Home > Komentarz > Odciski palców jako hasła – to zły pomysł

Odciski palców jako hasła – to zły pomysł

Odcisk palca - obrazekOd wielu lat producenci różnych urządzeń i systemów zabezpieczeń próbują przekonywać nas o tym, że jest lekarstwo na całe zło tego świata związane z zapamiętywaniem haseł do różnych systemów. Rozwiązaniem ma być wprowadzenie do powszechnego użycia odcisków palców, jako swoistego hasła, które będzie otwierało nam dostęp do wszystkich systemów. Podchodzimy do drzwi, przykładamy palec i cyk – drzwi otwarte. Uruchamiamy komputer i bum, laptop zalogowany. Przykładamy palec do telefonu i bęc – zaczynamy korzystać. Szybko, prosto i… no właśnie, czy na pewno jest to dobre rozwiązanie?

Od wielu lat podświadomie uważałem, że to zły pomysł na jakiekolwiek zabezpieczanie dostępu do systemów. Teraz już wiem na pewno i dlatego postanowiłem się podzielić swoimi wątpliwościami na blogu.

Czym są linie papilarne?

Odcisk palca pozostawia na czytniku, czy też innej płaskiej powierzchni, wzór zwany liniami papilarnymi. Jak pokazały badania, wzór jest silnie związany z daną osobą – szanse na znalezienie dwóch osób o takich samych odciskach są bliskie zeru – różnią się nawet dla bliźniaków jednojajowych. Można więc z dużą pewnością stwierdzić, że jeżeli mamy odcisk palca, możemy precyzyjnie stwierdzić, do kogo on należy. Ważną cechą odcisków palców jest przy tym fakt, że z biegiem lat nie ulegają one istotnym zmianom.

Podobna sytuacja jest w przypadku wzoru siatkówki, tęczówki, czy układu naczyń krwionośnych w palcu. Stosowane są również inne wskaźniki biometryczne: styl chodu, sposób mówienia, czy właściwości twarzy. Jednak to właśnie linie papilarne są najczęściej stosowane.

Z tyłu za tym stoi cała matematyczna i algorytmiczna metodologia analizowania, rozpoznawania i wyszukiwania w bazach danych wzorów odcisków palca. Wiemy, że ona działa bardzo dobrze, jednak w tym rozważaniu nie jest to najważniejsza dla nas kwestia. Ważniejsze jest to:

Do czego należy używać wzoru linii papilarnych?

Właściwie odpowiedź wynika z tego, co napisałem wyżej. Za pomocą linii papilarnych możemy ustalić, kim jest osoba przed czytnikiem odcisków palców. Tyle i w zasadzie… tylko tyle. Czyli możemy np. ustalić przy kontroli granicznej, czy osoba stojąca przed celnikiem to ta osoba, która jest wymieniona w jego paszporcie biometrycznym i jednocześnie np. w bazie danych wiz.

Czyli odciski palców nadają się do jednego: IDENTYFIKACJI użytkownika. Daktyloskopia jest dobrym przykładem zastosowania odcisków palców w kryminalistyce przy poszukiwaniu sprawców przestępstw. Linie papilarne nie nadają się i nie powinny być jednak stosowane do innych celów, w tym przede wszystkim do uwierzytelnienia, czyli potwierdzania ustalonej wcześniej identyfikacji.

Dla wyjaśnienia: do identyfikacji służy np. nazwa użytkownika. Do uwierzytelnienia służy zwykle hasło. Możemy sobie wyobrazić sytuację, w której odcisk palca służy jako nazwa użytkownika, czyli identyfikator, natomiast później podajemy jeszcze hasło zabezpieczające.

NIESTETY, bardzo często powstają systemy, które nadużywają systemów odczytu linii papilarnych.

Jak stosuje się odciski palców?

