки от совершенства, уже есть множество примеров их внедрения в финансовых институтах. Портал Банки.ру выяснял, как биометрическая аутентификация применяется в банках и платежных системах.

Энтузиасты биометрии утверждают, что традиционная аутентификация уже отжила свое — дверной замок, смартфон и банкомат должны признавать пользователя без всяких ключей (токенов) и паролей. На первый взгляд, звучит заманчиво. Ведь пароль можно узнать у владельца, токен отобрать или украсть, а биометрия устанавливает идентичность самого пользователя по его неизменным характеристикам. Тем не менее банки в большинстве своем пока не спешат с инновациями в данной области, и на это у них есть веские причины.

Три мифа о биометрии

Большинство заблуждений о биометрических методах аутентификации люди выносят из художественных фильмов и книг. Описанное в них применение биометрии зачастую нерационально, бессмысленно или даже невозможно в реальном мире. Настоящая биометрия имеет множество не слишком очевидных нюансов. Рассмотрим наиболее распространенные мифы об аутентификации по отпечатку пальца.

Сличение биометрического признака однозначно определяет личность. Это верно, если отпечатки с образцами сверяет человек. Автоматическая система действует иначе, огрубляя полученную от сканера информацию до слепка, который способна достаточно быстро сверить с имеющейся базой данных. К примеру, самые лучшие современные алгоритмы сличения отпечатков пальцев обеспечивают приемлемое количество ошибок распознавания при выборе из тысячи образцов, не более. Чуть более совершенные технологии сканирования радужной оболочки глаза позволяют системе не запутаться в трех-пяти тысячах образцов. В то же время у крупного банка клиенты исчисляются сотнями тысяч и миллионами.

Сканер отпечатка пальца можно обмануть, сфотографировав отпечаток и приложив снимок к сканеру. Кое-где такой метод может сработать — например, в случае технологии TouchID на iPhone 5S. В серьезных организациях используются сканеры посолиднее. Скажем, сканеры компании Lumidigm используют мультиспектральное излучение и сканируют не поверхность кожи пальца, а внутренний рисунок пальца под кожей. Ни фотографией отпечатка, ни муляжом пальца такой аппарат не облапошить.

Злоумышленник может ложно аутентифицироваться с помощью отрезанного пальца, отрубленной кисти, извлеченного глаза жертвы. Излюбленный сюжет голливудских сценаристов в реальности успеха бандиту не принесет. Дело в том, что мертвые части тела очень быстро изменяют свои физические характеристики (температуру, влажность, прозрачность и т. д.). И практически все современные биометрические сканеры, кроме самых простейших, просто не смогут корректно отсканировать мертвую ткань. Хорошо бы еще, чтобы об этом знали все преступники!

Пять способов узнать клиента

Наиболее простая и распространенная схема биометрической аутентификации — сличение отпечатка пальца. Приложить палец к сканеру совсем несложно, алгоритмов сличения также разработано множество, но вероятность ошибки относительно высока. Кроме того, рисунок пальца может быть поврежден механически, термически или химически. Самый простой способ понизить вероятность ошибки — добавить дополнительный фактор. В его роли может выступать некий токен (USB-ключ, смарткарта) или информация (ключевое слово, пароль).

Такая схема успешно применяется в мире. К примеру, Сбербанк в Астраханской области предлагает биометрические карты льготным категориям клиентов — инвалидам и пенсионерам. Надежность аутентификации обеспечивается как вторым фактором (наличие платежной карты), так и сканированием трех пальцев сразу. В результате клиенту не нужно запоминать ПИН-код, а картой нельзя воспользоваться в его отсутствие.

В 2012 году бразильский банк Itautec установил мультиспектральные сканеры отпечатка пальца Lumidigm на 12 тыс. банкоматов своей сети. По словам вице-президента Lumidigm Билла Спенса, «сканеры обеспечивают простой и удобный способ повысить безопасность для клиентов банка. Ваш палец — это ваш ПИН».

Сканирование рисунка вен ладони обеспечивает большую надежность распознавания и практически исключает ложное срабатывание. Рисунок вен на ладони уникален и с течением жизни не меняется. Также сканеры рисунка вен толерантны к пересушенным, влажным, загрязненным рукам, что дает им существенное преимущество перед классическими сканерами отпечатка пальца. Тем не менее даже при сканировании рисунка вен распознавание дает хорошие результаты лишь при идентификации нескольких тысяч пользователей. И для применения в банкинге все равно необходим дополнительный фактор.

