Todennuksen tulevaisuus: Biometriset tiedot, monitekijäisyys ja rinnakkaisriippuvuus

Esittämä Karhunvatukka

Talk Mobile Security

Todennuksen tulevaisuus: Biometriset tiedot, monitekijäisyys ja rinnakkaisriippuvuus

kirjoittaneet Rene Ritchie, Daniel Rubino, Kevin Michaluk, Phil Nickinson

Vuosien ajan salasana oli niin turvallinen todennuskeino kuin tarvitsimme. Jos et vastannut ydinkoodeista, ehkä tusinan merkin perussalasana riitti. Ongelmana on, että tietokoneidemme tehon kasvaessa tietokantahakkereiden ja koodinkeksijien käyttämien tietokoneiden teho kasvoi.

Nykyään perussalasanasi murtautuminen kestää vain minuutteja, ellei sekunteja. Vain sinun tuntemasi kirjain- ja numerosarja ei riitä pitämään tilisi ja laitteesi turvassa. Jokainen, joka tarjoaa taatun turvallisuuden, joko valehtelee sinulle tai pettää itseään järjestelmiensä vahvuudesta.

Miten meidän pitäisi tulevaisuudessa pitää kaikki tavaramme turvassa? Pitäisikö meidän turvautua jatkuvasti muuttuvan kaksivaiheisen todennuksen turhautumiseen vai ovatko omat biometriikkamme vastaus? Vai voimmeko käyttää laitteitamme toistensa todentamiseen ja luoda itseturvallisen henkilökohtaisen verkon?

Aloitetaan keskustelu!

1. 01.Kevin
   MichalukMonivaiheisen todennuksen ongelmallinen vaiva

1. 02.Phil
   NickinsonBiometrisen turvallisuuden maailmassa sinä olet salasana

1. 03.Rene
   Ritchievoin vaihtaa salasanani; En voi vaihtaa silmäni

1. 04.Daniel
   RubinoÄlypuhelimeni, salasanani

Tulevaisuuden todennus

Artikkelien navigointi

• Monivaiheinen todennus
• Video: Michael Singer
• Biometrinen todennus
• Hakkeroitu biometriikka
• Laitteen todennus
• Kommentit
• Huipulle

Kevin MichalukCrackBerry

Monivaiheisen todennuksen ongelmallinen vaiva

Ja se on vain yksi tekijä. Salasana. Jotain sinä tiedät. Nykyään, kun palveluita hakkeroidaan ja laitteita katoaa tai varastetaan, trendi on monitekijäinen. Token. Jotain sinulla on.

Syötät jotain, jonka tiedät, salasanan, sitten tekstiviesti tai sovellus luo toisen koodin jollekin, joka sinulla on: hallussasi olevaan puhelimeen. Se tekee asioista paljon turvallisempia, mutta se myös tekee niistä enemmän vaivaa.

Monikerroksinen

Monitekijätodennuksen perusta on useat tekijät. Lähes aina on salasana tai PIN-koodi, joka pysyy vakiona - perustodennusstandardisi. Se, mikä tekee siitä monivaiheisen (useimmiten vain kaksivaiheisen), on toisen vahvistuksen lisääminen. Tämä toinen varmistus voidaan vetää laajasta lähteiden valikoimasta. Yleisin on toissijainen koodi, joka toimitetaan joko tekstiviestinä tilin omistajan matkapuhelimeen tai suoraan suojatun todentaja-mobiilisovelluksen kautta. Ajatuksena on, että salasanasi voidaan hakkeroida etänä, mutta saada myös toissijainen koodi edellyttää äärimmäisempää mobiililaitteesi hakkerointia tai sen todellista fyysistä huoltajuutta laite. Muut monitekijätodennuksen muodot sisältävät erillisen koodigeneraattorin käytön, joka on sidottu nimenomaan kyseiselle tilille, käyttäjälle määritetty älykortti tai USB-tunnus tai biometriset tiedot, kuten iiris tai sormenjälkien skannaukset. Vaikka älypuhelin on kätevä, se, että se kommunikoi langattomasti saadakseen koodin, avaa pätkän prosessissa. Irrotettuja fyysisiä laitteita ja biometrisiä tietoja on paljon vaikeampi hakkeroida, ainakin etänä. Mutta kun olet menettänyt fyysisen turvavalvonnan, kaikki vedot ovat kuitenkin pois päältä.

