Біометричної аутентифікації в Windows

Сьогодні проблеми аутентифікації в Windows складно назвати надуманими. До аутентифікації по паролю пред'являються все більш складні вимоги. Пароль довжиною у вісім символів, що містить три набору з чотирьох, вже не є настільки стійким до злому, як два-три роки тому. А якщо ви поставите довжину пароля ще більше, користувачі почнуть записувати їх на папері і приклеювати до монітора.

Сьогодні 45% часу роботи служби підтримки, за даними Gartner, йде на скидання паролів. Та й нескладно підрахувати час злому пароля на сучасному обладнанні. А якщо атака буде розподіленої, з декількох комп'ютерів? Деякі цифри про час злому пароля шляхом підбору в Windows наведені в таблиці 1 .

Якщо вважати, що на підприємстві встановлений час життя пароля - 42 дня, як це рекомендовано Microsoft, то нескладно оцінити ймовірність злому пароля за цей період ( Таблиця 2 ).

Виходів з цієї ситуації кілька - застосування апаратної аутентифікації на базі смарт-карт або ключів eToken або використання коштів біометричної аутентифікації. Сьогодні на ринок засобів аутентифікації все частіше виходять засоби біометричної аутентифікації. Давайте подивимося, що ж це таке.

біоелектронні системи

Як правило, для захисту комп'ютерних систем від несанкціонованого доступу застосовується комбінація з двох систем - біометричної та контактної на базі смарт-карт або USB-ключів. Що ховається за поняттям «біометрія»? Фактично ми використовуємо ці технології кожен день, проте це поняття як технічний спосіб аутентифікації з'явилося відносно недавно. Біометрія - це ідентифікація користувача по унікальним, властивим тільки даному користувачеві, біологічними ознаками. Такі системи є найзручнішими, з точки зору самих користувачів, так як їм не доводиться нічого запам'ятовувати і такі характеристики дуже складно втратити. При біометричної ідентифікації в базі даних зберігається цифровий код, асоційований з певною людиною. Сканер або інший пристрій, що використовується для аутентифікації, зчитує певний біологічний параметр. Далі він обробляється за певними алгоритмами і порівнюється з кодом. Просто? З точки зору користувача - безумовно. Однак у даного методу існують і свої недоліки.

До переваг біометричних сканерів зазвичай відносять те, що вони ніяк не залежать від користувача (наприклад, можна помилитися при введенні пароля) і ніхто не може передати свій біологічний ідентифікатор іншій людині, на відміну від пароля. Однак, як показали проведені в США дослідження, біометричні сканери, засновані на відбитках пальців, досить легко обдурити за допомогою муляжу. Або ситуація з відмовою у доступі, здійснюваному на підставі розпізнавання голосу, в разі якщо людина застуджений.

До біометричних відносяться різні методи. Всі їх можна розбити на дві підгрупи:

• статичні методи, які ґрунтуються на фізіологічної (статичної) характеристиці людини, тобто унікальній властивості, яке він дав йому від народження і невід'ємне від нього. До статичних відносяться форма долоні, відбитки пальців, райдужна оболонка, сітківка ока, форма обличчя, розташування вен на кисті руки і т. Д .;
• динамічні методи, які ґрунтуються на поведінкової (динамічної) характеристиці людини - особливості, характерних для підсвідомих рухів в процесі відтворення якого-небудь дії (підписи, мови, динаміки клавіатурного набору).

Методи формування та застосування біометричних характеристик з метою ідентифікації або верифікації особистості називаються біометричними технологіями (БТ). В БТ використовуються як статичні, так і динамічні джерела біометричних характеристик. Приклади джерел статичних біометричних характеристик наведені в таблиці 3 .

Ідеальна біометрична характеристика людини (БХЧ) повинна бути універсальною, унікальною, стабільної, яка збирається. Універсальність означає наявність біометричної характеристики у кожної людини. Унікальність означає, що не може бути двох осіб, які мають ідентичні значення БХЧ. Стабільність - незалежність БХЧ від часу. Збирання - можливість отримання біометричної характеристики від кожної людини.

