Пароль не к лицу
Биометрические решения способны защитить IТ-системы компаний
С ростом количества киберугроз технология распознавания людей по физическим и поведенческим параметрам выходит за рамки финансового сектора, где эти меры защиты начали внедрять раньше других. Биометрическая аутентификация доступа к IТ-системам будет одним из главных решений подтверждения личности в самых разных отраслях. Генеральный директор CorpSoft24 КОНСТАНТИН РЕНЗЯЕВ рассказал читателям RSpectr, как устроены такие сервисы, каковы принципы их работы и возможности для бизнеса.
ДИНАМИЧНЫЙ ТРЕНД
Согласно Global Markets Insights, к 2024 году мировой рынок обработки биометрических данных достигнет объема в 50 млрд долларов. Распознавание по отпечаткам пальцев и чертам лица стало важным средством предотвращения мошенничества в финансовом секторе.
По прогнозам Juniper Research, к 2021 году технология аутентификации будет использоваться для более чем 18 млрд транзакций, что означает ежегодный рост на 84% по сравнению с 2016-м. Главный фактор такой динамики – способность IT-решений обеспечивать высокий уровень безопасности в реальном времени без ущерба для удобства пользователей.
ПРИНЦИПЫ РАБОТЫ
В отличие от учетных данных, таких как пароли и PIN-коды, которые могут быть утеряны или украдены, биометрия подобной степенью отчуждаемости от авторизованного лица не обладает, обеспечивая высокий уровень доверия.
Решения по распознаванию лиц не хранят необработанные фотографии с целью идентификации, а создают их математическое представление
Оно сохраняется в файле для последующего сравнения, когда пользователь логинится в систему. Математическое представление, как правило, зашифровано и, по сути, бесполезно для злоумышленника в случае кражи.
Современные системы биометрической аутентификации включают в себя активные и пассивные инструменты идентификации. Они позволяют определить, принадлежит представленная характеристика живому человеку или же это цифровой аналог – фотография, маска, голограмма, копия отпечатка пальца.
Идентификация активного живого существа базируется на фиксации мимики, микродвижений: повороты головы, моргание. Выявление подделки основано на обнаружении углов склейки при подмене лица маской или неестественной мимики голограммы, двухмерности подложного отпечатка и другим параметрам.
Распознавание лиц считается наиболее естественным средством биометрической идентификации, поскольку не требует контакта считывающего устройства с человеком, а его алгоритмы становятся чрезвычайно точными с помощью возможностей искусственного интеллекта.
Согласно исследованию National Institute of Standards and Technology (NIST) 2018 года, всего за четыре года разработчики в этой сфере добились роста точности распознавания в 20 раз. Так, в 2018 году всего 0,2% сопоставлений лица человека с материалами базы данных из 26,6 млн фотографий выдавали неверный результат, по сравнению с 4% неудач в 2014-м.
БИОМЕТРИЯ УСТАРЕВАЕТ?
Существует мнение, что идентификация по физическим параметрам человека непрактична в долгосрочной перспективе из-за возрастных изменений черт людей.
Некоторые биометрические маркеры, как радужная оболочка глаза или отпечаток пальца, остаются довольно стабильными спустя годы, хотя лицо или голос действительно меняются. Но учитывая время, в течение которого происходят значительные изменения таких маркеров человека, это не проблема для большинства приложений аутентификации пользователей. Часть решений являются динамическими и регулярно обновляют биометрический шаблон для сопоставления изменений по мере их возникновения.
АНАЛИЗИРУЕМ ПОВЕДЕНИЕ
В то время как биометрическая аутентификация использует уникальные характеристики человека для подтверждения его личности, существуют и другие способы ее применения. Системы могут помочь предприятиям укрепить безопасность и бороться с мошенничеством. Например, поведенческая биометрия.