Käytän esimerkiksi Googlen kaksivaiheista todennusta Gmail-päätililläni. Kun olen syöttänyt tavallisen salasanani, puhelimeeni lähetetään tekstiviesti, jossa on yksilöllinen todennuskoodi, joka minun on sitten syötettävä. Ihmisenä, joka matkustaa paljon - kirjautuu sisään eri paikoista ja tietokoneista ja mobiililaitteista - se voi olla tuskaa. Ei ole mitään muuta kuin olla New Yorkissa ja pyytää tekstiviestikoodia, joka meni kotona istuvaan puhelimeen Winnipegissä.

Ei ole mitään muuta kuin olla New Yorkissa ja pyytää koodia, joka meni puhelimeen kotona Winnipegissä.

Useammin kuin mitä voidaan pitää vähäisenä haittana, tekstiviestikoodi on virheellinen, ja sitä on pyydettävä uudestaan ​​​​ja uudestaan, kunnes se toimii. Mikään ei ole kuin puhelimen rikkoutuminen tai kadottaminen, uuden vaihtaminen ja asennuksen yrittäminen kaksivaiheinen todennus Gmailille, Dropboxille, iTunesille ja kaikille muille käyttämilleni asioille, jälleen kerran naarmu.

Vitsailen, että olen tehnyt tilini niin turvallisiksi, vaikka en pääsekään sisään, mutta sille ei oikeastaan ​​ole mitään naurettavaa, varsinkin ihmisille, jotka tarvitsevat vain näitä asioita toimiakseen.

En sammuta sitä, koska kaiken kaikkiaan tieto, että olen suojattu, on sen arvoista. Mutta se on liian monimutkainen ja hämärä liian monille ihmisille. On syy, miksi en suosittele sitä tavalliselle ihmiselle.

Tee kaikki haluamasi "ensimmäisen maailman ongelmat", mutta kun puhelimistamme tulee henkilökortimme ja lompakkomme, he alkavat valtuuttaa mitä ostamme, mutta todentavat keitä olemme, turvallisuuden ja mukavuuden tasapaino on kriittinen. Ja emme vain ole vielä perillä.

Voit asettaa suojakerroksia paikoilleen, ja niillä jokaisella on mahdollisuus pysäyttää jotain. Mutta jos loppukäyttäjä tulee huijatuksi, hän voi nopeasti leikata ne kaikki läpi.

- Michael Singer / AVP Mobile, Cloud and Access Management Security at AT&T

K:

Käytätkö monivaiheista todennusta tileilläsi?

876 kommenttia

Phil NickinsonANDROID CENTRAL

Biometrisen turvallisuuden maailmassa sinä olet salasana

Meneillään on askel salasanojen maailman poistamiseksi. Älä huoli, he eivät mene pian minnekään, mutta jotkut älykkäät ihmiset tekevät kovasti töitä keksiäkseen jotain parempaa. Mobiililaitteen salasanojen yksinkertaisin ja ehkä tärkein paikka on lukitusnäyttö. Se on ensimmäinen ja paras puolustuslinja, joka pitää puhelimesi – ja sen sisältämät tiedot – poissa jonkun muun käsistä.

Perinteisiä lukituksen avausmekanismeja on käytetty kaikissa alustoissa, mutta Google oli ensimmäinen, joka leikki jollain erilaisella. Android 4.1 Ice Cream Sandwichista lähtien voit asettaa puhelimen avautumaan vain, kun se näkee kasvosi. Ominaisuutta pidettiin "kokeellisena", mikä ei ollut paljon lohdutusta, koska tulostettu kuva kasvoistasi toimisi yhtä hyvin kuin aito.

Iris-skannaus

Yleisesti ja virheellisesti "verkkokalvon skannaukseksi" kutsuttu silmänskannaustekniikka, joka useimpien mielestä edelleen näyttää olevan lähes tieteisfiktio, on itse asiassa iirisskannaus. Iris - silmäsi värillinen osa, joka ohjaa aukkoa, johon pupillisi avautuu, ja siten kuinka paljon valoa saavuttaa verkkokalvon silmämunan takaosassa - sillä on ainutlaatuinen kuvio, joka voidaan matemaattisesti määritelty. Toisin kuin sormenjäljet, ihmisen iiristä ei voida muuttaa ilman merkittävää vammaa.

Verkkokalvon skannaukseen käytetään kahta järjestelmää: näkyvät aallonpituudet ja lähi-infrapuna. Useimmat skannerit ovat lähi-infrapunavaloja, jotka toimivat paremmin ihmisten hallitsevien tummempien iiristen kanssa. Näkyvän aallonpituusskannerit voivat paljastaa rikkaampia yksityiskohtia ja niitä on vaikeampi huijata iiriksessä olevan melaniinin virittymisen ansiosta, mutta ne ovat alttiita heijastusten aiheuttamille häiriöille. Tutkijat tutkivat näiden kahden järjestelmän yhdistämistä tarkkuuden parantamiseksi.

Vaikka iirisskannerit voivat toimia jopa muutaman metrin etäisyydellä riittävällä anturin resoluutiolla, niiden kustannukset ovat osoittautuneet kohtuuttomaksi laajassa käytössä. Yhdistyneet arabiemiirikunnat, Yhdysvallat ja Kanada käyttävät iirisskannereita kaikilla raja-ajopisteillä NEXUS-lentokoneen vähäriskisessä ilmassa. Traveler-ohjelmassa, Googlen palvelinkeskuksissa ja muutamissa kunnallisissa poliisilaitoksissa ympäri maailmaa, mukaan lukien New Yorkissa Kaupunki.

Mutta se näyttää sinulle suunnan, jossa asiat etenevät. Olemme nähneet tämän tekniikan evoluution, joka vaatii silmien räpyttämistä (kokeile tehdä se valokuvalla). Tai ehkä se vaatii sinua hymyilemään tai tekemään typerät kasvot.

Mutta todennäköisempää on, että tulemme näkemään biometristen tietojen ja perinteisten salasanojen yhdistelmän. Puhelimesi katsoo äänettömästi, yritätkö avata sen lukituksen. Jos se tunnistaa kasvosi – tai ehkä äänesi tai sormenjälkesi tai ihonalaisen kapillaarikuvion puhelimen tai tabletin takaosassa olevan anturin kautta – se ohittaa toissijaisen salasanan. Jos et ole varma, voit palata PIN-koodin syöttämiseen, kuvion pyyhkäisemiseen tai johonkin tehokkaampaan.

Biometriassa on sama perusvirhe kuin perinteisissä salasanoissa – ne ovat yksi vikakohta.

Olemme nähneet biometrisiä tietoja elokuvissa vuosikymmeniä. Sormenjäljet. Kämmenprintit. Äänitunnus. Iris skannaa. Ne ovat varmasti käytössä korkean turvallisuuden alueilla nykyään. Meillä on ollut sormenjälkitunnistimet muutamassa puhelimessa aiemmin, mutta ne ovat haalistuneet, kun ominaisuus ei ole saavuttanut pakollista tilaa. Olemme leikkineet kasvojentunnistuksen kanssa.

Mutta biometrisilla tiedoilla itsessään on sama perusvirhe kuin perinteisissä salasanoissa – ne ovat yksi vikakohta. Näemme käytön lisääntyvän, mutta sen tulisi aina olla rinnakkain muiden turvatoimien kanssa.

K:

Haluaisitko käyttää biometristä todennusta?

876 kommenttia

Rene RitchieLISÄÄ

voin vaihtaa salasanani; En voi vaihtaa silmäni

"Äänitulostus vahvistettu." Se oli ennen elokuvien tavaraa - silloin, kun tietokoneet olivat komentoriviä, näytöt hehkuivat vihreänä, ja jopa lyhyt numerosarja oli lähes murtamaton salasana.

Nyt Android vahvistaa henkilöllisyytesi kasvoillasi. Xbox One kuuntelee ääntäsi, lukee sykettäsi ja jopa aistii mielialaasi. Applen huhutaan rakentavan sormenjälkitunnistimen iPhoneen.

Salasanat olivat enimmäkseen tuntemiamme asioita – niitä voitiin pakottaa tai huijata meiltä, ​​arvata, hakkeroida tai muuten vaarantua. Parhaimmillaan ne olivat pseudo-satunnaisia ​​hahmoja, joiden monimutkaisuuden toivottiin tekevän niistä liian vaikeita murtaa universumissa ilman kvanttilaskentaa.

Nyt "salasanat" voivat olla myös asioita, joita meillä on. Älä välitä pääsykorteista, puhelimista tai muista dongleista, ne voivat olla biometrisiä tietoja. Ne voivat olla kehomme osia.

Kuinka muuttaisimme silmiämme, peukalonjälkeämme tai kapillaarikuviotamme, jos se koskaan vaarantuisi?

Peukalon ja iiriksen skannaukset ovat yleisimpiä, ainakin televisiossa ja elokuvissa. Mitä tapahtuu, jos tai milloin ne vaarantuvat? Hollywoodin mielikuvitukselliset ihmiset ovat näyttäneet meille kaikkea proteeseista leikattuihin käsiin ja irtihakattuihin... okei, tämä alkaa olla kamalaa.