Реальні БХЧ не ідеальні і це обмежує їх застосування ( см. таблицю 4 ). В результаті експертної оцінки зазначених властивостей таких джерел БХЧ, як зображення і термограмми особи, відбитків пальців, геометрії руки, райдужної оболонки ока (РІГ), зображення сітківки, підписи, голоси, зображення губ, вух, динаміки почерку і ходи, встановлено, що ні одна з характеристик не задовольняє вимогам по перерахованим властивостям. Необхідною умовою використання тих чи інших БХЧ є їх універсальність і унікальність, що побічно може бути обгрунтовано їх взаємозв'язком з генотипом або кариотипом людини.

Розпізнавання за відбитками пальців

Розпізнавання за відбитками пальців - найпоширеніший статичний метод біометричної ідентифікації, в основі якого лежить унікальність для кожної людини малюнка папілярних візерунків на пальцях. Зображення відбитка пальця, отримане за допомогою спеціального сканера, перетвориться в цифровий код (згортку) і порівнюється з раніше введеним шаблоном (еталоном) або набором шаблонів (в разі аутентифікації). Провідні виробники обладнання (сканерів відбитків пальців):

• BioLink, http://www.biolink.ru/, http://www.biolinkusa.com/;
• Bioscrypt, http://www.bioscrypt.com/;
• DigitalPersona, http://www.digitalpersona.com/;
• Ethentica, http://www.ethentica.com/;
• Identix, http://www.identix.com/;
• Precise Biometrics, http://www.precisebiometrics.com/;
• Saflink, http://www.saflink.com/.

Провідні виробники сенсорів (зчитувальних елементів для скануючих пристроїв):

• Atmel, http://www.atmel.com/, http://www.atmel-grenoble.com/;
• AuthenTec, http://www.authentec.com/;
• Veridicom, http://www.veridicom.com/;
• Fujitsu, http://www.fujitsu.com/.

Розпізнавання за формою руки

Даний статичний метод побудований на розпізнаванні геометрії кисті руки, також є унікальною біометричної характеристикою людини. За допомогою спеціального пристрою, що дозволяє отримувати тривимірний образ пензля руки (деякі виробники сканують форму декількох пальців), виходять вимірювання, необхідні для отримання унікальної цифрової згортки, що ідентифікує людину. Провідні виробники:

• Recognition Systems, http://www.recogsys.com/, http://www.handreader.com/;
• BioMet Partners, http://www.biomet.ch/.

Розпізнавання за райдужною оболонкою ока

Цей метод розпізнавання заснований на унікальності малюнка райдужної оболонки ока. Для реалізації методу необхідна камера, що дозволяє отримати зображення ока людини з достатнім дозволом, і спеціалізоване програмне забезпечення, що дозволяє виділити з отриманого зображення малюнок райдужної оболонки ока, за яким будується цифровий код для ідентифікації людини.

Iridian - найбільший виробник в даній області, на рішеннях цієї компанії базуються практично всі розробки інших: LG, Panasonic, OKI, Saflink і т. Д. (Http://www.iridiantech.com/).

Розпізнавання за формою обличчя

В даному статичному методі ідентифікації будується дво- або тривимірний образ обличчя людини. За допомогою камери і спеціалізованого програмного забезпечення на зображенні або наборі зображень особи виділяються контури брів, очей, носа, губ і т. Д., Обчислюються відстані між ними і інші параметри, в залежності від використовуваного алгоритму. За цими даними будується образ, виражений в цифровій формі для порівняння. Причому кількість, якість і різноманітність (різні кути повороту голови, зміни нижньої частини обличчя при вимові ключового слова і т. Д.) Зчитувальних образів може варіюватися в залежності від алгоритмів і функцій системи, що реалізує даний метод. Провідні виробники:

• AcSys Biometrics, http://www.acsysbiometrics.com/;
• A4 Vision, http: //www.a4 vision.com/;
• Cognitec Systems, http://www.cognitecsystems.de/, http://www.cognitec.com/;
• Identix, http://www.identix.com/;
• Imagis, http://www.imagistechnologies.com/;
• Vicar Vision, http://www.vicarvision.nl/;
• ZN Vision, http://www.zn-ag.com/.

До динамічних відносять ті характеристики, які можуть змінюватися з часом. Це такі параметри, як почерк, підпис, голос і т. Д.

Розпізнавання по рукописному почерку

Як правило, для цього динамічного методу ідентифікації людини використовується його підпис (іноді написання кодового слова). Цифровий код ідентифікації формується за динамічними характеристиками написання, тобто для ідентифікації будується згортка, в яку входить інформація по графічним параметрам підписи, тимчасовим характеристикам нанесення підпису і динаміки натиску на поверхню в залежності від можливостей обладнання (графічний планшет, екран кишенькового комп'ютера і т. Д .). Провідні виробники:

• CIC (Communication Intelligence Corporation), http://www.cic.com/;
• Cyber-SIGN, http://www.cybersign.com/;
• SOFTPRO, http://www.signplus.com/;
• Valyd, http://www.valyd.com/.

Розпізнавання по клавіатурного почерку

Метод в цілому подібний до описаного вище, однак замість підпису в ньому використовується якесь кодове слово, а з обладнання потрібно тільки стандартна клавіатура. Основна характеристика, за якою будується згортка для ідентифікації, - динаміка набору кодового слова. Провідні виробники:

• BioPassword Security Software, http://www.biopassword.com/;
• Checco, http://www.biochec.com/.

Розпізнавання по голосу

В даний час розвиток цієї однієї з найстаріших технологій прискорилося, так як передбачається її широке використання при спорудженні інтелектуальних будівель. Існує досить багато способів побудови коду ідентифікації по голосу: як правило, це різні поєднання частотних і статичних його характеристик. Провідні виробники:

• Nuance, http://www.nuance.com/;
• Persay, http://www.persay.com/;
• Voicevault, http://www.voicevault.com/.

Однак варто врахувати, що ідентифікація по статичним характеристикам більш надійна, тому що не залежить від психоемоційного стану людини.

Крім перерахованих виробників зараз на ринку біометрії з'явилася нова група компаній, чиї рішення називаються проміжними. Як правило, це «програмне забезпечення-посередник» між кінцевим обладнанням та програмними системами, в які інтегруються процедури біометричної ідентифікації. Причому посередник може реалізувати як просто реєстрацію в системі з використанням вимірювань біометричного сканера (наприклад, Windows Logon), так і самостійні функції, наприклад створення криптографічних контейнерів за допомогою ключа, одержуваного тільки за певним відбитком пальця.

недоліки

До недоліків біометричної аутентифікації варто віднести наступні. Перш за все, це недоліки самих біометричних сканерів. Наприклад, сканери відбитків пальців можуть бути оптичними та електронними. Перші забезпечують більш якісне зображення, однак швидше забруднюються і більш вимогливі до чистоти рук. Другі - менш надійні і якісні, зате можуть розпізнавати відбитки не дуже чистих пальців.

Другий недолік - це вкрай складна коректна налаштування обладнання, вірніше, мова йде про встановлення коректного порогового значення помилки. FAR (False Acceptance Rate) - ймовірність допуску в систему незареєстрованого людини, FRR (False Rejection Rate) - це відсоток помилкових відмов у допуску. Поріг чутливості є своєрідною межею ідентифікації. Людина, яка має схожість будь-якої характеристики вище граничного, буде допущений в систему, і навпаки. Значення порога адміністратор може змінювати на свій розсуд. Таким чином, це накладає певні зобов'язання на адміністратора системи, адже забезпечення балансу між зручністю і надійністю вимагає великих зусиль.

Третім недоліком, пов'язаним з впровадженням таких систем, є невдоволення співробітників компаній, пов'язане з можливістю контролю робочого часу. Тим більше що системи обліку робочого часу співробітників все одно існують.

Біометричні сканери неможливо застосовувати для ідентифікації людей з деякими фізичними вадами, як стверджує професор антропології Університетського коледжу Лондона Анжела Сесс. Так, застосування сканерів сітківки ока буде складним для тих, хто носить окуляри або контактні лінзи, а людина, хвора на артрит, не зможе рівно покласти палець на сканер відбитка. Ще одна проблема - зростання. Сканування особи може виявитися скрутним, якщо зріст людини нижче 1,55 м або вище 2,1 м. Злочинці, за словами професора Сесс, зможуть легко обдурити біометричні системи. До недоліків такого способу ідентифікації можна ще віднести можливість скористатися муляжем відбитка, що було успішно продемонстровано ув'язненими шотландської в'язниці суворого режиму Glenochil.

Біометрія в Windows 7

До складу Windows 7 входить біометрична платформа Windows - Windows Biometric Framework, яка забезпечує однакове уявлення сканерів відбитків пальців і інших біометричних пристроїв у формі, зручній високорівневим додатків, а також дозволяє одноманітно використовувати додатки для аналізу відбитків пальців. У попередніх версіях Windows сканери відбитків пальців підтримувалися як засіб реєстрації в системі. Такими сканерами зараз обладнані багато переносні комп'ютери, але для їх роботи були необхідні драйвери і спеціальне програмне забезпечення. Тепер підтримка таких пристроїв є частиною Windows 7, і для їх роботи нічого, крім драйвера, не потрібно.

Аналіз заходів по зниженню ризику біометричної аутентифікації

Якщо на підприємстві разом з Windows 7 планується впровадження біометричного механізму перевірки, наприклад сканування відбитків пальців, слід заздалегідь врахувати наступні міркування.

• Біометричні системи зазвичай вимагають зберігання на комп'ютері інформації, яка може використовуватися для встановлення особи. З цієї причини підприємству доведеться займатися забезпеченням конфіденційності.
• Багато сучасні переносні комп'ютери мають вбудовані сканерами відбитків пальців, що може спростити впровадження біометричного рішення, проте по функціональності і якості розпізнавання такі вбудовані пристрої поступаються спеціалізованому обладнанню. Слід порівняти відносне якість за такими показниками, як коефіцієнт помилкового пропуску, коефіцієнт помилкового відмови, коефіцієнт помилок кросовера, коефіцієнт помилок реєстрації і пропускна здатність.
• Якщо за характером роботи користувачі або комп'ютери виявляються в брудних місцях, де складно підтримувати чистоту рук або потрібні рукавички, сканери відбитків використовувати не вдасться. Цю проблему можна вирішити за рахунок систем аналізу інших фізіологічних параметрів, наприклад геометрії особи, райдужної оболонки ока або долоні.
• Поряд з біометричним підтвердженням користувачеві необхідно надавати будь-яке інше свідоцтво, наприклад ключову фразу, PIN-код або смарт-карту, оскільки біометричні пристрої можна обдурити.

Процес зниження ризиків

Особливості впровадження біометричних засобів на кожному підприємстві свої. Однак загальну послідовність дій визначити можна.

1. Встановити, які з наявних механізмів перевірки біометричних даних більше підходять потреб підприємства.
2. Проаналізувати внутрішню документацію щодо забезпечення конфіденційності, щоб переконатися в можливості управління конфіденційними біометричними даними.
3. Визначити вимоги до обладнання, що використовується при біометричний скануванні, і намітити терміни виконання цих вимог.
4. Визначити елементи інфраструктури, необхідні для біометричного сканування, такі як інфраструктура публічних ключів або вимоги до клієнтського програмного забезпечення.
5. Встановити, у яких співробітників можуть виникнути проблеми з використанням біометричної системи, і підібрати для них альтернативні варіанти, наприклад перевірку по імені користувача і паролю або смарт-карті з PIN-кодом.
6. Заздалегідь навчити користувачів поводження з системою біометричної аутентифікації, а тих, хто не зможе нею користуватися, - альтернативним методам перевірки.
7. Провести масштабний пілотний запуск з метою виявлення і вирішення проблем до початку повсюдного впровадження.
8. Слідуючи інструкціям виробника по скануванню і перевірці, ввести дані про користувачів в біометричну систему.
9. Навчити користувачів поводження з системою, забезпечити допомогу для тих, хто відчуває труднощі.
10. Необхідно врахувати, що деякі користувачі можуть відмовитися застосовувати біометричну систему. Для таких користувачів слід передбачити альтернативний спосіб перевірки автентичності.

Використання групової політики для зниження ризиків, пов'язаних з біометричної перевіркою

Доступні в даній категорії параметри знаходяться в розділі редактора групових політик Конфігурація компьютераАдміністратівние шаблониКомпоненти WindowsБіометрія.

В таблиці 5 наведені параметри цієї технології, що застосовуються до Windows 7.

На Закінчення хотілося б підкресліті, что біометрічна аутентіфікація поки НЕ может служити альтернативою багатофакторної аутентіфікації на смарт-картах. На сьогодні, на мою думку, це скоріше зручність, ніж повноцінна технологія безпеки. Але, може бути, це допоможе користувачам не забувати свої паролі, хто знає?

Володимир Безмалий ([email protected]) - фахівець із забезпечення безпеки, MVP Consumer Security, Microsoft Security Trusted Advisоr