Бразильский банк Bradesco, начавший тестирование технологии сканирования рисунка вен еще в 2006 году, когда компания Fujitsu только вывела ее на рынок, к 2013 году внедрил эти сканеры в своей банкоматной сети. Так же как и Itautec, Bradesco использует распознавание рисунка вен для замены ввода ПИН-кода. Причем побудил их к этому низкий уровень грамотности населения. В начале каждого месяца в отделениях банка выстраивались очереди клиентов, которым нужно напомнить (записать на бумажку) их ПИН-код. С новыми сканерами эта проблема была практически решена. Те же причины пробудили интерес африканских банков к биометрии: в конце прошлого года руководитель Центрального банка Нигерии заявил о том, что банк начнет собирать биометрические данные клиентов.

Японский Ogaki Kyoritsu Bank применил сканеры Fujitsu иначе — для замены самой карты. В ходе стихийных бедствий, обрушившихся на Японию в 2012 году, немало японцев лишились своих платежных карт (как и прочего имущества), и OKB предложил своим клиентам новую услугу. После заключения с банком специального договора и сканирования ладони пользователь может снимать деньги в банкоматах OKB безо всякой карты, но с вводом ПИН-кода.

Радужная оболочка глаза также уникальна для каждого человека и пригодна для идентификации. Вопреки тому, что вы видели в фильмах, никаким лазером в глаз светить не надо: сканер просто делает черно-белый снимок глаза и преобразует картинку в пригодный для сличения массив данных. Для большей надежности можно снимать сразу два глаза. Недостатком этой системы является громоздкость и относительная дороговизна сканера — при том, что ее надежность идентификации ниже, чем у сканера рисунка вен.

Технологии опознания голоса имеют самую низкую надежность, но в некоторых случаях другого варианта нет — к примеру, при удаленном банковском обслуживании по телефону. Сотрудник может проверить ваше знание номера карты или счета, кодового слова и ваших персональных данных. Но гарантии идентичности это не дает. Все эти сведения может знать и злоумышленник — сотрудник банка-то знает. Дополнительная система верификации в таком случае очень выручает.

Самый простой способ опознания голоса — текстозависимый, когда от клиента требуется произнести парольную фразу, статическую или динамическую (ее предложит система). Более сложным способом является текстонезависимое опознание, для этого клиент должен говорить 6—8 секунд. Существенным изъяном метода является высокая зависимость от канала связи: голос с мобильного телефона может сильно отличаться от голоса, переданного с таксофона. И совсем уж очевидная уязвимость голосовой аутентификации состоит в том, что аутентифицироваться можно, используя запись голоса клиента (если обслуживание полностью автоматическое).

В 2013 году британский банк Barclays внедрил систему голосовой аутентификации для своего подразделения, занимающегося управлением инвестициями. Клиенты высоко оценили новую защитную систему — по данным разработчика, компании Nuance, 93% клиентов поставили 9 из 10 баллов за скорость, простоту использования и защищенность.

Метод поведенческой аутентификации заключается в наблюдении за поведением клиента при удаленном банковском обслуживании. К примеру, клавиатурный почерк — скорость ввода, время удержания клавиш, паузы между нажатиями, частота возникновения ошибок — сильно различаются у разных людей. И это можно использовать для верификации клиента (разумеется, в сочетании с другими факторами аутентификации). Правда, надежность этого метода сильно зависит от психологического состояния клиента и используемой им аппаратуры: например, после замены клавиатуры требуется переобучение системы.

«Поведенческая аутентификация удобна для тех, кто использует смартфоны или любые мобильные девайсы для доступа к системам ДБО. Устройство запоминает поведение пользователя — к примеру, смартфон привыкает к тому, что его вертят по часовой стрелке или перекладывают из одной руки в другую. Эта информация впоследствии используется для процедуры аутентификации. Именно эту технологию мы сейчас развиваем и тестируем в группе Optima. Она дает следующее преимущество: если ваше мобильное устройство похищено, для доступа к вашему онлайн-счету введен верный пароль и пройдены остальные аутентификационные процедуры, мобильное устройство, оценив поведение пользователя, заблокирует вход», — рассказал Неманья Никитович, управляющий директор Optima Infosecurity.

Пароли в запасе

Препятствий на пути повсеместного внедрения биометрической аутентификации немало. Это солидные инфраструктурные затраты, необходимость изучения и оценки новых рисков, связанных с биометрией, психологическая неготовность к ней многих людей — как клиентов, так и банкиров. «Технофанатикам» стоит напомнить о том, что ни один из существующих методов не позволяет идентифицировать одного клиента из десятков и сотен тысяч — без дополнительных факторов все равно не обойтись.

Фактически биометрические технологии в текущем состоянии повышают удобство клиента, но в конечном итоге не увеличивают защищенность. Впрочем, это уже неплохо — слишком сильно затянутые гайки провоцируют самого клиента на нарушение процедур, а это очень опасно.

В общем, биометрия позволяет серьезно облегчить вам жизнь. Но забывать пароли все-таки рановато.

Михаил ДЬЯКОВ, Banki.ru