W praktyce spotykamy się z różnymi błędami w rozumowaniu, które pojawiają się przy projektowaniu systemów opartych na odciskach palców. W codziennych zastosowaniach głównie ułatwiają one korzystanie np. z komputera czy smartfona (przyłożenie lub przeciągnięcie palca powoduje odblokowanie dostępu do urządzenia) i nie stanowią przez to istotnego zagrożenia, o tyle mamy tutaj do czynienia z groźnym potencjalnie w skutkach połączeniem identyfikacji i uwierzytelnienia w jedną czynność.

Sytuacja robi się niebezpieczna, gdy ta połączona operacja wychodzi poza lokalne urządzenie i służy np. do pośredniego lub bezpośredniego uzyskiwania dostępu do systemów zdalnych. Dlaczego? Wyobraźmy sobie (coraz częściej zdarzającą się sytuację) przejęcia przez hakerów hasła dostępu i identyfikacji do jakiegoś systemu. W przypadku, gdy nazwa użytkownika (lub np. informacja o odcisku palca) zostanie przejęta, drugim zabezpieczeniem jest hasło. Wystarczy zmienić hasło i problem mamy tymczasowo z głowy.

A jeżeli dany system nie przewiduje hasła? No właśnie, odcisku palca, skanu siatkówki, czy wzoru żył w palcu nie da się ot tak zmienić na inne.

Dlaczego nie należy stosować wzoru linii papilarnych jako hasła?

Powyżej opisałem najważniejszą wadę odcisków palców, które zostaną zastosowane jako hasło i zabezpieczenie dostępu: brak możliwości zmiany odcisku palca na inny w przypadku przechwycenia tych informacji przez niepowołane osoby. Można co prawda wybrać kolejny palec do zeskanowania, ale mamy ich tylko 10 (nie licząc tych u nóg). Siatkówki i tęczówki mamy po dwie… i co dalej? Poza tym nigdy nie skanuje się tylko jednego palca, bo trzeba mieć jakiś zapas na wypadek problemu z wybranym palcem – jak choćby zranienie, czy (nikomu nie życzę) amputacja.

Znanych jest jeszcze kilka innych ważnych wad: od technicznych, przez (powiedzmy) mechaniczne, aż po prawne. Oto kilka z nich, które uznałem za najważniejsze:

  • Możliwość kradzieży odcisku palca – na przykład przez odcięcie palca, czy w przypadku mniej skrajnych metod – skopiowania odcisku metodami daktyloskopijnymi (co udało się zrobić dość amatorskimi metodami zaraz po wprowadzeniu czytnika w Apple iPhone 5 i powtórzyć w kolejnej wersji 6).
  • Możliwość odtworzenia odcisku palca z innych źródeł – pod koniec 2014 roku udało się odtworzyć odcisk palca niemieckiego polityka korzystając jedynie ze… zdjęć zrobionych na konferencji prasowej.
  • Problemy związane ze zmienianiem się wzoru linii papilarnych z różnych powodów: zranienia, oparzenia i inne uszkodzenia opuszków palców, opuchlizna palców (choćby spowodowana alkoholem, chorobami, czy po prostu użądleniem przez owady), czy całkowita utrata odcisków palców w przypadku zażywania niektórych leków (dość rzadki efekt uboczny przy chemioterapii).
  • W USA niedawno ustalono, że o ile nie można zmusić podejrzanego lub oskarżonego do przekazania hasła do systemu komputerowego, który może zawierać dowody przeciwko niemu (w Polsce obowiązuje także podobny przepis, który powoduje, że nie musimy sami dostarczać dowodów przeciwko sobie), o tyle można zmusić taką osobę do przyłożenia palca do czytnika zabezpieczającego taki system – bez jego zgody.
    Czyli: jeżeli mamy iPhone z aktywnym systemem TouchID, to służby mogą zmusić nas do odblokowania telefonu naszym palcem. Ale jeżeli stosujemy hasło, służby muszą sobie poradzić same.

I co teraz?

Zapamiętajmy sobie raz na zawsze: nasz odcisk palca jest jak nazwa użytkownika, czy też identyfikator. Nigdy nie powinien zastępować hasła, ani tym bardziej identyfikatora i hasła jednocześnie. Haseł możemy mieć setki, linii papilarnych na rękach mamy tylko 10.