Этот подход анализирует взаимодействие потребителя с системой в сравнении с ранее разработанным профилем типичного пользователя или «поведенческим отпечатком пальца». В случае неизвестной личности, когда кто-то обращается за новым банковским счетом, поведенческая биометрия может сравнить поведение потребителя с тем, что типично для более широких слоев населения. Этот подход используется для оценки вероятности того, что новый заявитель выполняет действия, свойственные законопослушным пользователям. Чем больше сходство с эталоном, тем меньше организации приходится беспокоиться о личности или намерениях человека.
КАК МОЖНО ИСПОЛЬЗОВАТЬ?
По мере роста количества киберугроз биометрия распространяется не только в финансовом секторе, где эти средства безопасности начали внедрять в первую очередь.
Теперь защиту можно встроить практически в любую информационную систему, с которой работают пользователи
Современные программные сервисы биометрической̆ защиты (СБЗ) позволяют проводить аутентификацию пользователя в информационной, операционной системах (ИС/ОС) с помощью веб-камеры компьютера или технологического оборудования. Такие решения позволяют непрерывно идентифицировать пользователя ИС, чтобы быть уверенным в том, что в любой момент в системе работают только авторизованные лица. При удаленной работе СБЗ гарантируют, что данные, сохраняемые в ИС от имени внешнего пользователя, вводятся именно им.
Еще одна важная функция – защита от кражи конфиденциальных данных путем подглядывания или фотографирования содержимого экрана из-за спины сотрудника. Если в поле зрения веб-камеры появляется лицо постороннего или исчезает авторизованный пользователь, система прикрывает рабочий экран модальным окном и выводит соответствующее сообщение.
При получении отрицательного результата сверки лиц СБЗ выполняют предопределенный набор действий: разрыв активной сессии, сохранение фотографии нарушителя, отправка администратору уведомления о попытке взлома и т. д.
Помимо доступа в различные ИС, биометрическая идентификация также успешно применяется для контроля использования технологического оборудования: кассы, стенды, станки, технологические линии.
КАК УСТРОЕНЫ СБЗ
Упрощенно архитектура программных сервисов биометрической защиты информационных систем выглядит так. Ядром является сервер, хранящий идентификационные данные пользовательских ПК, защищаемых систем, их пользователей и отрабатывающий запросы на сверку лиц. Есть и клиентская программа, которая функционирует на компьютере пользователя. Она обрабатывает видеопоток с веб-камеры, из кадров с лицом человека отбирает лучший в интервале времени и отправляет его на сверку на сервер. И, наконец, программа-агент, которая запрашивает у сервера результаты очередного сравнения лиц и отрабатывает набор действий, соответствующий полученному статусу сравнения.
Главный недостаток современных решений по биометрическому контролю работы пользователя ИС – это некоторая ограниченность действий, выполняемых в качестве реакции на инциденты. Насколько широко вы прописали в общей системе варианты реакций на предопределенные события, настолько ваша IТ-система или производство защищены.
В большинстве случаев достаточно стандартного набора, но технологии обхода любых ИБ-решений развиваются с той же скоростью, что и их защитный функционал.
Одно из преимуществ СБЗ – внедрение по принципу SaaS (подписка на сервис). Такое решение не требует никаких доработок защищаемой ИС и позволяет в течение короткого промежутка времени подключить к системе несколько сотен пользователей – по 100 человек за час.
МУЛЬТИМОДАЛЬНАЯ ПЕРСПЕКТИВА
В целом рынок физиологической и поведенческой идентификации движется в сторону мультимодальных решений, сочетающих несколько биометрических источников для повышения безопасности и точности.
Мультимодальные системы обычно требуют для идентификации как минимум два биометрических удостоверения: отпечатки пальцев, скан лица
Так преодолеваются ограничения и риски, обычно встречающиеся в моносистемах.
В последние годы использование нескольких биометрических признаков в разных сочетаниях (лица, радужной оболочки глаза, отпечатков пальцев) позволяет значительно снизить частоту ошибок, информационных утечек и несанкционированных операций. Но начинать, конечно же, следует с внедрения наиболее качественного монорешения. Например, системы распознавания лиц.
Изображение: Lori.ru
ЕЩЕ ПО ТЕМЕ:
