4. Ідентифікація/аутентифікація за допомогою біометричних даних

Біометрія являє собою сукупність автоматизованих методів ідентифікації й/або аутентифікації людей на основі їх фізіологічних і поведінкових характеристик. До числа фізіологічних характеристик відносяться особливості відбитків пальців, сітківки й роговиці очей, геометрія руки й особи й т.п. До поведінкових характеристик відносяться динаміка підпису (ручний), стиль роботи із клавіатурою. На стику фізіології й поводження перебувають аналіз особливостей голосу й розпізнавання мови.

Біометрією в усьому світі займаються дуже давно, однак довгий час усе, що було пов'язане з нею, відрізнялося складністю й дорожнечею. Останнім часом попит на біометричні продукти, у першу чергу у зв'язку з розвитком електронної комерції, постійно й досить інтенсивно росте. Це зрозуміло, оскільки з погляду користувача набагато зручніше пред'явити себе самого, ніж щось запам'ятовувати. Попит народжує пропозиція, і на ринку з'явилися відносно недорогі апаратно-програмні продукти, орієнтовані в основному на розпізнавання відбитків пальців.

У загальному вигляді робота з біометричними даними організована в такий спосіб. Спочатку створюється й підтримується база даних характеристик потенційних користувачів. Для цього біометричні характеристики користувача знімаються, обробляються, і результат обробки (названий біометричним шаблоном) заноситься в базу даних (вихідні дані, такі як результат сканування пальця або роговиці, звичайно не зберігаються).

Надалі для ідентифікації (і одночасно аутентифікації) користувача процес зняття й обробки повторюється, після чого виробляється пошук у базі даних шаблонів. У випадку успішного пошуку особистість користувача і її дійсність уважаються встановленими.

Для аутентифікації досить зробити порівняння з одним біометричним шаблоном, обраним на основі попередньо уведених даних.

Звичайно біометрію застосовують разом з іншими аутентифікаторами, такими, наприклад, як інтелектуальні карти. Іноді біометрична аутентифікація є лише першим рубежем захисту й слугує для активізації інтелектуальних карт, що зберігають криптографічні секрети; у такому випадку біометричний шаблон зберігається на тій же карті.

Активність в області біометрії дуже велика. Організовано відповідний консорціум (див. http://www.biometrics.org). Активно ведуться роботи зі стандартизації різних аспектів технології (формату обміну даними, прикладного програмного інтерфейсу й т.п.), публікується маса рекламних статей, у яких біометрія підноситься як засіб забезпечення надбезпеки, що стало доступним широким масам.

На наш погляд, до біометрії варто ставитися досить обережно. Необхідно враховувати, що вона піддана тим же загрозам, що й інші методи аутентифікації. По-перше, біометричний шаблон порівнюється не з результатом первинної обробки характеристик користувача, а з тим, що прийшло до місця порівняння. А, як відомо, під час маршрутизації багато чого може відбутися. По-друге, біометричні методи не надійніші, ніж база даних шаблонів. По-третє, варто враховувати різницю між застосуванням біометрії на контрольованій території, під пильним оком охорони, і в "польових" умовах, коли, наприклад до пристрою сканування роговиці можуть піднести муляж і т.п. По-четверте, біометричні дані людини змінюються, так що база шаблонів має потребу в супроводі, що створює певні проблеми і для користувачів, і для адміністраторів.

Але головна небезпека полягає в тому, що будь-яка "пробоїна" для біометрії виявляється фатальною. Паролі, при всій їхній ненадійності, у крайньому випадку, можна змінити. Загублену аутентифікаційну карту можна анулювати й завести нову. Палець же, око або голос змінити не можна. Якщо біометричні дані виявляться скомпрометовані, доведеться як мінімум робити істотну модернізацію всієї системи.