Jeżeli jakiś system lub dostawca usług oferuje nam korzystanie z odcisku palca do zabezpieczania sprawdźmy, w jakim charakterze są stosowane nasze odciski oraz czy na pewno jest to bezpieczne (bankom bym zaufał, ale już w kinie bym palca nie „pokazał”).

A mając iPhone 5 i nowszy oraz możliwość użycia TouchID, czy też jeden z nowszych smartfonów Samsunga z podobną funkcjonalnością – raczej pozostałbym przy tradycyjnym haśle cyfrowym…

Data pierwszej publikacji 2015.01.01
Kategorie:Komentarz
  1. Ł.O.
    Luty 22nd, 2015 at 17:08 | #1

    Jakubie,
    potwierdzenie tozsamosci uzytkownika to uwierzytelnienie, nie autoryzacja.

    • Luty 22nd, 2015 at 21:02 | #2

      Precyzyjniej, są trzy elementy, lub etapy:
      1. Identyfikacja – przekazanie tożsamości w sposób mniej lub bardziej pewny (nazwa użytkownika, poprawnie użyte dane z odcisków palca itd.)
      2. Uwierzytelnienie – potwierdzenie tożsamości przekazanej na etapie identyfikacji – na przykład za pomocą hasła.
      3. Autoryzacja – sprawdzenie i ewentualne potwierdzenie, że dana osoba ma uprawnienia do dostępu do danej informacji czy systemu (np. faktyczne zalogowanie do systemu banku, serwera, itd.)
      Faktycznie słowo autoryzacja w tekście zostało użyte nieprawidłowo, co poprawiłem. Dzięki za komentarz!

  2. Misiek
    Styczeń 8th, 2015 at 08:42 | #3

    Często są problemy z odczytem linii papilarnych.W nowych paszportach jest miejsce na odcisk palca ,a moich nie dało się zeskanować…taka to technologia,więc zostało tylko zdjęcie i podpis.

    • Styczeń 8th, 2015 at 12:48 | #4

      Biometryczne były też te tylko z podpisem :) Odciski weszły później i nie są aż tak obowiązkowe. No i jak nie działa, to może być wina organu wydającego, który nie dopilnował jakości odczytu odcisku. Z samym odczytem nie ma żadnych problemów. Sam korzystałem i np. w związku z wizą USA oni też – i to działało bez pudła.

  3. VValdi
    Styczeń 5th, 2015 at 01:32 | #5

    Z tego co sie dowiedziałem, przechowywanie punktów charakterystycznych z odcisku palca jest zgodne z prawem tylko na karcie chipowej (zbliżeniowej) i wymagane jest kasowanie tej informacji z czytnika zaraz po wykorzystaniu.
    A jak to działa w przypadku banku?

    • Patryk
      Styczeń 5th, 2015 at 09:05 | #6

      No dobrze, ale jak trzymają te dane na karcie, to z czym je porównują? Chyba że użyłeś jakiegoś skrótu myślowego.
      Poza tym nowe paszporty też zawierają dane o odciskach palców.

      • VValdi
        Styczeń 5th, 2015 at 09:50 | #7

        Do czytnika ładuje się dane z karty chipowej w momencie przyłożenia karty do czytnika, więc czytnik wie z czym porównać przyłożony potem palec. Podobno nie wolno przechowywać odcisków palca w czytniku ani na serwerach.
        W tym problemie chodzi o ochronę danych osobowych, wynika to z ustawy, która w PL jest bardziej restrykcyjna niż gdzie indziej.
        Ciekawi mnie jak do tego banki podchodzą jeśli umożliwiają jakieś autoryzacje za pomocą odciska pala lub "kształtu naczyń krwionośnych"… to nie podchodzi pod tą ochronę danych osobowych? Pewnie mają dobrych prawników do konsultacji ;)

        • Styczeń 5th, 2015 at 11:47 | #8

          Zrobiłem krótki research i w PL nie znalazłem ograniczeń. Może chodzi o jakiś szczególny kraj? Ew. jak możesz, wskaż ustawę, chętnie się zapoznam.
          Dane osobowe bez problemu obejmują odciski palców i układ naczyń krwionośnych – po pozwalają na identyfikację osoby, a ustawa nie wymienia sposobów identyfikacji, tylko ogólne wszystko, co pozwala na identyfikację – sposób mrugania oczami i skład chemiczny włosów także, o ile są charakterystyczne dla jednej osoby :)

          • VValdi
            Styczeń 6th, 2015 at 20:44 | #9

            http://www.giodo.gov.pl/data/filemanager_pl/spraw…
            wyszukaj ciąg "papilar"
            ja tego nie wymyśliłem. Po prostu planowałem kupić czytniki a w czasie kontaktu z działem technicznym producenta powiadomiono mnie, że reguluje to Ustawa o ochronie danych osobowych i prawo wynikające z przyjętych ustaleń (info w powyższym linku).
            Spróbuj pogooglować za danymi biometrycznymi i giodo

    • Styczeń 5th, 2015 at 11:42 | #10

      Hm… o tym nie słyszałem – o prawie jakiego kraju mówimy? Pamiętaj, że to prawo także musi wyjmować spod tego ograniczenia służby – odciski palców we wszystkich krajach są przechowywane choćby przez policję….

      • VValdi
        Styczeń 6th, 2015 at 20:57 | #11

        http://www.giodo.gov.pl/348/id_art/3358/j/pl/
        cytat wyrwany z kontekstu
        "(…) A zatem jedyną podstawą do gromadzenia odcisków linii papilarnych może być przepis prawa. Skoro jednak nie ma regulacji zezwalających pracodawcom na żądanie od podwładnych danych biometrycznych, jak linii papilarnych, obrazu tęczówki oka czy kodu DNA to ich gromadzenie jest zabronione. (…)"
        Dlatego czytnik nie może zawierać bazy obrazów odcisków do porównania z zeskanowanym odciskiem.
        Jedynym sposobem na legalne skanowanie odcisków palca jest zapisanie cyfrowych danych na karcie, którą potem dźwiga ze sobą pracownik (bo to jego dane osobowe). Ładowanie tych danych z karty przed odczytem, porównanie danych zeskanowanego palca i usunięcie danych z czytnika – tak to powinno wyglądać.
        Jeśli nie mam racji to chętnie się dowiem jaka jest prawda, nie jestem ani prawnikiem ani specjalistą w temacie ochrony danych osobowych.

        • Styczeń 6th, 2015 at 21:14 | #12

          Ale to dotyczy gromadzenia danych pracowników – lista informacji, jakie z tego tytułu może gromadzić pracodawca jest wypisana w prawie pracy. Ale to nie ma żadnego związku z sytuacją, w której przetwarzane są dane klientów za ich zgodą.

          • VValdi
            Styczeń 7th, 2015 at 17:07 | #13

            Ten link poniższy już tu podawałem zajrzyj proszę na str 85: http://www.giodo.gov.pl/data/filemanager_pl/spraw…
            Sytuacja opisana tam dotyczy szkoły z której po kontroli GIODO nakazano usunąć system strzegący wejścia do szkoły a oparty na odciskach palców (co zresztą wg mnie jest fajnym pomysłem).

            Ja tylko chcę zwrócić uwagę tym, którzy chcieliby zastosować czytniki w jakiś profesjonalnych systemach kontroli dostępu, że lepiej sie upewnić czy taki system jest legalny. Sam znam szkołę, w której po przeszkoleniu personelu z "Ochrony danych osobowych" czytniki biometryczne zostały wyłączone mimo że zainwestowano w nie sporo pieniędzy, a uczniowie to przecież nie pracownicy więc nie dotyczy ich prawo pracy.

            Temat legalności czytników biometrycznych w Polsce mnie ciekawi więc jeśli kiedyś uda Ci się ustalić jak to jest – może to być temacik na osobny wpis na blog ;)

Strony komentarza
1 2 4204
  1. Brak jeszcze trackbacków
Musisz być zalogowany aby dodać komentarz.
>