В конце февраля была продемонстрирована биометрическая система для распознавания личности, разработанная по заказу Министерства связи и массовых коммуникаций и ЦБ РФ. На днях стало известно, что оператором системы официально назначен «Ростелеком». Это было вполне ожидаемо, с учетом того, что он является разработчиком платформы.
По замыслу создателей, система должна заменить устаревший метод авторизации с использованием связки – логин и пароль. Планируется, что система будет более защищена, чем текстовые данные, которые злоумышленники могут украсть или подобрать. Последний вариант компрометации учетных данных наиболее частый, так как нередко пользователи применяют текстовые пароли. Брешь в безопасности усугубляется использованием одного пароля сразу на нескольких площадках, требующих авторизации.
Как отмечают представители «Ростелекома», при разработке системы были использованы отечественные технологии обработки изображения лица и речи. Для идентификации личности анализируется два параметра: голосовой профиль и фотография лица.
Сферы применения системы
Платформа будет использоваться на площадке ЕСИА.Единая система идентификации и аутентификации (ЕСИА) – информационная система в Российской Федерации, обеспечивающая санкционированный доступ участников информационного взаимодействия.
В первую очередь, применять «усиленную биометрией» систему для идентификации своих клиентов будут банки. После тестирования данного метода авторизации к использованию платформы подключатся ведомства муниципальных и государственных услуг, в том числе из сферы здравоохранения. В рамках проекта телемедицины данная платформа может оказаться особенно полезна.
В планах правительства – перевести все области, где требуется идентификация личности, на биометрическое подтверждение (кредиты, страхование, управляющие компании, негосударственные пенсионные фонды).
Глава «Ростелекома», Михаил Осеевский заявил, что оператор планирует инвестировать в платформу 200 млн рублей.
Защищенность платформы
Выше говорилось о превосходстве биометрической системы идентификации над текстовой связкой логин/пароль. В связи с этим у читающего могут появиться мысли об обмане системы биометрии с помощью фотографии/видео. На фоне популярности в Instagram селфи и stories с барышнями, крутящими личиками, вырисовывается большое поле для экспериментов и потенциальная брешь в безопасности данного метода авторизации.Руководитель проекта Иван Беров заявляет, что система защищена от подобного подлога. Он поделился некоторыми подробностями о защитных механизмах разработки.
Так, система может попросить пользователя зачитать случайно сгенерированный текст, а в процессе верификации проведет не только анализ звуковой дорожки, но и видеоряд. Также система проверит то, что текст зачитывается человеком перед камерой.
Дополнительной мерой безопасности является анализ предыдущего поведения пользователя при совершении действий в системе. В том случае, если у пользователя изменятся базовые показатели для идентификации (голос или лицо, например, вследствие операции), ему придется пройти процедуру составления биометрического слепка повторно.
«Ростелеком» побеспокоился и об утечке данных в случае взлома системы. Чтобы этого избежать, программное обеспечение разместили на защищенной облачной инфраструктуре оператора, а взаимодействие участников процесса с платформой организовано через защищенные каналы связи с использованием российских алгоритмов шифрования.
Зарубежный опыт
Внезапно, Индия – лидер в использовании биометрической авторизации в обществе. Ее система UIDAI (Unique Identification Authority of India — Агентство Индии по уникальной идентификации) считается самой большой базой биометрических данных; в ней содержится более миллиарда записей.Биометрическая авторизация в стране используется при оказании банковских и государственных услуг.
Правительство Индии заявило о защищенности хранилища от взломов. Однако заявление оказалось преждевременным, поскольку в начале текущего года база данных UIDAI была полностью скомпрометирована.