Näyttää siltä, ​​​​että viikko ei mene ohi ilman, että jokin verkkosivusto tai sovellus ilmoittaa rikkomuksesta ja neuvoo meitä vaihtamaan salasanamme. Kirjainten, numeroiden ja symbolien vaihtaminen on tarpeeksi helppoa. Kuinka muuttaisimme silmiämme, peukalonjälkeämme tai kapillaarikuviotamme, jos se koskaan vaarantuisi?

Vastaus näyttää olevan, että ei tallenneta todellisia biometrisiä tietoja, jotka voidaan hakkeroida, vaan tallennetaan jotain biometristen tietojen perusteella tiedot, joita ei voida palauttaa, mutta jotka voidaan muuttaa joksikin muuksi asiaksi samojen tietojen perusteella, jos ja kun se on hakkeroitu.

Sormenjälki katkennut

Kuten mikä tahansa todennus, sormenjälkitunnistimet ovat alttiita huijaukselle. Discovery-kanavasarja Myytinmurtajat käsitteli sormenjälkitunnistajien huijaamista vuoden 2006 jaksossa. Juontaja Kari Byron ja Tory Belleci saivat tehtäväkseen huijata sormenjälkitunnistimen uskomaan, että he olivat myytinmurtaja Grant Imahara.

Saatuaan puhtaan kopion Imaharan sormenjäljestä jalokivi-CD-kotelosta (huolimatta siitä, että hän tiesi heidän tehtävästään ja otti vaiheet hänen sormenjälkiensä puhdistamiseksi), Byron ja Belleci tekivät sormenjäljestä kolme kopiota - yksi etsattiin lateksiin, toinen teki / Myytinmurtajat suosikki ballistinen geeli, ja vain yksi kuvio painettuna paperille.

Testattu sekä optisella skannerilla että skannerilla, jota mainostettiin "lyömättömäksi" sen havaitsemiskyvyn ansiosta lämpötila, syke ja ihon johtavuus, kaikki kolme menetelmää pystyivät huijaamaan skannereita, kun ne kastuivat nuolla. Jopa paperi.

Hyvin toteutettu tekniikka voi tarkoittaa, että tästä ei koskaan tule ongelmaa. Mutta kuinka usein olemme oppineet tekniikkaa, jonka ajattelimme hyvin toteutetuksi, osoittautui, että se ei ollut sellaista? Onko edes mahdollista tehdä jotain käänteistekniikan kestävää?

Tieteiskirjallisuudesta on tulossa taas tieteellinen tosiasia, mutta yksi asia, joka ei muutu, olemme me. Meidän velvollisuutemme on varmistaa, että ennen kuin luovutamme iiriksemme, peukalojemme ja luurankomme, varmistamme kykymme tiedottaa itsestämme että se tehdään turvallisesti ja tavalla, joka estää todellisten biometristen tietojemme vaarantumisen, vaikka järjestelmä ja tietotietomme olisivatkin.

K:

Talk Mobile Survey: Mobiiliturvallisuuden tila

Daniel RubinoWINDOWS PHONE CENTRAL

Älypuhelimeni, salasanani

Todennäköisesti yksi luovimmista käyttötavoista nykyaikaisille älypuhelimille on niiden sisällyttäminen todennustunnukseksi muille laitteille. Se saattaa aluksi kuulostaa oudolta, mutta kun ajattelee sitä, se on paljon järkevää. Loppujen lopuksi nämä ovat pohjimmiltaan verkotettuja minitietokoneita, joita kuljetamme mukanamme käytännössä koko ajan, joten miksi emme käyttäisi sitä laskentatehoa turvallisuussyistä?

Yritykset, kuten Microsoft ja Google, ovat molemmat hypänneet tähän kelkkaan äskettäin kaksivaiheisilla todennusjärjestelmillään. Kun puhelimessasi on sovellus (esim. Microsoftin Authenticator), käyttäjät voivat turvallisesti luoda ainutlaatuisia kertaluonteisia salasanoja toisen tason salasanoja päästäkseen tililleen turvallisesti. Se on yksi ylimääräinen vaihe, mutta se käyttää laitteistoa, joka sinulla on joka tapauksessa mukanasi.

Se on yksi ylimääräinen vaihe, mutta se käyttää laitteistoa, joka sinulla on joka tapauksessa mukanasi.

NFC (Near-field communication) on toinen potentiaalinen tekniikka, jota voitaisiin hyödyntää turvallisuustarkoituksiin. Ei ole vaikea kuvitella skenaariota, jossa avaat tietokoneesi lukituksen napauttamalla älypuhelinta tietokonetta (tai jopa autoa tai kotia) vasten ja muodostamalla lyhyen ja välittömän NFC-vahvistusyhteyden.

Sisäänpääsy

Hammaslukko on vuosisatojen ajan ollut ensisijainen keino kodin turvaamisessa. Vaikka on olemassa sulkupultteja ja turvaketjuja, lukko on ainoa, johon pääset käsiksi ulkopuolelta, ja siten se, jota käytetään, kun olet poissa.

Lukko käy viimein läpi vallankumouksen 2000-luvulla turvallisten langattomien teknologioiden myötä. Ensimmäiset toteutukset olivat RFID-siruja, joita omistaja saattoi kantaa kortissa, avaimenperässä (kuinka viehättävää) tai jopa pienenä siruna upotettuna käsivarteen (vähemmän viehättävä).

Viime aikoina kommunikatiiviset lukot ovat ottaneet haltuunsa. Unikeyn Kevo ja hiljattain yleisörahoitteiset Lockitron-järjestelmät on suunniteltu toimimaan Bluetooth 4.0:n ja Wi-Fi, jonka avulla omistaja voi avata oven vain lähestymällä sitä – vaikka puhelin olisi taskussaan tai kukkaro. On olemassa useita NFC-ovien lukkoja, ja Fraunhofer Instituten kehittämä ShareKey Android -sovellus mahdollistaa yhteensopivien Android-laitteiden avaamisen ovien lukituksesta vain koskettamalla puhelintaan lukkoon. ShareKeyllä voidaan jopa myöntää henkilöille tilapäinen käyttöoikeus.

Ainoa asia, joka näyttää pidättelevän tätä ajatusta, ovat yritykset, jotka eivät vieläkään ole omaksuneet NFC: tä - tekniikkaa, joka vaikka on vaikuttava, mutta ei ehkä silti ole ihanteellinen. NFC ei pysty itse siirtämään paljoa dataa – useammin laitteiden on käytettävä Bluetoothia tai Wi-Fiä saadakseen lisää dataa, mikä tarkoittaa monimutkaisempaa. Siellä on joitain NFC-tietoturvatuotteita, mukaan lukien ovien lukot integroidulla NFC: llä.

Vaikka yhden laitteen todentaminen toisella saattaa osoittautua vähemmän käteväksi kuin yhden läpikäynnin turvajärjestelmä, vuonna 2013 tällainen vaiheet ovat yhä tarpeellisempia sekä laitteidesi että niihin tallennettujen tai niiden kautta käytettävissä olevien tietojen suojaamiseksi niitä. Vetoamme (ja toivomme) on, että kun ala saavuttaa usean laitteen todennuksen standardin, esim. käyttämällä älypuhelimesi avaamaan tietokoneesi lukituksen, näistä käytännöistä tulee nopeasti normi, tai ainakaan ei epätavallinen.

Suurin ja turhauttavin haittapuoli? Älypuhelimen unohtaminen kotiin saattaa olla vieläkin enemmän ahdistusta kuin nyt.

K:

Käyttäisitkö älypuhelinta tietokoneen, kodin tai auton suojaamiseen?

876 kommenttia

Johtopäätös

Käyttäjien todennuksen tulevaisuus on lähes varmasti riippuvainen ulkoisesta. Se ei ole enää merkkijono, jota käytetään vahvistamaan oikeutesi käyttää sisältöä, vaan järjestelmät varmistavat, että olet todella se, joka salasanan mukaan olet.

Biometrinen todennus on ollut olemassa iät, peukalonjälkiskannereista iiriksen todentamiseen ja kapillaariskannauksiin (ihon alla olevien verisuonten tarkastelu). Nykypäivän laitteet, sekä mobiilit että kiinteät, on varustettu enemmän antureilla kuin koskaan ennen. Ei ole kohtuutonta ajatella, että niihin varustetaan lisää skannereita tulevina vuosina ja että nämä anturit pystyvät varmistamaan henkilöllisyytemme.

On turvallista olettaa, että biometriset tiedot ovat vain yksi kerros suojatun tietojenkäsittelyn olemassaolosta. Myös monitekijätodennuksella voidaan odottaa olevan suurempi rooli joko palveluntarjonnan kautta yksilöllinen toinen koodi toiselle laitteelle, jonka käyttäjä voi syöttää, tai toinen laite itse on todentaminen. Käyttäjän koko laiteekosysteemin fyysinen hallinta tulee suostumukseksi.

Onko parempaa tapaa? Teemmekö liian paljon kompromisseja mukavuudesta turvallisuuden nimissä? Vai löytävätkö rikolliset aina keinon?